Une société allemande, spécialisée dans le domaine de léducation, offre des services de formation sur une page fan hébergée sur Facebook Germany. Ce type de page est un compte dutilisateur qui peut être configuré par des particuliers ou des entreprises. Les administrateurs de pages fan peuvent obtenir des données statistiques anonymes sur les visiteurs de ces pages à laide dune fonction mise gratuitement à leur disposition par Facebook selon des conditions dutilisation non modifiables.
Une autorité régionale indépendante chargée de contrôler lapplication de la directive 95/46 sur la protection des données a ordonné à la société de désactiver sa page fan, faut davoir, avec Facebook, informé ses visiteurs que le réseau social collectait, à laide de cookies, des informations à caractère personnel les concernant et quils les traitaient par la suite.
La société arguait que ce traitement des données à caractère personnel ne pouvait lui être imputé notamment puisquelle navait pas chargé Facebook dy procéder.
Saisie aux fins dinterprétation de la directive, la Cour de justice de lUnion européenne (CJUE), dans son arrêt du 5 juin 2018, observe que si Facebook doit être regardé comme étant « responsables du traitement » des données à caractère personnel des personnes ayant visité les pages fan en ce quelle détermine, à titre principal, les finalités et les moyens du traitement de ces données, un administrateur tel que la société doit être considéré comme étant, au sein de lUnion, conjointement responsable avec Facebook.
En effet, cet administrateur participe à la détermination des finalités et des moyens du traitement des données personnelles des visiteurs de sa page fan. Cette co-responsabilité contribue à assurer une protection plus complète des droits des personnes qui visitent une page fan, conformément aux exigences de la directive précitée.
La Cour relève également que lautorité de contrôle est compétente pour mettre en uvre, à légard de la société et de Facebook Germany, lensemble des pouvoirs dont elle dispose en vertu des dispositions nationales transposant la directive. Cette autorité est également compétente pour apprécier, de manière autonome la légalité dun tel traitement de données et peut exercer ses pouvoirs dintervention à légard dun organisme établi sur son territoire sans appeler préalablement lautorité de contrôle de lautre Etat membre à intervenir.
Notons que la directive en cause a été abrogée, avec effet au 25 mai 2018, par le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD).