Place de marché en ligne: obligation de s'assurer d'abord du consentement des personnes concernées par les annonces contenant des données sensibles
Spendenbutton / Faire un don
Gender Law Newsletter FRI 2026#1, 01.03.2026 - Newsletter abonnieren
UNION EUROPÉENNE: DROIT DE LA PROTECTION DES DONNÉES À CARACTÈRE PERSONNEL
Arrêt de la Cour de justice de l’Union européenne (grande chambre), du 2 décembre 2025 (C?492/23), X contre Russmedia Digital SRL et Inform Media Press SRL (ci-après «Russmedia»)
Par cet arrêt, la Cour de justice de l'Union européenne (ci-après ‹la Cour›) a constaté l'obligation, pour une place de marché en ligne, d'identifier les annonces contenant des données personnelles, de vérifier si l'annonceur est la personne concernée ou si celle-ci a donné son consentement, et de prendre des mesures appropriées pour empêcher la publication des données sensibles sur d'autres sites Internet.
I. Faits et antécédents de la procédure
La Cour de justice de l'Union européenne (ci-après ‹la Cour›) a été appelée à statuer sur un renvoi préjudiciel effectué dans le cadre d'une action en réparation introduite par une femme (X) en Roumanie. Le motif de cette action était le «traitement illicite de ses données à caractère personnel ainsi que [...] la violation de son droit à l’image, à l’honneur et à la vie privée».
En effet, X a fait valoir que sur une place de marché en ligne détenue par la société de droit roumain Russmedia Digital permettant de publier des annonces publicitaires, une tierce personne non identifiée (Y) a publié une annonce, accompagnée de photos de X et du numéro de téléphone de celle-ci, faisant croire que X offrait des services sexuels. L'annonce a été retirée par Russmedia moins d'une heure après que X lui en ait fait la demande mais elle a été maintenue sur d'autres sites Internet qui l'avaient entretemps reprise.
Russmedia a été condamnée en première instance à payer 7000 euros d'indemnités à X mais sur l'appel de cette société, l'action de X a été déclarée non fondée pour le motif qu’un prestataire de services de la société de l’information ne serait «[...] pas tenu de contrôler les informations qu’il transmet, ni de rechercher activement des données relatives à des activités ou à des informations apparemment illégales» (§ 33 de l'arrêt).
Dans le cadre d'un pourvoi dirigé contre l'arrêt rendu en appel, la juridiction appelée à statuer a effectué un renvoi préjudiciel à la Cour avec plusieurs questions relatives notamment à l'interprétation du Règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD). L'interprétation de la Cour est exposée ci-après.
II. Interprétation du RGPD par la Cour
II.A. Qualification des données de personnelles et sensibles
De façon préliminaire, la Cour relève que les informations en cause sont des données à caractère personnel au sens de l’art. 4, point 1, du RGPD.
En outre, «le caractère mensonger et préjudiciable de données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique ne saurait être de nature à ôter à de telles données leur qualification de ‹données sensibles›, au sens de l’article 9, paragraphe 1, du RGPD» (§ 53 de l'arrêt).
II.B. Responsabilité conjointe du traitement: Y et Russmedia
Bien que Russmedia n'ait eu ni une influence concrète sur le contenu de l'annonce, ni la conscience de son caractère mensonger et préjudiciable, la Cour estime pour les raisons suivantes que non seulement Y (qui a placé l'annonce litigieuse) mais aussi Russmedia sont responsables conjointement du traitement des données en cause (voy. §§ 64, 75 et 92 de l'arrêt):
1.) Le traitement des données en cause «consiste en la publication de cette annonce et, partant, de ces données sur la place de marché en ligne exploitée par Russmedia» (§ 54). Or, «[...] cette annonce n’a été publiée sur Internet et ainsi rendue accessible aux utilisateurs d’Internet que grâce à la place de marché en ligne exploitée par Russmedia» (§ 65);
2.) La Russmedia se réserve le droit de traiter et valoriser les données postées par les personnes utilisatrices à des fins publicitaires et commerciales propres. Elle a donc participé à la détermination des finalités de la publication des données à des fins propres (§§ 67-68);
3.) «[... E]n permettant que des annonces soient placées de manière anonyme sur sa place de marché en ligne, [la société B] a facilité la publication de telles données sans le consentement de la personne concernée» (§ 69);
4.) «[... E]n ayant mis à la disposition de l’utilisateur annonceur sa place de marché en ligne qui a servi à la publication de l’annonce en cause au principal, Russmedia a participé à la détermination des moyens de cette publication» (§ 70-72);
5.) Exclure la société exploitante d'une responsabilité pour le seul motif qu'elle n'a pas déterminé le contenu diffusé serait «[...] contraire non seulement au libellé clair, mais également à l’objectif de l’article 4, point 7, du RGPD, consistant à assurer, par une définition large de la notion de ‹responsable du traitement›, une protection efficace et complète des personnes concernées [...]».
La Cour précise cependant que l'existence d'une responsabilité conjointe n'empêche pas un niveau de responsabilité différent de chaque acteur de cette responsabilité conjointe eu égard aux circonstances (§§ 63 et 110 de l'arrêt).
II.C. Obligations concrètes de Russmedia
1) Principes
Les données doivent être traitées de façon licite (art. 5, §1er, a, RGPD), ce que la personne responsable du traitement a la charge de prouver (art. 5, § 2, RGPD; § 86 de l'arrêt), soit en établissant le consentement de la personne concernée au traitement de ses données pour une finalité spécifique, soit en prouvant qu'un des cas d'exception énumérés limitativement est rencontré (art. 6, 1er, al. 1er, RGPD; §§ 80-82). Or, pour les données sensibles, le consentement doit être explicite et sa possibilité ne doit pas être exclue par le droit de l'Union européenne ou d'un Etat membre (art. 9, §2, a, RGPD).
En outre, la personne responsable du traitement des données doit assurer un niveau de sécurité adapté au risque et notamment, au risque de dissémination non autorisée des données transmises mises en ligne et au caractère sensible des données le cas échéant (art. 32 RGPD; §§ 115-120 de l'arrêt).
En vertu de sa responsabilité (art. 5, § 2, RGPD), la personne responsable du traitement doit prévenir les violations du RGPD tant lorsqu'elle choisit les moyens du traitement que lors du traitement (§§ 88-89 de l'arrêt). Or, cette obligation repose aussi bien sur la personne exploitant la place de marché en ligne que sur les personnes postant une annonce sur cette place de marché (§§ 92-93 de l'arrêt). La personne exploitante doit à cet égard tenir compte du risque significatif causé par l'accessibilité des annonces au public et leur reproductibilité, surtout si ce sont des données sensibles. Elle doit aussi tenir compte du degré très élevé de probabilité de violation des droits fondamentaux relatifs à la protection des données à caractère personnel et à la protection de la vie privée (art. 7 et 8 de la Charte des droits fondamentaux de l'Union européenne), si l'annonceur n'est pas la personne concernée par l'annonce et que le placement d'annonces peut avoir lieu de façon anonyme (§§ 95-96 de l'arrêt).
2) Application
a) Devoir d'identifier les annonces relatives à des données sensibles, de vérifier l'identité de l'annonceur et de refuser la publication à défaut de la preuve du consentement de la personne concernée
Eu égard aux principes énoncés visant à garantir la licéité du traitement des données, la Cour précise que «[... le] responsable du traitement [...] des données à caractère personnel contenues dans des annonces publiées sur sa place de marché en ligne, est tenu, avant la publication des annonces et au moyen de mesures techniques et organisationnelles appropriées,
– d’identifier les annonces qui contiennent des données sensibles [...],
– de vérifier si l’utilisateur annonceur s’apprêtant à placer une telle annonce est la personne dont les données sensibles figurent dans cette annonce et, si tel n’est pas le cas, [et]
– de refuser la publication de celle-ci, à moins que cet utilisateur annonceur ne puisse démontrer que la personne concernée a donné son consentement explicite [... ou qu'une des exceptions limitativement prévues est remplie]» (§ 106 de l'arrêt).
b) Obligation d'empêcher la dissémination illicite des données sensibles
La Cour précise en outre qu'eu égard à son obligation de sécurité, «[... le] responsable du traitement [...] est tenu de mettre en œuvre des mesures de sécurité techniques et organisationnelles appropriées afin d’empêcher que des annonces [...] publiées [sur sa place de marché en ligne] et contenant des données sensibles [...] soient copiées et illicitement publiées sur d’autres sites Internet».
Accès direct à l’arrêt (https://eur-lex.europa.eu)
Pour un arrêt de la Cour de justice de l'Union européenne en matière d'obligation de protection de la dignité sur Internet par les fournisseurs de services de médiass, cf. Newsletter 2025#3.