Blog
Nov 19

RGPD : conditions auxquelles une case cochée peut valoir consentement

Par arrêt du 11 novembre 2020, la Cour de justice de l’Union Européenne (ci-après « CJUE ») rappelle les modalités selon lesquelles le consentement d’une personne au traitement de ses données à caractère personnel peut être valablement recueilli lorsqu’il est exprimé au moyen de cases à cocher.

En vertu du Règlement 2016/679 sur la protection des données à caractère personnel (ci-après « RGPD »), tout traitement de données personnel doit, pour être licite, être fondé sur l’une ou plusieurs des bases légales limitativement énumérées à l’article 6.1.

Le traitement est notamment licite à ce titre si « la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques » (article 6.1, a)).

Il est précisé, au considérant 32 du RGPD, les modalités d’expression de ce consentement, qui doit « être donné par un acte positif clair par lequel la personne concernée manifeste de façon libre, spécifique, éclairée et univoque son accord au traitement des données à caractère personnel la concernant. »

En pratique, la personne concernée peut-elle exprimer son consentement en ne décochant pas une case cochée par défaut?

Par arrêt du 1er octobre 2019, dit Planet 49, la CJUE avait clairement répondu par la négative, en jugeant que l’existence d’une case cochée par défaut, que l’utilisateur doit décocher pour refuser de donner son consentement, ne pouvait valoir expression de son consentement à l’accès à des informations stockées son terminal par l’intermédiaire de cookies.

A l’inverse, la personne concernée peut-elle exprimer son consentement en cochant une case décochée par défaut ?

L’arrêt Planet 49, précité, le consacrait : « l’expression du consentement pourrait se faire notamment en cochant une case lors de la consultation d’un site Internet » (cons. 62).

La Commission nationale de l’informatique et des libertés (CNIL), assouplissant sa politique, s’était ainsi prononcée en ce sens par délibération du 17 septembre 2020, estimant « qu’une demande de consentement effectuée au moyen de cases à cocher, décochées par défaut, est facilement compréhensible par les utilisateurs », qui peuvent donc valablement l’exprimer par ce biais (Délibération n° 2020-092 du 17 septembre 2020 portant adoption d’une recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux « cookies et autres traceurs »).

La CJUE eut l’occasion d’en préciser les modalités par arrêt du 11 novembre 2020..

En l’espèce, les agents d’Orange România recueillaient le consentement des clients au traitement de leurs titres d’identité comme suit : (i) ils obtenaient dans un premier temps leur consentement par oral, (ii) cochaient dans un second temps la case de consentement au traitement sur le contrat et (iii) obtenaient dans un troisième temps la signature du contrat par la personne concernée. En outre, tout refus au traitement devait faire l’objet d’une déclaration par le client, par document séparé.

Selon la CJUE, un tel consentement ne saurait être considéré comme valablement acquis, dès lors que :

  • Selon ces indications, les clients concernés ne paraissent pas avoir eux-mêmes coché la case relative à ladite clause, le seul fait que cette case a été cochée n’est pas de nature à établir une manifestation positive du consentement (cons. 46) ;
  • Les stipulations contractuelles sont susceptibles d’induire la personne concernée en erreur quant à la possibilité de conclure le contrat en question même si elle refuse de consentir au traitement de ses données ;
  • Le libre choix de s’opposer à cette collecte et à cette conservation est affecté indûment par ce responsable, en exigeant que la personne concernée, afin de refuser de donner son consentement, remplisse un formulaire supplémentaire faisant état de ce refus.

Si case cochée peut valoir consentement, encore faut-il donc que cette case soit cochée par la personne concernée elle-même, qui exprime réellement son consentement en pleine possession de sa liberté de choix.

Par Eva Baliner-Poggi et l’équipe IP/IT

Source : Curia

Lien : http://curia.europa.eu/juris/document/document.jsf?text=&docid=233544&pageIndex=0&doclang=FR&mode=req&dir=&occ=first&part=1&cid=13447767