La Cour de justice de l’Union européenne (CJUE) a récemment clarifié les obligations des exploitants de places de marché en ligne au regard du Règlement général sur la protection des données (RGPD). Par un arrêt rendu le 2 décembre 2025 (affaire C‑492/23), la CJUE juge que l’opérateur d’une marketplace ne peut plus se prévaloir d’une responsabilité limitée au sens de la directive sur le commerce électronique pour échapper à ses obligations en matière de protection des données personnelles.
Un rôle de responsable de traitement sous le RGPD
La CJUE a retenu que l’exploitant d’une place de marché en ligne est responsable du traitement des données à caractère personnel contenues dans les annonces publiées par les utilisateurs sur sa plateforme. Autrement dit, il est qualifié de responsable de traitement au sens de l’article 4 § 7 du RGPD, dès lors qu’il permet l’hébergement et la publication de contenu contenant des données personnelles, en particulier lorsqu’il s’agit de données sensibles.
Cette qualification entraîne des obligations spécifiques :
- Identifier, avant publication, les annonces susceptibles de contenir des données sensibles (ex. : données relatives à l’origine ethnique, à la vie sexuelle, aux opinions politiques, etc.).
- Vérifier si l’annonceur est bien la personne concernée par ces données, ou s’il dispose du consentement explicite de la personne concernée.
- Refuser la publication lorsque cette vérification n’est pas possible ou en l’absence de consentement ou autre base légale prévue par le RGPD.
Des mesures techniques et organisationnelles exigées
Outre ces obligations de contrôle préalable, l’opérateur doit mettre en œuvre des mesures techniques et organisationnelles appropriées permettant de prévenir et de détecter la publication illicite de données sensibles, et de limiter leur diffusion non autorisée. Cette exigence s’inscrit dans le cadre des principes généraux du RGPD, notamment ceux relatifs à la « protection des données dès la conception et par défaut » (data protection by design and by default).
Limites de l’exonération prévue par la directive e‑commerce
L’arrêt aborde également la question délicate de la directive 2000/31/CE dite directive sur le commerce électronique, qui contient des règles d’exonération de responsabilité pour les hébergeurs en ligne. La CJUE précise que la responsabilité découlant du RGPD ne peut être exclue au titre de cette directive. Ainsi, même si un opérateur peut, dans certains cas, se prévaloir d’une exonération pour le contenu tiers hébergé, cela ne le dispense pas de ses obligations de protection des données personnelles en tant que responsable de traitement sous le RGPD.
Conséquences pratiques pour les plateformes numériques
Cette décision marque un tournant important dans la jurisprudence européenne sur la responsabilité des plateformes numériques. Les acteurs exploitant des places de marché en ligne devront adapter leurs pratiques :
- Revoir leurs processus de modération et de vérification des annonces ;
- Mettre en place des outils d’identification et d’authentification des utilisateurs ;
- Développer des solutions techniques pour détecter automatiquement les annonces contenant des données sensibles ;
- Documenter les mesures prises pour démontrer la conformité en cas de contrôle.
Quelle portée pour les juridictions et les praticiens ?
Pour les praticiens du droit, cette jurisprudence illustre la tendance à étendre les obligations des opérateurs de plateformes en ligne en matière de protection des données personnelles. Elle rappelle également l’importance d’une approche proactive de la conformité au RGPD. Au‑delà de simples obligations de suppression après signalement, les plateformes sont désormais tenues à une vigilance préventive accrue.
