Cookies : la recette du Conseil d’Etat versus la recette de la CJUE

Le Conseil d’Etat a donné son « mode d’emploi » en matière de cookies. Voir :

 

Or, cet été aussi, la CJUE a donné sa propre interprétation en ce domaine.

Une société allemande dans le domaine de l’éducation proposait ses services via Facebook avec un classique recueil d’informations par cookies sans mention relative à ce point.

Le régulateur allemand demande donc à la société de désactiver ledit dispositif (une « page fan »), ce que la société contestait.

La CJUE a estimé que la société avait accepté la politique d’utilisation des cookies de Facebook et disposait de pouvoirs de paramétrages qui conduisaient à devoir la considérer — et c’est là le point capital et qui reste applicable avec le droit désormais en vigueur — comme étant responsable de ce traitement de données au sein de l’Union, conjointement avec Facebook.

 

D’où le dispositif suivant (qui réglait également quelques autres questions) :

« 1) L’article 2, sous d), de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, doit être interprété en ce sens que la notion de « responsable du traitement », au sens de cette disposition, englobe l’administrateur d’une page fan hébergée sur un réseau social.

2) Les articles 4 et 28 de la directive 95/46 doivent être interprétés en ce sens que, lorsqu’une entreprise établie en dehors de l’Union européenne dispose de plusieurs établissements dans différents États membres, l’autorité de contrôle d’un État membre est habilitée à exercer les pouvoirs que lui confère l’article 28, paragraphe 3, de cette directive à l’égard d’un établissement de cette entreprise situé sur le territoire de cet État membre, alors même que, en vertu de la répartition des missions au sein du groupe, d’une part, cet établissement est chargé uniquement de la vente d’espaces publicitaires et d’autres activités de marketing sur le territoire dudit État membre et, d’autre part, la responsabilité exclusive de la collecte et du traitement des données à caractère personnel incombe, pour l’ensemble du territoire de l’Union européenne, à un établissement situé dans un autre État membre.

3) L’article 4, paragraphe 1, sous a), et l’article 28, paragraphes 3 et 6, de la directive 95/46 doivent être interprétés en ce sens que, lorsque l’autorité de contrôle d’un État membre entend exercer à l’égard d’un organisme établi sur le territoire de cet État membre les pouvoirs d’intervention visés à l’article 28, paragraphe 3, de cette directive en raison d’atteintes aux règles relatives à la protection des données à caractère personnel, commises par un tiers responsable du traitement de ces données et ayant son siège dans un autre État membre, cette autorité de contrôle est compétente pour apprécier, de manière autonome par rapport à l’autorité de contrôle de ce dernier État membre, la légalité d’un tel traitement de données et peut exercer ses pouvoirs d’intervention à l’égard de l’organisme établi sur son territoire sans préalablement appeler l’autorité de contrôle de l’autre État membre à intervenir.»

 

Voir : CJUE, 5 juin 2018, n° C-210/16 :

http://curia.europa.eu/juris/document/document.jsf?text=&docid=202543&pageIndex=0&doclang=fr&mode=lst&dir=&occ=first&part=1&cid=854026