L’exploitant d’un site de marché en ligne est responsable du traitement des données à caractère personnel contenues dans les annonces publiées sur sa plateforme. Ainsi, il doit notamment identifier, avant la publication, les annonces qui contiennent des données sensibles et vérifier que l’annonceur est bien la personne dont les données figurent dans une telle annonce ou qu’il dispose du consentement explicite de cette personne.
En 2018, une place de marché en ligne roumaine a publié une annonce indiquant qu’une femme offrait des services sexuels. L’annonce contenait des photos et un numéro de téléphone provenant des réseaux sociaux de cette femme, utilisés sans son consentement. L'annonce a rapidement été supprimé mais elle a été copiée sur d’autres sites. L'intéressée a porté plainte contre l'exploitant de la place de marché.
La juridiction saisie de ce litige a demandé à la Cour de justice de l'Union européenne (CJUE) si l’exploitant d’une place de marché en ligne pouvait échapper à ces obligations en raison de l’exonération de responsabilité prévue par la directive 2000/31/CE du 8 juin 2000.
Dans son arrêt rendu le 2 décembre 2025 (affaire C-492/23), la CJUE juge que l’exploitant d’une telle place de marché en ligne est responsable, au sens du RGPD (Règlement général sur la protection des données - Règlement (UE) 2016/679 du 27 avril 2016), du traitement des données à caractère personnel contenues dans les annonces publiées sur sa place de marché en ligne.
Par conséquent, l’exploitant d’une place de marché en ligne doit, avant la publication de ces annonces et au moyen de mesures techniques et organisationnelles appropriées, identifier celles qui contiennent des données sensibles, comme celles en cause dans la présente affaire, et vérifier si l’utilisateur s’apprêtant à placer une telle annonce est la personne dont les données sensibles y figurent.
Si tel n’est pas le cas, il doit vérifier si la personne dont les données sont publiées a donné son consentement explicite à la publication.
En l’absence de ce consentement, l’exploitant d’une place de marché en ligne doit refuser la publication de l’annonce en question, à moins que celle-ci soit couverte par l’une des autres exceptions prévues par le RGPD.
En outre, l’exploitant d’une place de (...)
