CJUE | ARRÊT DU 2 DÉCEMBRE 2025 | C-492/23 | RUSSMEDIA DIGITAL ET INFORM MEDIA PRESS │
DONNÉES SENSIBLES PUBLIÉES SANS VOTRE CONSENTEMENT SUR UNE PLATEFORME D’ANNONCES
LA CJUE CONSACRE VOTRE DROIT À UNE PROTECTION EFFECTIVE ET L’OBLIGATION DE L’EXPLOITANT DE L’ANTICIPER.
PROTECTION DES DONNÉES : L’EXPLOITANT D’UN SITE DE MARCHÉ EN LIGNE EST RESPONSABLE DU TRAITEMENT DES DONNÉES À CARACTÈRE PERSONNEL CONTENUES DANS LES ANNONCES PUBLIÉES SUR SA PLATEFORME
FAITS & PROCEDURE MOTIFS & DISPOSITIF PORTEE DE L’AFFAIRE JURISPRUDENCE ANALYSE CONSEILS
TABLEAU RÉCAPITULATIF DE LA JURISPRUDENCE CITÉE DANS L’AFFAIRE C-492/23
| Référence | Affaire | Date | Objet | §§ cités | Extrait / Enseignement mobilisé |
|---|---|---|---|---|---|
| C-210/16 | Wirtschaftsakademie Schleswig-Holstein | 05/06/2018 | Responsabilité conjointe de l’administrateur d’une page fan Facebook | §§ 71, 72 | « Participe à la détermination des moyens d’un traitement la personne physique ou morale qui influe de manière déterminante sur la collecte et la transmission de données à caractère personnel » — Fondement de la coresponsabilité par influence sur les paramètres de traitement |
| C-40/17 | Fashion ID | 29/07/2019 | Responsabilité conjointe d’un opérateur ayant intégré un plug-in de réseau social | §§ 63, 71 | « La responsabilité conjointe de plusieurs acteurs pour un même traitement […] ne présuppose pas que chacun d’eux ait accès aux données à caractère personnel concernées » — Critère fonctionnel de la détermination conjointe des moyens |
| C-25/17 | Jehovan todistajat | 10/07/2018 | Responsabilité conjointe d’une communauté religieuse pour les activités de prédication de porte à porte | §§ 63 | « L’existence d’une responsabilité conjointe ne se traduit pas nécessairement par une responsabilité équivalente […] ces acteurs peuvent être impliqués à différents stades de ce traitement et selon différents degrés » |
| C-683/21 | Nacionalinis visuomenės sveikatos centras | 05/12/2023 | Notion de responsable du traitement — centre national de santé publique | §§ 57, 58, 63 | « Toute personne physique ou morale qui influe, à des fins qui lui sont propres, sur le traitement de telles données et participe de ce fait à la détermination des finalités et des moyens de ce traitement peut être considérée comme étant responsable dudit traitement » |
| C-460/20 | Google — Déréférencement d’un contenu prétendument inexact | 08/12/2022 | Responsabilité de l’exploitant d’un moteur de recherche | §§ 71 | « Sagissant d’un moteur de recherche, lorsque son activité joue un rôle décisif dans la diffusion globale de données à caractère personnel en ce que cette activité rend celles-ci accessibles publiquement en ligne de manière organisée et agrégée » — Extension du critère d’influence aux plateformes de diffusion agrégée |
| C-204/21 | Commission/Pologne — Indépendance et vie privée des juges | 05/06/2023 | Données sensibles — champ d’application de l’art. 9 RGPD | §§ 52, 53 | « L’article 9, §1, du RGPD s’applique à des traitements portant non seulement sur les données intrinsèquement sensibles auxquelles a trait cette disposition, mais également sur des données dévoilant indirectement, au terme d’une opération intellectuelle de déduction ou de recoupement, des informations de cette nature » |
| C-184/20 | Vyriausioji tarnybinės etikos komisija | 01/08/2022 | Déclaration d’intérêts publique — données sensibles révélées indirectement | §§ 54, 78 | « L’opération consistant à faire figurer, sur une page Internet, des données à caractère personnel constitue un traitement, au sens de l’article 4, point 2, du RGPD » — Définition large de la notion de traitement |
| C-60/22 | Bundesrepublik Deutschland — Boîte électronique judiciaire | 04/05/2023 | Principe de responsabilité — art. 5 § 2 RGPD | §§ 86 | « Le responsable du traitement est responsable du respect du §1 de cet article et doit être en mesure de démontrer qu’il respecte chacun des principes énoncés à ce §1 » |
| C-687/21 | MediaMarktSaturn | 25/01/2024 | Art. 24 RGPD — mesures techniques et organisationnelles | §§ 87 | Concrétisation du principe de responsabilité à l’article 24 RGPD — obligation de mettre en œuvre des mesures appropriées en fonction de la nature, de la portée, du contexte et des finalités du traitement |
| C-129/21 | Proximus — Annuaires électroniques publics | 27/10/2022 | Obligations générales de responsabilité et de conformité | §§ 88 | « [Les articles 5 § 2 et 24 du RGPD] exigent de ce responsable qu’il adopte des mesures appropriées visant à prévenir les violations éventuelles des règles prévues par le RGPD » |
| C-324/09 | L’Oréal e.a. | 12/07/2011 | Exonération de responsabilité des exploitants de services en ligne (directive 2000/31) | §§ 38 | Condition de l’exonération de l’art. 14 § 1 directive 2000/31 : absence de connaissance des faits ou circonstances révélant l’illicéité, et prompte action en cas de connaissance |
| C-291/13 | Papasavvas | 11/09/2014 | Exonération de responsabilité des éditeurs en ligne (directive 2000/31) | §§ 38 | Les limitations de responsabilité des art. 12 à 14 directive 2000/31 ne s’appliquent pas à une société qui dispose d’un site Internet sur lequel est publiée la version électronique d’un journal, dès lors qu’elle a connaissance des informations publiées et exerce un contrôle sur celles-ci |
| C-670/22 | M.N. — EncroChat | 30/04/2024 | Reformulation des questions préjudicielles par la Cour | §§ 45 | Principe de reformulation utile des questions préjudicielles par la Cour en vue de fournir une réponse utile à la juridiction de renvoi |
| C-83/78 | Redmond | 29/11/1978 | Coopération entre juridictions nationales et Cour | §§ 45 | Fondement de la faculté de la Cour d’extraire les éléments de droit de l’Union pertinents de la motivation de la décision de renvoi |
| C-88/99 | Roquette Frères | 28/11/2000 | Coopération entre juridictions nationales et Cour | §§ 45 | Il appartient à la Cour de donner au juge national une réponse utile qui lui permette de trancher le litige |
NOTES SUR LA JURISPRUDENCE CITÉE
Arrêts structurants pour la notion de responsable du traitement :
Les arrêts Wirtschaftsakademie (C-210/16), Fashion ID (C-40/17) et Nacionalinis visuomenės sveikatos centras (C-683/21) forment le socle jurisprudentiel sur lequel la Cour construit la qualification de responsable du traitement de Russmedia. Ils consacrent le critère de l’influence déterminante sur les finalités et les moyens du traitement, indépendamment de la maîtrise du contenu des données traitées.
Arrêt structurant pour la dissémination des données :
L’arrêt Vyriausioji tarnybinės etikos komisija (C-184/20) est cité pour fonder la définition large du traitement (§ 54) et, par analogie, le risque particulier lié à la mise en ligne de données sensibles accessibles à un nombre potentiellement illimité de personnes.
Arrêts sur la directive e-commerce :
Les arrêts L’Oréal (C-324/09) et Papasavvas (C-291/13) illustrent les conditions et limites des exonérations de responsabilité de la directive 2000/31, que la Cour exclut en matière de protection des données personnelles.
POINTS ESSENTIELS
Par son arrêt du 2 décembre 2025 rendu en grande chambre, la Cour de justice de l’Union européenne, saisie à titre préjudiciel par la Curtea de Apel Cluj (cour d’appel de Cluj, Roumanie) dans un litige opposant une personne physique (X) à la société Russmedia Digital SRL, exploitante du site de petites annonces publi24.ro sur lequel une tierce personne non identifiée avait publié de manière anonyme, en août 2018, une annonce mensongère et préjudiciable présentant X comme offrant des services sexuels avec ses photos et son numéro de téléphone utilisés sans son consentement — annonce rapidement retirée par Russmedia mais ayant été reprise sur de nombreux autres sites.
25.05.2026 | Dernière Mise à Jour | Armand-Ari BETTAN & Dominique KARPISEK-BETTAN, Avocats