La Cour de justice de l’UE continue de consolider sa jurisprudence en matière de protection des données et en particulier autour des droits et obligations de Facebook et de ses partenaires.

Fashion ID, une entreprise allemande de vente de vêtements de mode en ligne, avait inséré sur son site internet le bouton «j’aime» de Facebook. En cliquant sur ce bouton, le consommateur ne savait toutefois pas qu’il transmettait ses données personnelles à Facebook Ireland.

L’asbl allemande de défense des consommateurs Verbraucherzentrale NRW a saisi la justice, accusant Fashion ID d’avoir transmis à Facebook Ireland des données à caractère personnel des visiteurs de son site internet sans le consentement de ces derniers et en violation des obligations d’information qui lui incombent en vertu de la directive de 1995 sur la protection des données (encore en vigueur au moment des faits, abrogée depuis par le RGPD).

Un consentement préalable est nécessaire

, la Cour de justice estime que Fashion ID «semble ne pas pouvoir être considérée comme responsable des opérations de traitement de données effectuées par Facebook Ireland après leur transmission à cette dernière», puisqu’elle ne détermine ni les finalités ni les moyens de ces opérations.

En revanche, «Fashion ID peut être considérée comme étant responsable, conjointement avec Facebook Ireland, des opérations de collecte et de communication par transmission à Facebook Ireland des données en cause», souligne la Cour.

La société bénéficie en effet d’une optimisation de sa publicité pour ses produits en les rendant plus visibles sur le réseau social lorsqu’un visiteur clique sur le bouton «j’aime». La transmission des données de ses visiteurs s’avère être une contrepartie à l’avantage commercial obtenu par la société pour accroître sa visibilité sur Facebook.

La Cour impose que le gestionnaire du site internet doit recueillir le consentement de l’utilisateur au préalable pour la collecte et la transmission des données (uniquement). Elle exige également que le gestionnaire du site internet et le réseau social poursuivent un «intérêt légitime» afin de justifier la collecte et la transmission des données à caractère personnel.