C-210/1662016CJ0210EU:C:2018:3880001111818CJ

Arrêt du 5. 6. 2018 – Affaire C‑210/16

Wirtschaftsakademie Schleswig-Holstein

<TI><P><HT TYPE="UC">Arrêt de la cour</HT> (grande chambre)</P><P><DATE ISO="20180605">5 juin 2018</DATE><NOTE TYPE="FOOTNOTE" NUMBERING="STAR" NOTE.ID="E0001"><P>Langue de procédure : l’allemand.</P></NOTE></P></TI>Renvoi préjudicielDirective 95/46/CEDonnées à caractère personnelProtection des personnes physiques à l’égard du traitement de ces donnéesInjonction visant à désactiver une page Facebook (fan page) permettant de collecter et de traiter certaines données liées aux visiteurs de cette pageArticle 2, sous d)Responsable du traitement de données à caractère personnelArticle 4Droit national applicableArticle 28Autorités nationales de contrôlePouvoirs d’intervention de ces autorités

Dans l’affaire C‑210/16,

ayant pour objet une demande de décision préjudicielle au titre de l’article 267 TFUE, introduite par le Bundesverwaltungsgericht (Cour administrative fédérale, Allemagne), par décision du 25 février 2016, parvenue à la Cour le 14 avril 2016, dans la procédure

Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

contre

Wirtschaftsakademie Schleswig-Holstein GmbH,

en présence de :

Facebook Ireland Ltd,

Vertreter des Bundesinteresses beim Bundesverwaltungsgericht,

LA COUR (grande chambre),

composée de M. K. Lenaerts, président, M. A. Tizzano (rapporteur), vice‑président, MM. M. Ilešič, L. Bay Larsen, T. von Danwitz, A. Rosas, J. Malenovský et E. Levits, présidents de chambre, MM. E. Juhász, A. Borg Barthet, F. Biltgen, Mme K. Jürimäe, MM. C. Lycourgos, M. Vilaras et E. Regan, juges,

avocat général : M. Y. Bot,

greffier : Mme C. Strömholm, administrateur,

vu la procédure écrite et à la suite de l’audience du 27 juin 2017,

considérant les observations présentées :

pour l’Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein, par Mes U. Karpenstein et M. Kottmann, Rechtsanwälte,

pour Wirtschaftsakademie Schleswig-Holstein GmbH, par Me C. Wolff, Rechtsanwalt,

pour Facebook Ireland Ltd, par Mes C. Eggers, H.-G. Kamann et M. Braun, Rechtsanwälte, ainsi que par Me I. Perego, avvocato,

pour le gouvernement allemand, par M. J. Möller, en qualité d’agent,

pour le gouvernement belge, par Mmes L. Van den Broeck et C. Pochet ainsi que par MM. P. Cottin et J.-C. Halleux, en qualité d’agents,

pour le gouvernement tchèque, par MM. M. Smolek et J. Vláčil ainsi que par Mme L. Březinová, en qualité d’agents,

pour l’Irlande, par Mmes M. Browne, L. Williams, E. Creedon et G. Gilmore ainsi que par M. A. Joyce, en qualité d’agents,

pour le gouvernement italien, par Mme G. Palmieri, en qualité d’agent, assistée de M. P. Gentili, avvocato dello Stato,

pour le gouvernement néerlandais, par Mmes C. S. Schillemans et M. K. Bulterman, en qualité d’agents,

pour le gouvernement finlandais, par M. J. Heliskoski, en qualité d’agent,

pour la Commission européenne, par MM. H. Krämer et D. Nardi, en qualité d’agents,

ayant entendu l’avocat général en ses conclusions à l’audience du 24 octobre 2017,rend le présent<TI><P><HT TYPE="BOLD">Arrêt</HT></P></TI>1La demande de décision préjudicielle porte sur l’interprétation de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31).2Cette demande a été présentée dans le cadre d’un litige opposant l’Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (autorité régionale indépendante de protection des données du Schleswig-Holstein, Allemagne) (ci‑après l’ ULD ) à Wirtschaftsakademie Schleswig-Holstein GmbH, société de droit privé spécialisée dans le domaine de l’éducation (ci‑après  Wirtschaftsakademie ), au sujet de la légalité d’une injonction faite par l’ULD à cette dernière de désactiver sa page fan hébergée sur le site du réseau social Facebook (ci-après  Facebook ).<TI><P><HT TYPE="BOLD">Le cadre juridique</HT></P></TI><TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Le droit de l’Union</HT></HT></P></TI>3Les considérants 10, 18, 19 et 26 de la directive 95/46 énoncent : (10)considérant que l’objet des législations nationales relatives au traitement des données à caractère personnel est d’assurer le respect des droits et libertés fondamentaux, notamment du droit à la vie privée reconnu également dans l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales et dans les principes généraux du droit [de l’Union] ; que, pour cette raison, le rapprochement de ces législations ne doit pas conduire à affaiblir la protection qu’elles assurent mais doit, au contraire, avoir pour objectif de garantir un niveau élevé de protection dans [l’Union] ;

[...]

(18)considérant qu’il est nécessaire, afin d’éviter qu’une personne soit exclue de la protection qui lui est garantie en vertu de la présente directive, que tout traitement de données à caractère personnel effectué dans [l’Union] respecte la législation de l’un des États membres ; que, à cet égard, il est opportun de soumettre les traitements de données effectués par toute personne opérant sous l’autorité du responsable du traitement établi dans un État membre à l’application de la législation de cet État ;(19)considérant que l’établissement sur le territoire d’un État membre suppose l’exercice effectif et réel d’une activité au moyen d’une installation stable ; que la forme juridique retenue pour un tel établissement, qu’il s’agisse d’une simple succursale ou d’une filiale ayant la personnalité juridique, n’est pas déterminante à cet égard ; que, lorsqu’un même responsable est établi sur le territoire de plusieurs États membres, en particulier par le biais d’une filiale, il doit s’assurer, notamment en vue d’éviter tout contournement, que chacun des établissements remplit les obligations prévues par le droit national applicable aux activités de chacun d’eux ;

[...]

(26)considérant que les principes de la protection doivent s’appliquer à toute information concernant une personne identifiée ou identifiable ; que, pour déterminer si une personne est identifiable, il convient de considérer l’ensemble des moyens susceptibles d’être raisonnablement mis en œuvre, soit par le responsable du traitement, soit par une autre personne, pour identifier ladite personne ; que les principes de la protection ne s’appliquent pas aux données rendues anonymes d’une manière telle que la personne concernée n’est plus identifiable ; […] 4L’article 1er de la directive 95/46, intitulé  Objet de la directive , prévoit :

 1.Les États membres assurent, conformément à la présente directive, la protection des libertés et droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel.2.Les États membres ne peuvent restreindre ni interdire la libre circulation des données à caractère personnel entre États membres pour des raisons relatives à la protection assurée en vertu du paragraphe 1. 

5L’article 2 de cette directive, intitulé  Définitions , est libellé comme suit :

 Aux fins de la présente directive, on entend par :

[...]

b)traitement de données à caractère personnel (traitement) : toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction ;

[...]

d)responsable du traitement : la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel ; lorsque les finalités et les moyens du traitement sont déterminés par des dispositions législatives ou réglementaires nationales ou [de l’Union], le responsable du traitement ou les critères spécifiques pour le désigner peuvent être fixés par le droit national ou [de l’Union] ;e)[sous-traitant] : la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement ;f)tiers : la personne physique ou morale, l’autorité publique, le service ou tout autre organisme autre que la personne concernée, le responsable du traitement, le sous-traitant et les personnes qui, placées sous l’autorité directe du responsable du traitement ou du sous-traitant, sont habilitées à traiter les données ;[...] 

6L’article 4 de ladite directive, intitulé  Droit national applicable , énonce, à son paragraphe 1 :

 Chaque État membre applique les dispositions nationales qu’il arrête en vertu de la présente directive aux traitements de données à caractère personnel lorsque :

a)le traitement est effectué dans le cadre des activités d’un établissement du responsable du traitement sur le territoire de l’État membre ; si un même responsable du traitement est établi sur le territoire de plusieurs États membres, il doit prendre les mesures nécessaires pour assurer le respect, par chacun de ses établissements, des obligations prévues par le droit national applicable ;b)le responsable du traitement n’est pas établi sur le territoire de l’État membre mais en un lieu où sa loi nationale s’applique en vertu du droit international public ;c)le responsable du traitement n’est pas établi sur le territoire de [l’Union] et recourt, à des fins de traitement de données à caractère personnel, à des moyens, automatisés ou non, situés sur le territoire dudit État membre, sauf si ces moyens ne sont utilisés qu’à des fins de transit sur le territoire de [l’Union]. 

7L’article 17 de la directive 95/46, intitulé  Sécurité des traitements , dispose, à ses paragraphes 1 et 2 :

 1.Les États membres prévoient que le responsable du traitement doit mettre en œuvre les mesures techniques et d’organisation appropriées pour protéger les données à caractère personnel contre la destruction accidentelle ou illicite, la perte accidentelle, l’altération, la diffusion ou l’accès non autorisés, notamment lorsque le traitement comporte des transmissions de données dans un réseau, ainsi que contre toute autre forme de traitement illicite.Ces mesures doivent assurer, compte tenu de l’état de l’art et des coûts liés à leur mise en œuvre, un niveau de sécurité approprié au regard des risques présentés par le traitement et de la nature des données à protéger.2.Les États membres prévoient que le responsable du traitement, lorsque le traitement est effectué pour son compte, doit choisir un sous-traitant qui apporte des garanties suffisantes au regard des mesures de sécurité technique et d’organisation relatives aux traitements à effectuer et qu’il doit veiller au respect de ces mesures. 

8L’article 24 de cette directive, intitulé  Sanctions , prévoit :

 Les États membres prennent les mesures appropriées pour assurer la pleine application des dispositions de la présente directive et déterminent notamment les sanctions à appliquer en cas de violation des dispositions prises en application de la présente directive. 

9L’article 28 de ladite directive, intitulé  Autorité de contrôle , est libellé comme suit :

 1.Chaque État membre prévoit qu’une ou plusieurs autorités publiques sont chargées de surveiller l’application, sur son territoire, des dispositions adoptées par les États membres en application de la présente directive.Ces autorités exercent en toute indépendance les missions dont elles sont investies.2.Chaque État membre prévoit que les autorités de contrôle sont consultées lors de l’élaboration des mesures réglementaires ou administratives relatives à la protection des droits et libertés des personnes à l’égard du traitement de données à caractère personnel.3.

Chaque autorité de contrôle dispose notamment :

de pouvoirs d’investigation, tels que le pouvoir d’accéder aux données faisant l’objet d’un traitement et de recueillir toutes les informations nécessaires à l’accomplissement de sa mission de contrôle,

de pouvoirs effectifs d’intervention, tels que, par exemple, celui de rendre des avis préalablement à la mise en œuvre des traitements, conformément à l’article 20, et d’assurer une publication appropriée de ces avis ou celui d’ordonner le verrouillage, l’effacement ou la destruction de données, ou d’interdire temporairement ou définitivement un traitement, ou celui d’adresser un avertissement ou une admonestation au responsable du traitement ou celui de saisir les parlements nationaux ou d’autres institutions politiques,

du pouvoir d’ester en justice en cas de violation des dispositions nationales prises en application de la présente directive ou du pouvoir de porter ces violations à la connaissance de l’autorité judiciaire.

Les décisions de l’autorité de contrôle faisant grief peuvent faire l’objet d’un recours juridictionnel.

[...]

6.Indépendamment du droit national applicable au traitement en cause, chaque autorité de contrôle a compétence pour exercer, sur le territoire de l’État membre dont elle relève, les pouvoirs dont elle est investie conformément au paragraphe 3. Chaque autorité peut être appelée à exercer ses pouvoirs sur demande d’une autorité d’un autre État membre.Les autorités de contrôle coopèrent entre elles dans la mesure nécessaire à l’accomplissement de leurs missions, notamment en échangeant toute information utile.[...] 

<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Le droit allemand</HT></HT></P></TI>10L’article 3, paragraphe 7, du Bundesdatenschutzgesetz (loi fédérale sur la protection des données), dans sa version applicable aux faits au principal (ci-après le  BDSG ), est libellé comme suit :

 On entend par organisme responsable toute personne ou tout organisme qui collecte, traite ou utilise des données à caractère personnel pour son compte ou par l’intermédiaire d’autrui en sous-traitance. 

11L’article 11 du BDSG, intitulé  Collecte, traitement ou utilisation de données à caractère personnel par l’intermédiaire d’autrui en sous-traitance , est ainsi rédigé :

 (1)Si des données à caractère personnel sont collectées, traitées ou utilisées par l’intermédiaire d’autres organismes en sous-traitance, le responsable du traitement en sous-traitance est responsable du respect des dispositions de la présente loi et d’autres dispositions relatives à la protection des données. [...](2)Le sous-traitant doit être rigoureusement choisi en tenant particulièrement compte du caractère approprié des mesures techniques et organisationnelles qu’il a prises. La sous-traitance requiert la forme écrite, étant entendu qu’il convient en particulier de déterminer en détail : [...]Le responsable du traitement en sous-traitance doit s’assurer du respect des mesures techniques et organisationnelles prises par le sous-traitant avant le début du traitement des données, puis de manière régulière. Le résultat doit être consigné.[...] 

12L’article 38, paragraphe 5, du BDSG dispose :

 Pour garantir le respect de la présente loi et d’autres dispositions relatives à la protection des données, l’autorité de surveillance peut ordonner des mesures visant à remédier aux infractions constatées dans la collecte, le traitement ou l’utilisation de données à caractère personnel ou à des manquements techniques ou organisationnels. En cas d’infractions ou de manquements graves, notamment lorsque ceux-ci représentent un risque particulier d’atteinte au droit à la vie privée, elle peut interdire la collecte, le traitement ou l’utilisation, voire le recours à certaines procédures, lorsqu’il n’est pas remédié aux infractions ou manquements en temps utile, en violation de l’injonction visée dans la première phrase et en dépit de l’application d’une astreinte. Elle peut demander le renvoi de l’agent de protection des données, s’il ne possède pas l’expertise et la fiabilité nécessaires pour accomplir ses tâches. 

13L’article 12 du Telemediengesetz (loi sur les médias électroniques), du 26 février 2007 (BGBl. 2007 I, p. 179, ci-après le  TMG ), est libellé comme suit :

 (1)Le fournisseur de services ne peut collecter et utiliser des données à caractère personnel aux fins de la mise à disposition de médias électroniques que si la présente loi ou un autre instrument juridique qui vise expressément les médias électroniques l’autorise ou si l’utilisateur y a consenti.

[...]

(3)Sauf dispositions contraires, la législation en vigueur régissant la protection des données à caractère personnel doit être appliquée même si les données ne font pas l’objet d’un traitement automatisé. 

<TI><P><HT TYPE="BOLD">Le litige au principal et les questions préjudicielles</HT></P></TI>14Wirtschaftsakademie offre des services de formation au moyen d’une page fan hébergée sur Facebook.15Les pages fan sont des comptes d’utilisateurs qui peuvent être configurés sur Facebook par des particuliers ou des entreprises. Pour ce faire, l’auteur de la page fan, une fois enregistré auprès de Facebook, peut utiliser la plateforme aménagée par ce dernier pour se présenter aux utilisateurs de ce réseau social ainsi qu’aux personnes visitant la page fan et diffuser des communications de toute nature sur le marché des médias et de l’opinion. Les administrateurs de pages fan peuvent obtenir des données statistiques anonymes concernant les visiteurs de ces pages à l’aide d’une fonction intitulée Facebook Insight, mise gratuitement à leur disposition par Facebook selon des conditions d’utilisation non modifiables. Ces données sont collectées grâce à des fichiers témoins (ci-après les  cookies ) comportant chacun un code utilisateur unique, actifs pendant deux ans et sauvegardés par Facebook sur le disque dur de l’ordinateur ou sur tout autre support des visiteurs de la page fan. Le code utilisateur, qui peut être mis en relation avec les données de connexion des utilisateurs enregistrés sur Facebook, est collecté et traité au moment de l’ouverture des pages fan. À cet égard, il ressort de la décision de renvoi que ni Wirtschaftsakademie ni Facebook Ireland Ltd n’ont évoqué l’opération de sauvegarde et le fonctionnement de ce cookie ou le traitement consécutif des données, tout au moins au cours de la période pertinente pour la procédure au principal.16Par décision du 3 novembre 2011 (ci-après la  décision attaquée ), l’ULD, en sa qualité d’autorité de contrôle, au sens de l’article 28 de la directive 95/46, chargée de surveiller l’application sur le territoire du Land du Schleswig-Holstein (Allemagne) des dispositions adoptées par la République fédérale d’Allemagne en application de cette directive, a ordonné à Wirtschaftsakademie, conformément à l’article 38, paragraphe 5, première phrase, du BDSG, de désactiver la page fan qu’elle avait créée sur Facebook à l’adresse www.facebook.com/wirtschaftsakademie, sous peine d’astreinte en cas de non-exécution dans le délai prescrit, au motif que ni Wirtschaftsakademie ni Facebook n’informaient les visiteurs de la page fan que ce dernier collectait, à l’aide de cookies, des informations à caractère personnel les concernant et qu’ils traitaient ensuite ces informations. Wirtschaftsakademie a introduit une réclamation contre cette décision, en faisant valoir, en substance, qu’elle n’était responsable, au regard du droit applicable à la protection des données, ni du traitement des données effectué par Facebook ni des cookies installés par ce dernier.17Par décision du 16 décembre 2011, l’ULD a rejeté cette réclamation en considérant que la responsabilité de Wirtschaftsakademie en tant que fournisseur de services était établie en application de l’article 3, paragraphe 3, point 4, et de l’article 12, paragraphe 1, du TMG, en combinaison avec l’article 3, paragraphe 7, du BDSG. L’ULD a exposé que, en ayant créé sa page fan, Wirtschaftsakademie apportait une contribution active et volontaire à la collecte, par Facebook, de données à caractère personnel concernant les visiteurs de cette page fan, données dont elle profitait au moyen des statistiques mises à sa disposition par ce dernier.18Wirtschaftsakademie a introduit un recours contre cette décision devant le Verwaltungsgericht (tribunal administratif, Allemagne), en faisant valoir que le traitement des données à caractère personnel effectué par Facebook ne pouvait lui être imputé et qu’elle n’avait pas non plus chargé Facebook de procéder, au sens de l’article 11 du BDSG, au traitement de données qu’elle contrôlerait ou qu’elle pourrait influencer. Wirtschaftsakademie en déduisait que l’ULD aurait dû agir directement contre Facebook, et non adopter contre elle la décision attaquée.19Par un arrêt du 9 octobre 2013, le Verwaltungsgericht (tribunal administratif) a annulé la décision attaquée au motif, en substance, que, l’administrateur d’une page fan sur Facebook n’étant pas un organisme responsable au sens de l’article 3, paragraphe 7, du BDSG, Wirtschaftsakademie ne pouvait être destinataire d’une mesure prise au titre de l’article 38, paragraphe 5, du BDSG.20L’Oberverwaltungsgericht (tribunal administratif supérieur, Allemagne) a rejeté l’appel introduit par l’ULD contre cet arrêt comme étant non fondé. Cette juridiction a considéré en substance que l’interdiction du traitement des données, énoncée dans la décision attaquée, était illégale, dans la mesure où l’article 38, paragraphe 5, deuxième phrase, du BDSG prévoit un processus progressif, dont la première étape permet uniquement d’adopter des mesures visant à remédier aux infractions constatées lors du traitement de données. Une interdiction immédiate du traitement de données ne serait envisageable que si une procédure de traitement de données est illicite dans sa globalité et que seule la suspension de cette procédure permet d’y remédier. Or, selon l’Oberverwaltungsgericht (tribunal administratif supérieur), tel n’aurait pas été le cas en l’espèce, dès lors que Facebook aurait eu la possibilité de faire cesser les infractions alléguées par l’ULD.21L’Oberverwaltungsgericht (tribunal administratif supérieur) a ajouté que la décision attaquée était illégale également pour le motif qu’une injonction au titre de l’article 38, paragraphe 5, du BDSG ne peut être prononcée qu’à l’encontre de l’organisme responsable, au sens de l’article 3, paragraphe 7, du BDSG, ce que ne serait pas Wirtschaftsakademie s’agissant des données collectées par Facebook. En effet, seul Facebook déciderait de la finalité et des moyens relatifs à la collecte et au traitement des données à caractère personnel utilisées dans le cadre de la fonction Facebook Insight, Wirtschaftsakademie ne recevant, quant à elle, que des informations statistiques rendues anonymes.22L’ULD a introduit un recours en Revision devant le Bundesverwaltungsgericht (Cour administrative fédérale, Allemagne), en invoquant, entre autres arguments, une violation de l’article 38, paragraphe 5, du BDSG ainsi que plusieurs erreurs procédurales entachant la décision de la juridiction d’appel. Elle considère que l’infraction commise par Wirtschaftsakademie tient au fait que celle-ci a confié à un fournisseur inapproprié, car non respectueux du droit applicable à la protection des données, en l’occurrence Facebook Ireland, le soin de la réalisation, de l’hébergement et de la maintenance d’un site Internet. L’injonction faite à Wirtschaftsakademie, par la décision attaquée, de procéder à la désactivation de sa page fan viserait ainsi à remédier à cette infraction, puisqu’elle lui ferait interdiction de continuer à utiliser l’infrastructure de Facebook comme base technique de son site Internet.23À l’instar de l’Oberverwaltungsgericht (tribunal administratif supérieur), le Bundesverwaltungsgericht (Cour administrative fédérale) est d’avis que Wirtschaftsakademie ne saurait elle-même être considérée comme étant responsable du traitement de données, au sens de l’article 3, paragraphe 7, du BDSG ou de l’article 2, sous d), de la directive 95/46. Cette dernière juridiction estime, néanmoins, que cette notion doit être, en principe, interprétée de manière extensive dans l’intérêt d’une protection efficace du droit à la vie privée, ainsi que la Cour l’aurait admis dans sa jurisprudence récente en la matière. Elle éprouve, par ailleurs, des doutes quant aux pouvoirs dont dispose en l’occurrence l’ULD à l’égard de Facebook Germany, eu égard au fait que le responsable de la collecte et du traitement de données personnelles au sein du groupe Facebook est, au niveau de l’Union, Facebook Ireland. Enfin, elle s’interroge sur l’incidence, aux fins de l’exercice des pouvoirs d’intervention de l’ULD, des appréciations portées par l’autorité de contrôle dont relève Facebook Ireland quant à la légalité du traitement de données personnelles en cause.24Dans ces conditions, le Bundesverwaltungsgericht (Cour administrative fédérale) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes : 1)L’article 2, sous d), de la directive [95/46] doit-il être interprété en ce sens qu’il régit de manière définitive et exhaustive la responsabilité en cas d’atteinte à la protection des données, ou peut-on encore, dans le cadre des mesures appropriées visées à l’article 24 de [cette directive] et des pouvoirs effectifs d’intervention visés à l’article 28, paragraphe 3, deuxième tiret, de [celle-ci], en présence de fournisseurs d’informations en cascade, retenir la responsabilité d’un organisme qui n’est pas le responsable du traitement des données au sens de l’article 2, sous d), de [ladite directive] au titre du choix d’un administrateur pour son offre d’informations ?2)Résulte-t-il, a contrario, de l’obligation des États membres découlant de l’article 17, paragraphe 2, de la directive [95/46] d’exiger, dans le traitement des données en sous-traitance, que le responsable du traitement [choisisse] un sous-traitant qui apporte des garanties suffisantes au regard des mesures de sécurité technique et d’organisation relatives aux traitements à effectuer, qu’il n’existe, dans le cadre d’autres utilisations n’impliquant aucun traitement de données en sous-traitance au sens de l’article 2, sous e), de [cette directive], aucune obligation de faire un choix rigoureux, et que celle-ci ne [puisse] pas non plus être instituée sur le fondement du droit national ?3)Lorsqu’une société mère établie en dehors de l’Union européenne dispose d’établissements juridiquement indépendants (filiales) dans différents États membres, l’autorité de contrôle d’un État membre (en l’espèce l’Allemagne) est-elle également habilitée, en vertu de l’article 4 et de l’article 28, paragraphe 6, de la directive [95/46], à exercer les pouvoirs dont elle est investie conformément à l’article 28, paragraphe 3, de [celle-ci] à l’encontre de l’établissement situé sur son territoire, si cet établissement assure uniquement la promotion et la vente d’espaces publicitaires ainsi que d’autres mesures de marketing destinées aux habitants de cet État membre, alors que l’établissement indépendant (filiale) établi dans un autre État membre (en l’espèce l’Irlande) a, en vertu de la répartition des missions au sein du groupe, la responsabilité exclusive de la collecte et du traitement des données à caractère personnel sur l’ensemble du territoire de l’Union européenne et donc également dans l’autre État membre (en l’espèce l’Allemagne), si la décision relative au traitement des données est en fait prise par la société mère ?4)L’article 4, paragraphe 1, et l’article 28, paragraphe 3, de la directive [95/46] doivent-ils être interprétés en ce sens que, lorsque le responsable du traitement possède un établissement sur le territoire d’un État membre (en l’espèce l’Irlande), et qu’il existe un autre établissement juridiquement indépendant sur le territoire d’un autre État membre (en l’espèce l’Allemagne), lequel est chargé, entre autres, de la vente d’espaces publicitaires, et dont l’activité est destinée aux habitants de cet État, l’autorité de contrôle compétente dans cet autre État membre (en l’espèce l’Allemagne) peut prendre des mesures et des injonctions en vue de mettre en œuvre le droit applicable à la protection des données, y compris à l’encontre de l’autre établissement qui n’est pas responsable du traitement des données d’après la répartition des missions et responsabilités au sein du groupe (en l’espèce l’Allemagne), ou les mesures et injonctions ne doivent-elles, dans ce cas, être prises que par l’autorité de contrôle de l’État membre (en l’espèce l’Irlande) sur le territoire duquel l’organisme responsable au sein du groupe a son siège ?5)L’article 4, paragraphe 1, sous a), et l’article 28, paragraphes 3 et 6, de la directive [95/46] doivent-ils être interprétés en ce sens que, lorsque l’autorité de contrôle d’un État membre (en l’espèce l’Allemagne) met en cause une personne ou un organisme exerçant ses activités sur son territoire en application de l’article 28, paragraphe 3, de [cette directive] en raison du choix non rigoureux d’un tiers impliqué dans le processus de traitement des données (en l’espèce Facebook), au motif que ce tiers a enfreint le droit applicable à la protection des données, l’autorité de contrôle intervenante (en l’espèce l’Allemagne) est liée par l’appréciation au regard du droit applicable à la protection des données émanant de l’autorité de contrôle de l’autre État membre, dans lequel le tiers responsable du traitement des données a son établissement (en l’espèce l’Irlande), en ce sens qu’elle n’est pas habilitée à émettre une appréciation juridique divergente, ou l’autorité de contrôle intervenante (en l’espèce l’Allemagne) peut-elle examiner de manière autonome la légalité du traitement des données effectué par le tiers établi dans un autre État membre (en l’espèce l’Irlande) à titre incident ?6)Dans l’hypothèse où l’autorité de contrôle intervenante (en l’espèce l’Allemagne) [serait] habilitée à effectuer un contrôle autonome : l’article 28, paragraphe 6, deuxième phrase, de la directive [95/46] doit-il être interprété en ce sens que cette autorité de contrôle ne peut exercer les pouvoirs effectifs d’intervention dont elle est investie conformément à l’article 28, paragraphe 3, de [cette] directive à l’encontre d’une personne ou d’un organisme établis sur son territoire au titre de leur part de responsabilité dans les atteintes à la protection des données commises par le tiers établi dans un autre État membre que si elle a préalablement appelé l’autorité de contrôle de cet autre État membre (en l’espèce l’Irlande) à exercer ses pouvoirs ? <TI><P><HT TYPE="BOLD">Sur les questions préjudicielles</HT></P></TI><TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Sur les première et deuxième questions</HT></HT></P></TI>25Par ses première et deuxième questions, qu’il convient d’examiner ensemble, la juridiction de renvoi vise, en substance, à savoir si l’article 2, sous d), l’article 17, paragraphe 2, l’article 24 et l’article 28, paragraphe 3, deuxième tiret, de la directive 95/46 doivent être interprétés en ce sens qu’ils permettent de retenir la responsabilité d’un organisme, en sa qualité d’administrateur d’une page fan hébergée sur un réseau social, en cas d’atteinte aux règles relatives à la protection des données à caractère personnel, en raison du choix d’avoir recours à ce réseau social pour diffuser son offre d’informations.26Afin de répondre à ces questions, il convient de rappeler que, ainsi qu’il résulte de son article 1er, paragraphe 1, et de son considérant 10, la directive 95/46 vise à garantir un niveau élevé de protection des libertés et des droits fondamentaux des personnes physiques, notamment de leur vie privée, a' l’égard du traitement des données a' caractère personnel (arrêt du 11 décembre 2014, Ryneš, C‑212/13, EU:C:2014:2428, point 27 et jurisprudence citée).27Conformément à cet objectif, l’article 2, sous d), de cette directive définit de manière large la notion de  responsable du traitement  comme visant la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel.28En effet, ainsi que la Cour l’a déjà jugé, l’objectif de cette disposition est d’assurer, par une définition large de la notion de  responsable , une protection efficace et complète des personnes concernées (arrêt du 13 mai 2014, Google Spain et Google, C‑131/12, EU:C:2014:317, point 34).29En outre, dès lors que, ainsi que le prévoit expressément l’article 2, sous d), de la directive 95/46, la notion de  responsable du traitement  vise l’organisme qui,  seul ou conjointement avec d’autres , détermine les finalités et les moyens du traitement de données à caractère personnel, cette notion ne renvoie pas nécessairement à un organisme unique et peut concerner plusieurs acteurs participant à ce traitement, chacun d’entre eux étant alors soumis aux dispositions applicables en matière de protection des données.30En l’occurrence, Facebook Inc. et, s’agissant de l’Union, Facebook Ireland doivent être regardées comme déterminant, à titre principal, les finalités et les moyens du traitement des données à caractère personnel des utilisateurs de Facebook ainsi que des personnes ayant visité les pages fan hébergées sur Facebook, et relèvent ainsi de la notion de  responsable du traitement , au sens de l’article 2, sous d), de la directive 95/46, ce qui n’est pas mis en doute dans la présente affaire.31Cela étant, et afin de répondre aux questions posées, il y a lieu d’examiner si et dans quelle mesure l’administrateur d’une page fan hébergée sur Facebook, tel que Wirtschaftsakademie, contribue, dans le cadre de cette page fan, à déterminer, conjointement avec Facebook Ireland et Facebook Inc., les finalités et les moyens du traitement des données personnelles des visiteurs de ladite page fan et peut donc, lui aussi, être considéré comme étant  responsable du traitement , au sens de l’article 2, sous d), de la directive 95/46.32À cet égard, il apparaît que toute personne souhaitant créer une page fan sur Facebook conclut avec Facebook Ireland un contrat spécifique relatif à l’ouverture d’une telle page et souscrit, à ce titre, aux conditions d’utilisation de cette page, y compris à la politique en matière de cookies qui y est relative, ce qu’il appartient à la juridiction nationale de vérifier.33Ainsi qu’il ressort du dossier soumis à la Cour, les traitements de données en cause au principal sont essentiellement effectués moyennant le placement, par Facebook, sur l’ordinateur ou sur tout autre appareil des personnes ayant visité la page fan, de cookies visant à stocker des informations sur les navigateurs web et qui restent actifs pendant deux ans s’ils ne sont pas effacés. Il en ressort également que, en pratique, Facebook reçoit, enregistre et traite les informations stockées dans les cookies notamment lorsqu’une personne visite  les services Facebook, les services proposés par d’autres compagnies Facebook et des services proposés par d’autres entreprises qui utilisent les services Facebook . En outre, d’autres entités, telles que les partenaires de Facebook ou même des tiers,  sont susceptibles d’utiliser des cookies sur les services Facebook pour [proposer des services directement à ce réseau social] ainsi qu’aux entreprises qui font de la publicité sur Facebook .34Ces traitements de données à caractère personnel visent notamment à permettre, d’une part, à Facebook d’améliorer son système de publicité qu’il diffuse à travers son réseau et, d’autre part, à l’administrateur de la page fan d’obtenir des statistiques établies par Facebook à partir des visites de cette page, à des fins de gestion de la promotion de son activité, lui permettant de connaître, par exemple, le profil des visiteurs qui apprécient sa page fan ou qui utilisent ses applications, afin qu’il puisse leur proposer un contenu plus pertinent et développer des fonctionnalités susceptibles de les intéresser davantage.35Or, si le simple fait d’utiliser un réseau social tel que Facebook ne rend pas un utilisateur de Facebook coresponsable d’un traitement de données à caractère personnel effectué par ce réseau, il convient, en revanche, de relever que l’administrateur d’une page fan hébergée sur Facebook, par la création d’une telle page, offre à Facebook la possibilité de placer des cookies sur l’ordinateur ou sur tout autre appareil de la personne ayant visité sa page fan, que cette personne dispose ou non d’un compte Facebook.36Dans ce cadre, il ressort des indications soumises à la Cour que la création d’une page fan sur Facebook implique de la part de son administrateur une action de paramétrage, en fonction, notamment, de son audience cible ainsi que d’objectifs de gestion ou de promotion de ses activités, qui influe sur le traitement de données à caractère personnel aux fins de l’établissement des statistiques établies à partir des visites de la page fan. Cet administrateur peut, à l’aide de filtres mis à sa disposition par Facebook, définir les critères à partir desquels ces statistiques doivent être établies et même désigner les catégories de personnes qui vont faire l’objet de l’exploitation de leurs données à caractère personnel par Facebook. Par conséquent, l’administrateur d’une page fan hébergée sur Facebook contribue au traitement des données à caractère personnel des visiteurs de sa page.37En particulier, l’administrateur de la page fan peut demander à obtenir – et donc que soient traitées – des données démographiques concernant son audience cible, notamment des tendances en matière d’âge, de sexe, de situation amoureuse et de profession, des informations sur le style de vie et les centres d’intérêt de son audience cible ainsi que des informations concernant les achats et le comportement d’achat en ligne des visiteurs de sa page, les catégories de produits ou de services qui l’intéressent le plus, de même que des données géographiques qui permettent à l’administrateur de la page fan de savoir où effectuer des promotions spéciales ou organiser des événements et, de manière plus générale, de cibler au mieux son offre d’informations.38S’il est vrai que les statistiques d’audience établies par Facebook sont uniquement transmises à l’administrateur de la page fan sous une forme anonymisée, il n’en demeure pas moins que l’établissement de ces statistiques repose sur la collecte préalable, au moyen de cookies installés par Facebook sur l’ordinateur ou sur tout autre appareil des personnes ayant visité cette page, et le traitement des données personnelles de ces visiteurs à de telles fins statistiques. En tout état de cause, la directive 95/46 n’exige pas, lorsqu’il y a une responsabilité conjointe de plusieurs opérateurs pour un même traitement, que chacun ait accès aux données à caractère personnel concernées.39Dans ces circonstances, il y a lieu de considérer que l’administrateur d’une page fan hébergée sur Facebook, tel que Wirtschaftsakademie, participe, par son action de paramétrage, en fonction, notamment, de son audience cible ainsi que d’objectifs de gestion ou de promotion de ses activités, à la détermination des finalités et des moyens du traitement des données personnelles des visiteurs de sa page fan. De ce fait, cet administrateur doit être, en l’occurrence, qualifié de responsable au sein de l’Union, conjointement avec Facebook Ireland, de ce traitement, au sens de l’article 2, sous d), de la directive 95/46.40En effet, le fait pour un administrateur d’une page fan d’utiliser la plateforme mise en place par Facebook, afin de bénéficier des services y afférents, ne saurait l’exonérer du respect de ses obligations en matière de protection des données à caractère personnel.41Au demeurant, il importe de souligner que les pages fan hébergées sur Facebook peuvent être visitées également par des personnes qui ne sont pas utilisateurs de Facebook et qui ne disposent donc pas d’un compte utilisateur sur ce réseau social. Dans ce cas, la responsabilité de l’administrateur de la page fan à l’égard du traitement des données à caractère personnel de ces personnes apparaît encore plus importante, car la simple consultation de la page fan par des visiteurs déclenche automatiquement le traitement de leurs données à caractère personnel.42Dans ces conditions, la reconnaissance d’une responsabilité conjointe de l’exploitant du réseau social et de l’administrateur d’une page fan hébergée sur ce réseau en relation avec le traitement des données personnelles des visiteurs de cette page fan contribue à assurer une protection plus complète des droits dont disposent les personnes qui visitent une page fan, conformément aux exigences de la directive 95/46.43Cela étant, il y a lieu de préciser, ainsi que l’a relevé M. l’avocat général aux points 75 et 76 de ses conclusions, que l’existence d’une responsabilité conjointe ne se traduit pas nécessairement par une responsabilité équivalente des différents opérateurs concernés par un traitement de données à caractère personnel. Au contraire, ces opérateurs peuvent être impliqués à différents stades de ce traitement et selon différents degrés, de telle sorte que le niveau de responsabilité de chacun d’entre eux doit être évalué en tenant compte de toutes les circonstances pertinentes du cas d’espèce.44Au regard des considérations qui précèdent, il y a lieu de répondre aux première et deuxième questions que l’article 2, sous d), de la directive 95/46 doit être interprété en ce sens que la notion de  responsable du traitement , au sens de cette disposition, englobe l’administrateur d’une page fan hébergée sur un réseau social.<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Sur les troisième et quatrième questions</HT></HT></P></TI>45Par ses troisième et quatrième questions, qu’il convient d’examiner ensemble, la juridiction de renvoi vise, en substance, à savoir si les articles 4 et 28 de la directive 95/46 doivent être interprétés en ce sens que, lorsqu’une entreprise établie en dehors de l’Union dispose de plusieurs établissements dans différents États membres, l’autorité de contrôle d’un État membre est habilitée à exercer les pouvoirs que lui confère l’article 28, paragraphe 3, de cette directive, à l’égard d’un établissement situé sur le territoire de cet État membre, alors même que, en vertu de la répartition des missions au sein du groupe, d’une part, cet établissement est chargé uniquement de la vente d’espaces publicitaires et d’autres activités de marketing sur le territoire dudit État membre et, d’autre part, la responsabilité exclusive de la collecte et du traitement des données à caractère personnel incombe, pour l’ensemble du territoire de l’Union, à un établissement situé dans un autre État membre, ou s’il appartient à l’autorité de contrôle de ce dernier État membre d’exercer ces pouvoirs à l’égard du second établissement.46L’ULD et le gouvernement italien émettent des doutes quant à la recevabilité de ces questions au motif qu’elles ne seraient pas pertinentes pour la solution du litige au principal. En effet, la décision attaquée aurait pour destinataire Wirtschaftsakademie et ne viserait donc ni Facebook Inc. ni aucune de ses filiales établies sur le territoire de l’Union.47À cet égard, il convient de rappeler que, dans le cadre de la coopération entre la Cour et les juridictions nationales instituée à l’article 267 TFUE, il appartient au seul juge national, qui est saisi du litige et qui doit assumer la responsabilité de la décision juridictionnelle à intervenir, d’apprécier, au regard des particularités de l’affaire, tant la nécessité d’une décision préjudicielle pour être en mesure de rendre son jugement que la pertinence des questions qu’il pose à la Cour. En conséquence, dès lors que les questions posées portent sur l’interprétation du droit de l’Union, la Cour est, en principe, tenue de statuer (arrêt du 6 septembre 2016, Petruhhin, C‑182/15, EU:C:2016:630, point 19 et jurisprudence citée).48En l’occurrence, il convient de relever que la juridiction de renvoi fait valoir qu’une réponse de la Cour aux troisième et quatrième questions préjudicielles lui est nécessaire pour statuer sur le litige au principal. Elle explique en effet que, dans le cas où il serait constaté, à la lumière de cette réponse, que l’ULD pouvait remédier aux atteintes alléguées au droit à la protection des données à caractère personnel en prenant une mesure contre Facebook Germany, une telle circonstance serait susceptible d’établir l’existence d’une erreur d’appréciation entachant la décision attaquée, en ce qu’elle aurait été prise à tort à l’encontre de Wirtschaftsakademie.49Dans ces conditions, les troisième et quatrième questions sont recevables.50Afin de répondre à ces questions, il importe de rappeler à titre liminaire que, en vertu de l’article 28, paragraphes 1 et 3, de la directive 95/46, chaque autorité de contrôle exerce l’ensemble des pouvoirs qui lui ont été conférés par le droit national sur le territoire de l’État membre dont elle relève, afin d’assurer sur ce territoire le respect des règles en matière de protection des données (voir, en ce sens, arrêt du 1er octobre 2015, Weltimmo, C‑230/14, EU:C:2015:639, point 51).51La question de savoir quel droit national s’applique au traitement des données à caractère personnel est régie par l’article 4 de la directive 95/46. Aux termes du paragraphe 1, sous a), de cet article, chaque État membre applique les dispositions nationales qu’il arrête en vertu de cette directive aux traitements de données à caractère personnel lorsque le traitement est effectué dans le cadre des activités d’un établissement du responsable du traitement sur le territoire de cet État membre. Cette disposition précise que, si un même responsable du traitement est établi sur le territoire de plusieurs États membres, il doit prendre les mesures nécessaires pour assurer le respect, par chacun de ses établissements, des obligations prévues par le droit national applicable.52Il découle ainsi d’une lecture combinée de cette disposition et de l’article 28, paragraphes 1 et 3, de la directive 95/46 que, lorsque le droit national de l’État membre dont relève l’autorité de contrôle est applicable en vertu de l’article 4, paragraphe 1, sous a), de celle-ci, en raison du fait que le traitement en cause est effectué dans le cadre des activités d’un établissement du responsable du traitement sur le territoire de cet État membre, cette autorité de contrôle peut exercer l’ensemble des pouvoirs qui lui sont conférés par ce droit à l’égard de cet établissement, et ce indépendamment du point de savoir si le responsable du traitement dispose d’établissements également dans d’autres États membres.53Ainsi, afin de déterminer si une autorité de contrôle est fondée, dans des circonstances telles que celles au principal, à exercer à l’égard d’un établissement situé sur le territoire de l’État membre dont elle relève les pouvoirs qui lui sont conférés par le droit national, il y a lieu de vérifier si les deux conditions posées par l’article 4, paragraphe 1, sous a), de la directive 96/46 sont réunies, à savoir, d’une part, s’il s’agit d’un  établissement du responsable du traitement , au sens de cette disposition, et, d’autre part, si ledit traitement est effectué  dans le cadre des activités  de cet établissement, au sens de la même disposition.54S’agissant, en premier lieu, de la condition selon laquelle le responsable du traitement de données à caractère personnel doit disposer d’un établissement sur le territoire de l’État membre dont relève l’autorité de contrôle concernée, il importe de rappeler que, selon le considérant 19 de la directive 95/46, l’établissement sur le territoire d’un État membre suppose l’exercice effectif et réel d’une activité au moyen d’une installation stable et que la forme juridique retenue pour un tel établissement, qu’il s’agisse d’une simple succursale ou d’une filiale ayant la personnalité juridique, n’est pas déterminante (arrêt du 1er octobre 2015, Weltimmo, C‑230/14, EU:C:2015:639, point 28 et jurisprudence citée).55En l’occurrence, il est constant que Facebook Inc., en tant que responsable du traitement de données à caractère personnel, conjointement avec Facebook Ireland, dispose d’un établissement stable en Allemagne, à savoir Facebook Germany, situé à Hambourg, et que cette dernière société exerce réellement et effectivement des activités dans ledit État membre. De ce fait, elle constitue un établissement, au sens de l’article 4, paragraphe 1, sous a), de la directive 95/46.56S’agissant, en second lieu, de la condition selon laquelle le traitement de données à caractère personnel doit être effectué  dans le cadre des activités  de l’établissement concerné, il y a lieu de rappeler, tout d’abord, que, au vu de l’objectif poursuivi par la directive 95/46, consistant à assurer une protection efficace et complète des libertés et des droits fondamentaux des personnes physiques, notamment du droit à la vie privée, à l’égard du traitement des données à caractère personnel, l’expression  dans le cadre des activités d’un établissement  ne saurait recevoir une interprétation restrictive (arrêt du 1er octobre 2015, Weltimmo, C‑230/14, EU:C:2015:639, point 25 et jurisprudence citée).57Ensuite, il importe de souligner que l’article 4, paragraphe 1, sous a), de la directive 95/46 exige non pas qu’un tel traitement soit effectué  par  l’établissement concerné lui‑même, mais uniquement qu’il le soit  dans le cadre des activités  de celui‑ci (arrêt du 13 mai 2014, Google Spain et Google, C‑131/12, EU:C:2014:317, point 52).58En l’occurrence, il ressort de la décision de renvoi ainsi que des observations écrites déposées par Facebook Ireland que Facebook Germany est chargée de la promotion et de la vente d’espaces publicitaires et se livre à des activités destinées aux personnes résidant en Allemagne.59Ainsi qu’il a été rappelé aux points 33 et 34 du présent arrêt, le traitement de données à caractère personnel en cause au principal, effectué par Facebook Inc. conjointement avec Facebook Ireland et qui consiste en la collecte de telles données par l’intermédiaire de cookies installés sur les ordinateurs ou sur tout autre appareil des visiteurs des pages fan hébergées sur Facebook, a notamment pour objectif de permettre à ce réseau social d’améliorer son système de publicité afin de mieux cibler les communications qu’il diffuse.60Or, comme l’a relevé M. l’avocat général au point 94 de ses conclusions, étant donné, d’une part, qu’un réseau social tel que Facebook génère une partie substantielle de ses revenus grâce, notamment, à la publicité diffusée sur les pages web que les utilisateurs créent et auxquelles ils accèdent et, d’autre part, que l’établissement de Facebook situé en Allemagne est destiné à assurer, dans cet État membre, la promotion et la vente d’espaces publicitaires qui servent à rentabiliser les services offerts par Facebook, les activités de cet établissement doivent être considérées comme étant indissociablement liées au traitement de données à caractère personnel en cause au principal, dont Facebook Inc. est le responsable conjointement avec Facebook Ireland. Partant, un tel traitement doit être regardé comme étant effectué dans le cadre des activités d’un établissement du responsable du traitement, au sens de l’article 4, paragraphe 1, sous a), de la directive 95/46 (voir, en ce sens, arrêt du 13 mai 2014, Google Spain et Google, C‑131/12, EU:C:2014:317, points 55 et 56).61Il s’ensuit que, le droit allemand étant, en vertu de l’article 4, paragraphe 1, sous a), de la directive 95/46, applicable au traitement des données à caractère personnel en cause au principal, l’autorité de contrôle allemande était compétente, conformément à l’article 28, paragraphe 1, de cette directive, pour appliquer ce droit audit traitement.62Par conséquent, cette autorité de contrôle était compétente, aux fins d’assurer le respect, sur le territoire allemand, des règles en matière de protection des données à caractère personnel, pour mettre en œuvre, à l’égard de Facebook Germany, l’ensemble des pouvoirs dont elle dispose en vertu des dispositions nationales transposant l’article 28, paragraphe 3, de la directive 95/46.63Il convient encore de préciser que la circonstance, mise en exergue par la juridiction de renvoi dans sa troisième question, selon laquelle les stratégies décisionnelles quant à la collecte et au traitement de données personnelles relatives à des personnes résidant sur le territoire de l’Union sont prises par une société mère établie dans un pays tiers, telle que, en l’occurrence, Facebook Inc., n’est pas de nature à remettre en cause la compétence de l’autorité de contrôle relevant du droit d’un État membre à l’égard d’un établissement, situé sur le territoire de ce même État, du responsable du traitement desdites données.64Au regard de ce qui précède, il convient de répondre aux troisième et quatrième questions que les articles 4 et 28 de la directive 95/46 doivent être interprétés en ce sens que, lorsqu’une entreprise établie en dehors de l’Union dispose de plusieurs établissements dans différents États membres, l’autorité de contrôle d’un État membre est habilitée à exercer les pouvoirs que lui confère l’article 28, paragraphe 3, de cette directive à l’égard d’un établissement de cette entreprise situé sur le territoire de cet État membre alors même que, en vertu de la répartition des missions au sein du groupe, d’une part, cet établissement est chargé uniquement de la vente d’espaces publicitaires et d’autres activités de marketing sur le territoire dudit État membre et, d’autre part, la responsabilité exclusive de la collecte et du traitement des données à caractère personnel incombe, pour l’ensemble du territoire de l’Union, à un établissement situé dans un autre État membre.<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Sur les cinquième et sixième questions</HT></HT></P></TI>65Par ses cinquième et sixième questions, qu’il convient d’examiner ensemble, la juridiction de renvoi demande, en substance, si l’article 4, paragraphe 1, sous a), et l’article 28, paragraphes 3 et 6, de la directive 95/46 doivent être interprétés en ce sens que, lorsque l’autorité de contrôle d’un État membre entend exercer à l’égard d’un organisme établi sur le territoire de cet État membre les pouvoirs d’intervention visés à l’article 28, paragraphe 3, de cette directive en raison d’atteintes aux règles relatives à la protection des données à caractère personnel, commises par un tiers responsable du traitement de ces données et ayant son siège dans un autre État membre, cette autorité de contrôle est compétente pour apprécier, de manière autonome par rapport à l’autorité de contrôle de ce dernier État membre, la légalité d’un tel traitement de données et peut exercer ses pouvoirs d’intervention à l’égard de l’organisme établi sur son territoire sans préalablement appeler l’autorité de contrôle de l’autre État membre à intervenir.66Afin de répondre à ces questions, il y a lieu de rappeler, ainsi qu’il ressort de la réponse apportée aux première et deuxième questions préjudicielles, que l’article 2, sous d), de la directive 95/46 doit être interprété en ce sens qu’il permet, dans des circonstances telles que celles au principal, de retenir la responsabilité d’un organisme, tel que Wirtschaftsakademie, en sa qualité d’administrateur d’une page fan hébergée sur Facebook, en cas d’atteinte aux règles relatives à la protection des données à caractère personnel.67Il s’ensuit que, en vertu de l’article 4, paragraphe 1, sous a), ainsi que de l’article 28, paragraphes 1 et 3, de la directive 95/46, l’autorité de contrôle de l’État membre sur le territoire duquel cet organisme est établi est compétente pour appliquer son droit national et, ainsi, mettre en œuvre, à l’encontre dudit organisme, l’ensemble des pouvoirs qui lui sont conférés par ce droit national, conformément à l’article 28, paragraphe 3, de cette directive.68Ainsi que le prévoit l’article 28, paragraphe 1, second alinéa, de ladite directive, les autorités de contrôle chargées de surveiller l’application, sur le territoire des États membres dont elles relèvent, des dispositions adoptées par ces derniers en application de la même directive exercent en toute indépendance les missions dont elles sont investies. Cette exigence résulte également du droit primaire de l’Union, notamment de l’article 8, paragraphe 3, de la charte des droits fondamentaux de l’Union européenne et de l’article 16, paragraphe 2, TFUE (voir, en ce sens, arrêt du 6 octobre 2015, Schrems, C‑362/14, EU:C:2015:650, point 40).69En outre, si, en vertu de l’article 28, paragraphe 6, second alinéa, de la directive 95/46, les autorités de contrôle coopèrent entre elles dans la mesure nécessaire à l’accomplissement de leurs missions, notamment en échangeant toute information utile, cette même directive ne prévoit aucun critère de priorité régissant l’intervention des autorités de contrôle les unes par rapport aux autres ni ne prescrit l’obligation pour une autorité de contrôle d’un État membre de se conformer à la position exprimée, le cas échéant, par l’autorité de contrôle d’un autre État membre.70Ainsi, rien n’oblige une autorité de contrôle dont la compétence est reconnue en vertu de son droit national à faire sienne la solution retenue par une autre autorité de contrôle dans une situation analogue.71À cet égard, il importe de rappeler que, les autorités nationales de contrôle étant, conformément à l’article 8, paragraphe 3, de la charte des droits fondamentaux et à l’article 28 de la directive 95/46, chargées du contrôle du respect des règles de l’Union relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel, chacune d’entre elles est donc investie de la compétence de vérifier si un traitement de données à caractère personnel sur le territoire de l’État membre dont elle relève respecte les exigences posées par la directive 95/46 (voir, en ce sens, arrêt du 6 octobre 2015, Schrems, C‑362/14, EU:C:2015:650, point 47).72L’article 28 de la directive 95/46 s’appliquant, par sa nature même, à tout traitement de données à caractère personnel, même en présence d’une décision d’une autorité de contrôle d’un autre État membre, une autorité de contrôle, saisie par une personne d’une demande relative à la protection de ses droits et libertés à l’égard du traitement des données à caractère personnel la concernant, doit examiner, en toute indépendance, si le traitement de ces données respecte les exigences posées par ladite directive (voir, en ce sens, arrêt du 6 octobre 2015, Schrems, C‑362/14, EU:C:2015:650, point 57).73Il s’ensuit que, en l’occurrence, en vertu du système établi par la directive 95/46, l’ULD était habilitée à apprécier, de manière autonome par rapport aux évaluations effectuées par l’autorité de contrôle irlandaise, la légalité du traitement de données en cause au principal.74Par conséquent, il convient de répondre aux cinquième et sixième questions que l’article 4, paragraphe 1, sous a), et l’article 28, paragraphes 3 et 6, de la directive 95/46 doivent être interprétés en ce sens que, lorsque l’autorité de contrôle d’un État membre entend exercer à l’égard d’un organisme établi sur le territoire de cet État membre les pouvoirs d’intervention visés à l’article 28, paragraphe 3, de cette directive en raison d’atteintes aux règles relatives à la protection des données à caractère personnel, commises par un tiers responsable du traitement de ces données et ayant son siège dans un autre État membre, cette autorité de contrôle est compétente pour apprécier, de manière autonome par rapport à l’autorité de contrôle de ce dernier État membre, la légalité d’un tel traitement de données et peut exercer ses pouvoirs d’intervention à l’égard de l’organisme établi sur son territoire sans préalablement appeler l’autorité de contrôle de l’autre État membre à intervenir.<TI><P><HT TYPE="BOLD">Sur les dépens</HT></P></TI>75La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.Par ces motifs, la Cour (grande chambre) dit pour droit :1)L’article 2, sous d), de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, doit être interprété en ce sens que la notion de  responsable du traitement , au sens de cette disposition, englobe l’administrateur d’une page fan hébergée sur un réseau social.2)Les articles 4 et 28 de la directive 95/46 doivent être interprétés en ce sens que, lorsqu’une entreprise établie en dehors de l’Union européenne dispose de plusieurs établissements dans différents États membres, l’autorité de contrôle d’un État membre est habilitée à exercer les pouvoirs que lui confère l’article 28, paragraphe 3, de cette directive à l’égard d’un établissement de cette entreprise situé sur le territoire de cet État membre, alors même que, en vertu de la répartition des missions au sein du groupe, d’une part, cet établissement est chargé uniquement de la vente d’espaces publicitaires et d’autres activités de marketing sur le territoire dudit État membre et, d’autre part, la responsabilité exclusive de la collecte et du traitement des données à caractère personnel incombe, pour l’ensemble du territoire de l’Union européenne, à un établissement situé dans un autre État membre.3)L’article 4, paragraphe 1, sous a), et l’article 28, paragraphes 3 et 6, de la directive 95/46 doivent être interprétés en ce sens que, lorsque l’autorité de contrôle d’un État membre entend exercer à l’égard d’un organisme établi sur le territoire de cet État membre les pouvoirs d’intervention visés à l’article 28, paragraphe 3, de cette directive en raison d’atteintes aux règles relatives à la protection des données à caractère personnel, commises par un tiers responsable du traitement de ces données et ayant son siège dans un autre État membre, cette autorité de contrôle est compétente pour apprécier, de manière autonome par rapport à l’autorité de contrôle de ce dernier État membre, la légalité d’un tel traitement de données et peut exercer ses pouvoirs d’intervention à l’égard de l’organisme établi sur son territoire sans préalablement appeler l’autorité de contrôle de l’autre État membre à intervenir.

Signatures