Consentement à la collecte de données personnelles : une case cochée par défaut ne suffit pas 

1. Dans un arrêt du 11 novembre 2020, la Cour de justice de l’Union européenne a été appelée à préciser la notion de consentement de la personne concernée à la collecte et à la conservation de données qui lui sont personnelles.

Les faits de l’espèce

2. A l’occasion de la conclusion d’un contrat de fourniture de service de télécommunication, un opérateur roumain collecte et conserve les titres d’identité de ses clients à des fins d’identification. Une clause du contrat mentionne que le client a été informé et a consenti à cette collecte et une case relative à cette clause est cochée par les agents de vente de l’opérateur avant que le client ne signe le contrat.

Selon l’opérateur, ses agents de vente informent les clients concernés avant la conclusion des contrats, notamment sur les finalités de la collecte et de la conservation des copies des titres d’identité, avant d’obtenir oralement leur consentement à cette collecte : la clause du contrat mentionnant que le client a été informé et a consenti à cette collecte est alors cochée par l’opérateur sur la base de l’accord ainsi exprimé par le client.

Ces circonstances suffisent-elles à établir le consentement valable du client à la collecte et à la conservation de ces données ?

3. Non, répond la CJUE.

Pour se prononcer ainsi, la Cour européenne se réfère aussi bien à l’ancienne directive 95/46/CE du 24 octobre 1995 sur la protection des données personnelles, en vigueur à l’époque des faits ayant donné lieu au litige, qu’aux dispositions du règlement 2016/679 du 27 avril 2016 (RGPD). Même si ce nouveau règlement n’est entré en application que le 25 mai 2018 et ne s’applique pas aux faits litigieux, la juridiction européenne a admis qu’il pourrait constituer le cadre dans lequel sera finalement résolu le litige porté devant le juge roumain. 

Le consentement peut rendre licite le traitement des données…

4. Il résulte tant de la directive que du règlement que le consentement de la personne dont les données sont collectées peut rendre le traitement licite (Dir. 95/46 art. 7, a et RGPD art. 6, 1-a).

En ce qui concerne les exigences auxquelles est soumis un tel consentement, la Cour de justice rappelle que celui-ci requiert une manifestation de volonté libre, spécifique, éclairée et univoque (Dir. art. 2, h et Règl. art. 4), la charge de la preuve de l’existence d’un consentement valable incombant au responsable de traitement (Dir. art. 6 et 7 et Règl. art. 7).

… s’il remplit certaines conditions

Le consentement doit être actif

5. Le consentement ne peut résulter que d’un comportement actif de la personne qui consent (Dir. art. 2, h et Règl. art. 4 ; CJUE 1-10-2019 aff. 673/17 : BRDA 21/19 inf. 17). A cet égard, si l’expression du consentement peut prendre la forme d’une case qu’on coche, il est exclu qu’il y ait un tel consentement en cas de silence, de cases cochées par défaut ou d’inactivité.

En l’espèce, les clients concernés n’ayant pas eux-mêmes coché la case relative à la collecte et la conservation des copies de leur titre d’identité, le seul fait que cette case a été cochée n’est pas de nature à établir une manifestation positive de leur consentement. 

Le consentement doit être spécifique 

6. De plus, le droit européen exige une manifestation de volonté spécifique (Dir. art. 2, h et Règl. art. 4), en ce sens qu’elle doit porter précisément sur le traitement de données concerné et ne peut être déduite d’une manifestation de volonté ayant un autre objet. Ainsi, lorsque le consentement de la personne concernée est donné dans le cadre d’une déclaration écrite qui concerne également d’autres questions, cette déclaration doit être présentée sous une forme qui la distingue clairement de ces autres questions.

En l’espèce, et dans la mesure où la clause cochée n’apparaît pas avoir été présentée sous une forme qui la distingue clairement des autres clauses, la CJUE renvoie au juge roumain le soin de vérifier si la signature d’un contrat se rapportant à une pluralité de clauses  peut être considérée comme manifestant un consentement spécifique à la collecte et à la conservation des données litigieuses. 

Le consentement doit être éclairé

7. L’exigence tirée du caractère informé ou éclairé du consentement (Dir. art. 2, h et Règl. art. 4) implique que le responsable du traitement fournisse une information au regard de toutes les circonstances entourant le traitement des données : la personne concernée doit notamment connaître le type de données à traiter, l’identité du responsable du traitement, la durée et les modalités de ce traitement ainsi que les finalités que celui-ci poursuit.

Sous cet angle, la CJUE relève que la clause contractuelle litigieuse se borne à indiquer sans aucune autre mention la finalité de l’identification de la conservation des copies des cartes d’identité, et qu’il appartiendra à la juridiction de renvoi de vérifier si cette information était suffisante. 

Le consentement doit être libre

8. Enfin, pour assurer à la personne concernée une véritable liberté de choix, les stipulations contractuelles ne doivent pas l’induire en erreur quant à la possibilité de conclure le contrat même si elle refuse de consentir au traitement de ses données (Dir. art. 10 et Règl. art. 13).

A cet égard, la Cour européenne observe qu‘en cas de refus d’un client de consentir au traitement de ses données, l’opérateur exigeait au cas particulier que celui-ci déclare un tel refus par écrit. Or, une telle exigence supplémentaire est de nature à affecter indûment le libre choix de s’opposer à cette collecte et à cette conservation. En tout état de cause, l’opérateur étant tenu d’établir que ses clients ont, par un comportement actif, manifesté leur consentement au traitement de leurs données à caractère personnel, il ne saurait exiger d’eux qu’ils manifestent leur refus activement.

L’opérateur roumain n’apporte pas la preuve d’un consentement valable

9. La CJUE conclut que le contrat en cause n’est pas de nature à démontrer que le client a valablement donné son consentement à la collecte et à la conservation des données, lorsque la case se référant à cette clause a été cochée par le responsable du traitement des données avant la signature du contrat, lorsque les stipulations du contrat sont susceptibles d’induire la personne concernée en erreur quant à la possibilité de conclure le contrat même si elle refuse de consentir au traitement de ses données, ou lorsque le libre choix de s’opposer à cette collecte et à cette conservation est affecté indûment par le responsable, en ce qu’il exige de la personne concernée qu’elle remplisse un formulaire supplémentaire afin d’exprimer son refus de donner son consentement. 

10. Elle s’était déjà prononcée dans un sens similaire au sujet de la pratique des cookies (CJUE 1-10-2019 aff. 673/17 : BRDA 21/19 inf. 17), faisant également application, à cette occasion, tant de la directive 95/46 que du RGPD. 

Maya VANDEVELDE

Pour en savoir plus sur cette question : voir Mémento Concurrence consommation n^os 17162 à 17168

Suivez les dernières actualités juridiques et assurez la reprise de l’activité pour vos clients ou votre entreprise avec Navis :

Vous êtes abonné ? Accédez à votre Navis à distance.

Pas encore abonné ? Nous vous offrons un accès au fonds documentaire NAVIS toutes matières pendant 10 jours.

CJUE 11-11-2020 aff. 61/19