Données personnelles & consentement au traitement

11 novembre 2020

Données personnelles & consentement au traitement. Selon la Cour de Justice, la preuve du consentement des personnes concernées au traitement de leurs données incombe au responsable de ce traitement ; ce consentement doit se manifester par une démarche active et n’est valable que s’il est libre et éclairé (CJUE, 2^ème ch., 11 novembre 2020, aff. C-61-19, Orange România SA contre ANSPDCP)

Le litige au principal opposait la société de télécommunications Orange România à l’autorité de protection des données personnelles roumaine. Cette dernière avait condamné Orange România, à la suite d’un contrôle, pour avoir conservé une copie des pièces d’identité de ses abonnés à des services de téléphonie mobile alors que leur consentement à ce traitement de leurs données, nécessaire à sa licéité, n’avait pas, aux yeux de l’autorité de contrôle, été valablement recueilli. Selon Orange România, ce consentement résultait au contraire valablement du contrat de service, lequel contenait une clause par laquelle le futur abonné déclarait avoir consenti à ce traitement après avoir été informé de ses modalités ; la case associée à cette clause était cochée par les agents commerciaux d’Orange avant que les futurs abonnés signent le contrat lui-même.

Saisie d’un recours en annulation de la décision de l’autorité de contrôle, la juridiction nationale roumaine a soumis la Cour de Justice une question préjudicielle visant à déterminer en substance si le consentement avait été valablement recueilli dans ces circonstances.

La Cour de justice répond par la négative : elle rappelle d’abord que la preuve du consentement incombe au responsable du traitement, que ce consentement implique une démarche active des personnes concernées et doit être libre, spécifique, éclairé (c’est-à-dire informé) et univoque. Puis elle juge que la preuve d’un tel consentement n’est pas rapportée :

• Lorsque la case censée le manifester a été cochée par le responsable de traitement avant la signature du contrat par la personne concernée (il n’y a pas, alors, de manifestation active de volonté) ;
• Ou encore lorsque les stipulations contractuelles sont de nature à induire en erreur la personne concernée sur la possibilité pour elle de conclure le contrat tout en refusant le traitement de ses données (car il n’est alors pas garanti que le consentement ait été donné en pleine connaissance de cause) ;
• Ou enfin lorsque le responsable du traitement exige, en cas de refus dudit traitement par la personne concernée, que cette dernière justifie son choix en remplissant un formulaire supplémentaire (la liberté du consentement est alors affectée).

Ces solutions relèvent quasiment de l’évidence à la lecture du RGPD. Mais ce texte n’était pas applicable au litige au principal, les faits étant antérieurs à sa date d’entrée en vigueur. Or, les dispositions de la directive 95/46/CE relatives au consentement, qui constituaient l’état du droit antérieur, étaient moins explicites que le RGPD, ce qui justifiait la question préjudicielle ; la Cour de Justice, selon une méthode devenue fréquente en la matière, a néanmoins répondu à cette question en interprétant conjointement les deux textes, dans la mesure, explique-t-elle, où les mesures ordonnées par l’Autorité de contrôle roumaine à Orange România concernaient également la période postérieure à l’entrée en vigueur du RPGD.