Réseaux sociaux: Publier implique d’informer

EN BREF
Toute entreprise active sur les réseaux sociaux traite des données personnelles et doit informer les personnes concernées de manière transparente. Cette obligation s’applique même aux interactions simples (likes, commentaires, messages). En pratique, l’entreprise partage cette responsabilité avec la plateforme, mais reste tenue d’assurer l’information.

À retenir :
→ Publier sur les réseaux sociaux implique presque toujours un traitement de données personnelles
→ L’entreprise est généralement responsable conjointement avec la plateforme
→ L’obligation d’information s’applique même aux interactions ordinaires
→ Les utilisateurs doivent comprendre clairement l’usage de leurs données
→ La conformité dépend autant de la transparence que de l’accessibilité des informations

Réseaux sociaux et traitement des données personnelles

Dès que des données personnelles font l’objet d’un traitement¹, les prescriptions du droit de la protection des données doivent être respectées. Cette règle s’applique également aux réseaux sociaux. Les données personnelles englobent toutes les informations se rapportant à une personne physique identifiable. Sur de nombreux profils de réseaux sociaux, cette identifiabilité est donnée (il est donc possible de déterminer de quelle personne il s’agit). Il n’est pas nécessaire que la personne soit effectivement identifiée. Par conséquent, lorsqu’une entreprise utilise les réseaux sociaux, elle doit déjà respecter les exigences du droit de la protection des données dans le cadre d’interactions courantes (par ex. réactions ou commentaires sur des publications, messages privés, etc.). Cette obligation s’impose d’autant plus lorsque les réseaux sociaux sont utilisés d’une manière plus intrusive pour la sphère privée (par ex. dans le cadre du ciblage publicitaire, soit une communication personnalisée et ciblée).

Cela signifie notamment que les personnes concernées doivent être informées de manière transparente de ce qu’il advient de leurs données personnelles.

Qui doit informer ?

L’obligation d’informer les personnes concernées incombe au responsable du traitement, c’est-à-dire à l’organisation qui détermine les finalités du traitement des données personnelles. Les circonstances réelles sont déterminantes à cet égard (autrement dit les possibilités concrètes d’influencer le traitement des données). Il n’est pas possible de prévoir contractuellement une autre répartition des responsabilités.

Lorsqu’une entreprise utilise les réseaux sociaux, elle est responsable, conjointement avec l’exploitant de la plateforme (par ex. Meta pour Instagram ou Facebook), du respect des dispositions en matière de protection des données (on parle de responsables conjoints ou de « Joint Controllers »). Cette question est clarifiée depuis longtemps par la jurisprudence au sein de l’Union européenne. En Suisse, il en va de même, les concepts et notions déterminants étant, dans une large mesure, identiques. 

En pratique, cette responsabilité conjointe implique que les parties concernées (l’entreprise et la plateforme) doivent définir la répartition de leurs obligations en matière de protection des données. Bien qu’une telle répartition ne soit pas expressément imposée par la loi suisse (contrairement au droit européen), elle découle indirectement de la LPD. Ce n’est qu’en convenant clairement de la répartition des obligations (par exemple concernant l’information des personnes concernées) que les parties peuvent s’assurer que celles-ci seront effectivement remplies.