Hors collection - Droit des données à caractère personnel - 1re - 188

188

DROIT

DES DONNÉES À CARACTÈRE PERSONNEL

de données ou de messageries traiteront chacun des données à caractère personnel, qui, pour
certaines, seront identiques comme l'adresse IP, pour autant, il n'y a pas responsabilité conjointe de
traitement. La Cour de justice de l'Union européenne a été amenée à se prononcer sur le fondement
de la directive 95/46/CE dans une hypothèse similaire dans son fameux arrêt Google Spain en ce qui
concerne, d'une part, l'exploitant d'un moteur de recherche et, d'autre part, l'éditeur d'un site référencé. Elle considéra que l'exploitant du moteur de recherche, dont l'activité est d'agréger et d'organiser des informations disponibles sur des pages web, détermine les finalités et les moyens de cette
activité19 et ajouta que « le traitement de données à caractère personnel effectué dans le cadre de
l'activité d'un moteur de recherche se distingue et s'ajoute à celui effectué par les éditeurs de sites
web, consistant à faire figurer ces données sur une page Internet »20. Il convient d'ailleurs de noter
qu'une responsabilité conjointe n'implique pas que chacun des responsables ait un égal accès aux
données, celui-ci peut être réservé à l'un d'eux21.
386. Responsabilité conjointe de traitement : dépeçage des opérations de traitement. La Cour de
justice a eu l'occasion de préciser le critère de la responsabilité conjointe de traitement sous l'empire
de la directive 95/46/CE. Dans son arrêt Fashion ID, la Cour de justice, après avoir rappelé qu'un traitement de données à caractère personnel peut être constitué d'une pluralité d'opérations22, a énoncé
que seules les opérations de la chaîne de traitement des données pour lesquelles une détermination
conjointe des finalités et des moyens du traitement intervient relèvent de la responsabilité
conjointe23. Dans l'espèce considérée, était en cause le traitement de données lié à l'insertion d'un
bouton « J'aime » par l'éditeur d'un site Internet sur l'une des pages de celui-ci. La Cour retient qu'il
y a responsabilité conjointe s'agissant de la collecte et de la communication par transmission des
données des visiteurs du site, inversement, cette responsabilité conjointe ne s'étend pas aux opérations
de traitement ultérieures réalisées par Facebook24. Il convient donc de distinguer les différentes opérations de traitement et de déterminer au cas par cas l'existence d'une responsabilité conjointe. Plus
généralement, il n'est pas nécessaire que les responsables conjoints mettent chacun en œuvre le traitement de données. Il suffit que l'un d'eux réalise les opérations de traitement.
387. Responsabilité conjointe de traitement : critère de l'influence exercée sur un traitement de
données dans une finalité propre. Pour qu'il y ait responsabilité conjointe du traitement, il faut que
les responsables du traitement aient défini ensemble les finalités du traitement pour chacun d'eux,
ainsi que les moyens, c'est-à-dire les spécifications du traitement. En pratique, cette approche est
restrictive. Dans de nombreux cas, les responsables de traitement n'exercent pas le même pouvoir sur
la définition des finalités et des moyens du traitement. Pour tenir compte de ces situations, la Cour de
justice a adopté une interprétation large du critère de la responsabilité conjointe de traitement. Elle
admet en effet que la responsabilité conjointe n'implique pas que les différents opérateurs aient une
responsabilité équivalente, ils peuvent « être impliqués à différents stades de ce traitement et selon
différents degrés, de telle sorte que le niveau de responsabilité de chacun d'entre eux doit être évalué

19.
20.
21.
22.
23.
24.

CJUE, 13 mai 2014, nº C-131/12, préc., pt. 33.
Ibid., pt. 35.
CJUE, 5 juin 2018, nº C-210/16, préc., pt. 38 ; CJUE, 29 juill. 2019, nº C-40/17, préc., pt. 82.
CJUE, 29 juill. 2019, nº C-40/17, préc., pt. 72.
Ibid., pt. 74.
Ibid., pt. 76.

Hors collection - Droit des données à caractère personnel - 1re

Table des matières de la publication Hors collection - Droit des données à caractère personnel - 1re