Par un arrêt du 29 juillet 2019, la Cour de justice de l’UE a estimé que l’administrateur d’un site internet doté du bouton « j’aime » de Facebook peut être déclaré conjointement responsable de traitement de la collecte et de la transmission au réseau social des données à caractère personnel des visiteurs du site. Toutefois, rappelle l’arrêt, cette responsabilité est limitée aux opérations de traitement de données dont il détermine effectivement les finalités et les moyens, à savoir la collecte et la communication par transmission des données en cause. Par ailleurs, la Cour a considéré que le responsable du site devait recueillir le consentement préalable des personnes pour les opérations dont il est co-responsable, à savoir la collecte et la transmission des données. Celui-ci doit également fournir à la personne concernée une information sur ces opérations de traitement des données.
Par un arrêt du 5 juin 2018, la Cour avait déjà considéré que l’administrateur d’une page fan hébergée sur Facebook participe, par son action de paramétrage, à la détermination des finalités et des moyens du traitement des données personnelles de ses visiteurs et doit être qualifié de co-responsable de ce traitement avec Facebook. La présente affaire concerne Fashion ID, un site de vente de vêtements en ligne, qui a inséré un bouton « j’aime » de Facebook qui permet à celui-ci d’obtenir les données personnelles des visiteurs du site, que ces derniers soient membres ou non du réseau social. Pour la Cour, Fashion ID est conscient que ce bouton sert d’outil de collecte et de transmission de données. En conséquence, « il doit être considéré que Facebook Ireland et Fashion ID déterminent conjointement les moyens à l’origine des opérations de collecte et de communication par transmission des données à caractère personnel des visiteurs du site Internet de Fashion ID. ». Concernant les finalités des opérations, la Cour explique que l’insertion de ce bouton permet à Fashion ID d’optimiser la publicité de ses produits en les rendant plus visibles sur Facebook quand un visiteur clique dessus. « C’est afin de pouvoir bénéficier de cet avantage commercial consistant en une telle publicité accrue pour ses produits que Fashion ID, en insérant un tel bouton sur son site Internet, semble avoir consenti, à tout le moins implicitement, à la collecte et à la communication par transmission des données à caractère personnel des visiteurs de son site, ces opérations de traitement étant effectuées dans l’intérêt économique tant de Fashion ID que de Facebook Ireland, pour qui le fait de pouvoir disposer de ces données à ses propres fins commerciales constitue la contrepartie de l’avantage offert à Fashion ID. ». La Cour en conclut que Fashion ID et Facebook déterminent conjointement les finalités de collecte et de transmission des données.