Le règlement 2016/679 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, plus connu sous l’acronyme RGPD a changé la pratique des professionnels sur Internet, dans un but de protection des données personnelles.
Les entreprises ont dû mettre en place des mécanismes de recueil de consentements pour continuer de traiter des données à caractère personnel.
La décision rendue par la Cour de justice de l’Union européenne le 11 novembre 2020 (CJUE, 2e ch., 11 nov. 2020, aff. C-61/19, Orange România SA C/ ANSPDCP) nous donne l’occasion de revenir sur les bonnes pratiques à mettre en place afin de respecter le consentement des internautes tout en se prémunissant contre d’éventuels contentieux.
Dans l’affaire portée devant la CJUE la question portait sur la preuve du consentement d’une personne à la collecte ainsi qu’à la conservation de ses données personnelles.
Dans cette espèce, le responsable de traitement justifiait notamment le consentement de la personne faisant l’objet d’un traitement de données personnelles par une case cochée. Or, il semblait que cette case avait été pré-cochée par ledit responsable, et pour s’opposer à la collecte et à la conservation de ses données, la personne devait envoyer un formulaire supplémentaire.
Parmi d’autres apports de cet arrêt, il est possible de retenir que le consentement au traitement des données personnelles doit résulter d’un acte positif clair. En conséquence, le responsable de traitement qui pré-coche une case ou qui exige que la personne faisant l’objet d’un traitement de données personnelles manifeste son refus à la collecte et à la conservation de ses données activement (par le biais d’un formulaire complémentaire) ne peut démontrer l’existence d’un tel consentement.
Cette décision de la CJUE s’inscrit dans la droite ligne de la décision Planet49 rendue en 2019 par laquelle la juridiction européenne avait considéré qu’une case pré-cochée ne permettait pas d’établir le consentement d’un internaute au placement de cookies (CJUE, 1er oct. 2019, aff. C-673/17, Planet49).
Conseil : les responsables de traitement de données personnelles doivent mettre en place des mécanismes de collecte de consentement de nature à démontrer l’existence dudit consentement dénué de toute contrainte, afin de se prémunir contre tout contentieux.
Me Jean-Pascal CHAZAL Avocat spécialiste en Droit commercial
Marine COMTE Master droit de la propriété intellectuelle et des nouvelles technologies