Opinion of Advocate General Bobek delivered on 19 December 2018.

• Jurisdiction: European Union
• ECLI: ECLI:EU:C:2018:1039
• Date: 19 December 2018
• Celex Number: 62017CC0040
• Court: Court of Justice (European Union)
• Procedure Type: Reference for a preliminary ruling
• Docket Number: C-40/17

CONCLUSIONS DE L’AVOCAT GÉNÉRAL

M. MICHAL BOBEK

présentées le 19 décembre 2018 ( 1 )

Affaire C‑40/17

Fashion ID GmbH & Co. KG

contre

Verbraucherzentrale NRW eV,

en présence de

Facebook Ireland Limited,

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein‑Westfalen

[demande de décision préjudicielle de l’Oberlandesgericht Düsseldorf (tribunal régional supérieur de Düsseldorf, Allemagne)]

« Renvoi préjudiciel – Directive 95/46/CE – Protection des données à caractère personnel des utilisateurs de sites Internet – Qualité pour agir d’une association de protection des consommateurs pour intenter une action – Responsabilité d’un gestionnaire de site Internet – Transfert à un tiers de données à caractère personnel – Plugiciel intégré – Bouton “J’aime” de Facebook – Intérêts légitimes – Consentement de la personne concernée – Obligation d’information »

I. Introduction

1. Fashion ID GmbH & Co. KG (ci‑après « Fashion ID » ou la « défenderesse au principal ») est une société de vente en ligne d’articles de mode. Elle a intégré un plugiciel (« plug‑in ») sur son site Internet : le bouton « J’aime » de Facebook. Il s’ensuit que lorsqu’un utilisateur se rend sur le site Internet de Fashion ID, des informations sur son adresse IP et la chaîne de caractères de son navigateur sont transmises à Facebook. Cette transmission s’opère automatiquement lorsque le site Internet de Fashion ID est chargé, indépendamment du fait que l’utilisateur ait cliqué ou non sur le bouton « J’aime » de Facebook et qu’il dispose ou non d’un compte Facebook.

2. Une association allemande de protection des consommateurs, Verbraucherzentrale NRW eV (ci‑après « Verbraucherzentrale NRW » ou la « demanderesse au principal »), a intenté une action en cessation à l’encontre de Fashion ID au motif que l’utilisation de ce plugiciel était contraire aux lois sur la protection des données à caractère personnel.

3. Saisi du litige, l’Oberlandesgericht Düsseldorf (tribunal régional supérieur de Düsseldorf, Allemagne) demande l’interprétation de plusieurs dispositions de la directive 95/46/CE ( 2 ). À titre liminaire, la juridiction de renvoi demande si ladite directive ne s’oppose pas à une réglementation nationale qui habilite des associations de consommateurs à intenter une action dans un cas tel que celui de la présente espèce. Sur le fond, la question cruciale qui est posée est de savoir si Fashion ID doit être qualifiée de « responsable du traitement » des données et, dans l’affirmative, comment il peut alors être satisfait aux obligations individuelles imposées par la directive 95/46. Dans le cadre de la mise en balance des intérêts légitimes à laquelle il doit être procédé en vertu de l’article 7, sous f), de la directive 95/46, des intérêts légitimes de qui s’agit‑il ? Fashion ID est‑t‑elle tenue par une obligation d’information des personnes concernées par ce traitement ? Et à cet égard, est‑ce à Fashion ID de recevoir le consentement des personnes concernées ?

II. Le cadre juridique

A. Le droit de l’Union

1. La directive 95/46

4. L’objet de la directive 95/46 est précisé en son article premier. Son paragraphe 1 dispose que « [l]es États membres assurent, conformément à la présente directive, la protection des libertés et droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel ». Aux termes de son paragraphe 2, « [l]es États membres ne peuvent restreindre ni interdire la libre circulation des données à caractère personnel entre États membres pour des raisons relatives à la protection assurée en vertu du paragraphe 1 ».

5. Son article 2 pose les définitions suivantes : « a) “données à caractère personnel” : toute information concernant une personne physique identifiée ou identifiable (“personne concernée”) ; est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale : b) “traitement de données à caractère personnel” (“traitement”) : toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction ; […] d) “responsable du traitement” : la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel ; lorsque les finalités et les moyens du traitement sont déterminés par des dispositions législatives ou réglementaires nationales ou [de l’Union], le responsable du traitement ou les critères spécifiques pour le désigner peuvent être fixés par le droit national ou [de l’Union] ; […] h) “consentement de la personne concernée” : toute manifestation de volonté, libre, spécifique et informée par laquelle la personne concernée accepte que des données à caractère personnel la concernant fassent l’objet d’un traitement. »

6. L’article 7 de la directive 95/46 pose les principes relatifs à la légitimation des traitements de données : « Les États membres prévoient que le traitement de données à caractère personnel ne peut être effectué que si : a) la personne concernée a indubitablement donné son consentement ; […] f) il est nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées, à condition que ne prévalent pas l’intérêt ou les droits et libertés fondamentaux de la personne concernée, qui appellent une protection au titre de l’article 1er paragraphe 1. »

7. L’article 10 de la directive 95/46 précise les informations a minima qui doivent être communiquées à la personne concernée : « Les États membres prévoient que le responsable du traitement ou son représentant doit fournir à la personne auprès de laquelle il collecte des données la concernant au moins les informations énumérées ci‑dessous, sauf si la personne en est déjà informée : a) l’identité du responsable du traitement et, le cas échéant, de son représentant ; b) les finalités du traitement auquel les données sont destinées ; c) toute information supplémentaire telle que : – les destinataires ou les catégories de destinataires des données, – le fait de savoir si la réponse aux questions est obligatoire ou facultative ainsi que les conséquences éventuelles d’un défaut de réponse, – l’existence d’un droit d’accès aux données la concernant et de rectification de ces données, dans la mesure où, compte tenu des circonstances particulières dans lesquelles les données sont collectées, ces informations supplémentaires sont nécessaires pour assurer à l’égard de la personne concernée un traitement loyal des données. »

8. Le chapitre III de la directive 95/46 est relatif aux recours juridictionnels, à la responsabilité et aux sanctions. Les articles 22 à 24 qui y figurent reçoivent la rédaction suivante : « Article 22 Recours Sans préjudice du recours administratif qui peut être organisé, notamment devant l’autorité de contrôle visée à l’article 28, antérieurement à la saisine de l’autorité judiciaire, les États membres prévoient que toute personne dispose d’un recours juridictionnel en cas de violation des droits qui lui sont garantis par les dispositions nationales applicables au traitement en question. Article 23 Responsabilité 1. Les États membres prévoient que toute personne ayant subi un dommage du fait d’un traitement illicite ou de toute action incompatible avec les dispositions nationales prises en application de la présente directive a le droit d’obtenir du responsable du traitement réparation du préjudice subi. 2. Le responsable du traitement peut être exonéré partiellement ou totalement de cette responsabilité s’il prouve que le fait qui a provoqué le dommage ne lui est pas imputable. Article 24 Sanctions Les États membres prennent les mesures appropriées pour assurer la pleine application des dispositions de la présente directive et déterminent notamment les sanctions à appliquer en cas de violation des dispositions prises en application de la présente directive. »

B. Le droit allemand

1. L’UWG

9. L’article 3, paragraphe 1, du Gesetz gegen den unlauteren Wettbewerb (loi contre la concurrence déloyale, ci‑après l’« UWG ») dispose que les pratiques commerciales déloyales sont illicites.

10. L’article 8, paragraphe 1 et paragraphe 3, point 3, de l’UWG précise qu’une pratique commerciale déloyale peut donner lieu à un ordre de cessation immédiate ou à un ordre de cessation pour l’avenir à la demande d’une « entité qualifiée » inscrite sur la liste des entités qualifiées visée par l’Unterlassungsklagegesetz (loi sur l’action en cessation) ou sur la liste de la Commission européenne visée à l’article 4, paragraphe 3, de la directive 2009/22/CE relative aux actions en cessation en matière de protection des intérêts des consommateurs ( 3 ).

2. La loi sur l’action en cessation

11. ...