Expertises des Systèmes d'information - Novembre 2019 - n°451 - Le mensuel du droit de l'informatique et du multimédia - 369

de la Cnil qui considère que le
partage de fichiers « clients » entre
deux responsables de traitement
doit reposer sur le consentement
des personnes concernées.
La Cour donne ensuite des
éclairages
sur
l'identité
du
débiteur et le périmètre de l'obligation d'information10. Après avoir
souligné que «  cette information
doit être donnée par le responsable
du traitement immédiatement, à
savoir au moment de la collecte
des données  »11, la Cour précise
que, dans le cadre du traitement
en cause, cette obligation «  pèse
également sur le gestionnaire du
site internet  », étant précisé qu'elle
ne doit « porter que sur l'opération
ou l'ensemble des opérations de
traitements de données à caractère
personnel dont le gestionnaire
détermine effectivement les finalités
et les moyens ».

Des contraintes lourdes à respecter
mais incontournables face aux
enjeux et au risque de sanctions
qui pèse sur celui qui ne respecterait pas la règlementation relative à
la protection des données personnelles (notamment compte tenu
du montant élevé des amendes
pouvant être prononcées par les
autorités nationales de contrôle
depuis l'entrée en vigueur du
RGPD).

Notes

L'application
par
nos
cours
et tribunaux de ces critères
d'appréciation dégagés par les juges
européens sera particulièrement
intéressante
à
suivre.
Pour
l'heure, force est de constater
l'émergence d'un mouvement
de «  responsabilisation  » des
gestionnaires de site internet/pages
web utilisant des outils des réseaux
sociaux, qui invite à la prudence...

(1)	

CJUE, 29 juillet 2019, Affaire C-40/17.

(2)	

Directive 95/46/CE du Parlement européen et
du Conseil, du 24 octobre 1995, relative à la
protection des personnes physiques à l'égard du
traitement des données à caractère personnel et
à la libre circulation de ces données (JO 1995, L
281, p.31).

(3)	

Règlement 2016/679 du 27 avril 2016 relatif à
la protection des personnes physiques à l'égard
du traitement des données à caractère personnel et de la libre circulation de ces données,
et abrogeant la directive 95/46/CE (règlement général sur le protection des données
ou « RGPD »).

(4)	

Article 2) sous d) de la Directive 95/46 CE.

(5)	

Article 4.7 du RGPD.

(6)	

CJUE 5 juin 2018, Wirtschaftsakademie SchleswigHolstein - point 38, C-201/16 ; CJUE 10 juillet 2018,
Jehovan todistajat, C-25/17 - point 69.

(7)	

CJUE 10 juillet 2018, Jehovan todistajat, C-25/17
- point 66.

(8)	

CJUE 5 juin 2018, Wirtschaftsakademie SchleswigHolstein, C-210/16

(9)	

Article 7 de la Directive 95/46 CE.

(10)	 Article 10 de la Directive 95/46 CE.
(11)	 CJUE, 7 mai 2009, Rijkeboer, C-553/07 point 68 ;
CJUE, 7 novembre 2013, IPI, C-473/12.

Alexandre FIEVEE
Cela signifie donc que Fashion
ID, parce qu'elle a intégré un
bouton «  J'aime  » sur son site, ne
pourrait échapper aux obligations
incombant à tout responsable de
traitement (justification d'une
base légale du traitement, obligation d'information, etc.), pour les
opérations de traitement réalisées
en amont de l'utilisation des
données par Facebook (collecte,
transfert) dont elle serait vraisemblablement coresponsable.



Avocat associé

Alice ROBERT
Avocat sénior
Derriennic Avocats

Vous avez envie de vous exprimer sur un sujet qui vous tient à cœur, de partager votre analyse
avec la communauté des lecteurs d'Expertises, d'exposer un point de vue différent sur un article
déjà publié, de lancer un débat sur un thème émergent, ou simplement de commenter l'actualité
du droit du numérique ?

Contactez la rédactrice en chef d'Expertises Sylvie Rozenfeld sr@expertises.info

EXPERTISES Novembre 2019

369
Expertises des Systèmes d'information - Novembre 2019 - n°451 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Novembre 2019 - n°451 - Le mensuel du droit de l'informatique et du multimédia
