La Cour de justice de l’Union européenne, saisie d’une question préjudicielle par le Tribunal de grande instance de Bucarest (Roumanie) dans le cadre d’un litige opposant la société Orange Romania à l’ Autorité Roumaine de surveillance du traitement des données à caractère personnel (ANSPDCP) équivalent local de la CNIL au sujet d’un recours tendant à l’annulation d’une décision par laquelle l’ANSPDCP a infligé à la société Orange Romania une amende pour avoir collecté et conservé des copies de titre d’identité de ses clients sans leur consentement valable et lui a enjoint de détruire ces copies, a confirmé sa position sur l’utilisation de cases précochées par défaut pour le recueil du consentement au traitement de données à caractère personnel(CJUE 11 novembre 2020 aff. C.-61/19).
Elle considère en effet contraire aux dispositions de l’article 4 11) du règlement 2016/679 du 27 avril 2016 (dit « RGPD »), l’utilisation de cases pré-cochées au motif que le consentement doit être libre, spécifique éclairé et univoque de sorte qu’il doit se manifester par un acte positif clair.
En l’espèce, Orange Romania conservait les titres d’identité de ses clients lorsque ces derniers souscrivait un contrat de services de télécommunications. Le consentement à la collecte et à la conservation des titres d’identité résultait du pré-cochement d’une case du contrat d’abonnement par les opérateurs de vente de la société. Le client, par sa signature du contrat, acceptait l’intégralité des clauses du contrat dont celle concernant la collecte et conservation de son titre d’identité, alors même que l’opposition à cette clause n’empêchait pas la conclusion du contrat.
Toutefois, pour pouvoir s’opposer à cette collecte et cette conservation du titre d’identité, le client devait manifester son refus selon une procédure l’obligeant à adresser un formulaire supplémentaire à la société.
La Cour rappelle expressément dans sa décision le considérant 32 du RGPD selon lequel :
« Le consentement devrait être donné par un acte positif clair par lequel la personne concernée manifeste de façon libre, spécifique, éclairée et univoque son accord au traitement des données à caractère personnel la concernant, par exemple au moyen d’une déclaration écrite, y compris par voie électronique, ou d’une déclaration orale. Cela pourrait se faire notamment en cochant une case lors de la consultation d’un site internet, en optant pour certains paramètres techniques pour des services de la société de l’information ou au moyen d’une autre déclaration ou d’un autre comportement indiquant clairement dans ce contexte que la personne concernée accepte le traitement proposé de ses données à caractère personnel. Il ne saurait dès lors y avoir de consentement en cas de silence, de cases cochées par défaut ou d’inactivité. Le consentement donné devrait valoir pour toutes les activités de traitement ayant la ou les mêmes finalités. Lorsque le traitement a plusieurs finalités, le consentement devrait être donné pour l’ensemble d’entre elles. Si le consentement de la personne concernée est donné à la suite d’une demande introduite par voie électronique, cette demande doit être claire et concise et ne doit pas inutilement perturber l’utilisation du service pour lequel il est accordé. »
La Cour conclu au regard du droit de l’Union , qu’il appartient à Orange România, en tant que responsable du traitement des données, d’établir que ses clients ont, par un comportement actif, manifesté leur consentement au traitement de leurs données à caractère personnel, de telle sorte que cette société ne saurait exiger qu’ils manifestent leur refus activement.
A cet égard elle rappelle qu’il appartient, conformément aux dispositions de l’article 4 11) du RGPD, au responsable du traitement des données de démontrer que la personne concernée a, par un comportement actif, manifesté son consentement au traitement de ses données à caractère personnel et qu’elle a obtenu, préalablement, une information au regard de toutes les circonstances entourant ce traitement, sous une forme compréhensible et aisément accessible ainsi que formulée en des termes clairs et simples, lui permettant de déterminer facilement les conséquences de ce consentement, de sorte qu’il soit garanti que celui-ci soit donné en pleine connaissance de cause.
Puis, elle juge qu’un « contrat relatif à la fourniture de services de télécommunications qui contient une clause selon laquelle la personne concernée a été informée et a consenti à la collecte ainsi qu’à la conservation d’une copie de son titre d’identité à des fins d’identification n’est pas de nature à démontrer que cette personne a valablement donné son consentement, au sens de ces dispositions, à cette collecte et à cette conservation, lorsque :
Par Cynthia Picart
23/12/20
