La prohibiton de la collecte indirecte de données à caractère personnel

Une donnée à caractère personnel n’est pas toujours recueillie auprès de celui qu’elle désigne. Fichiers achetés à des courtiers en données, profils aspirés sur les réseaux sociaux, bases revendues d’entreprise à entreprise — l’information circule fréquemment à l’insu de la personne concernée. C’est précisément cette circulation silencieuse que le droit de la protection des données s’emploie à encadrer : la collecte dite indirecte, parce qu’elle s’opère par l’entremise d’un tiers, est suspecte par nature, car elle prive l’intéressé de la possibilité de savoir que ses données sont traitées et, partant, d’exercer ses droits.

Le principe est simple à énoncer : la collecte indirecte n’est pas interdite en elle-même, mais elle est prohibée tant que la personne concernée n’en est pas informée. L’information n’est pas une formalité — elle est la condition de loyauté du traitement. Le responsable qui acquiert un fichier ou agrège des données issues d’autres sources doit, dès l’enregistrement ou au plus tard lors de la première communication à des tiers, prévenir l’intéressé de l’existence du traitement et lui rappeler ses droits d’accès, d’opposition et de rectification. Le consentement antérieurement donné à un premier traitement ne vaut pas dispense.

Cette exigence n’a pourtant rien d’évident : avant la loi du 6 août 2004, la Cour de cassation jugeait qu’aucune obligation d’avertissement ne pesait sur celui qui recueillait des données auprès de tiers. Le présent article retrace ce renversement — de l’exigence de collecte directe au régime de la collecte indirecte assortie de cinq exceptions limitatives — et en éclaire la portée à la lumière de la jurisprudence.

I) L’exigence de collecte directe

L’obligation de loyauté suppose que les données soient collectées directement auprès de la personne concernée.

Par nature, un traitement de données à caractère personnel est regardé comme déloyal dès lors qu’il est effectué à l’insu de la personne concernée.

Aussi appartient-il au responsable du traitement d’informer la personne dont les données sont collectées de l’existence d’un traitement.

Dans un arrêt du 14 mars 2006, la Cour de cassation a qualifié de déloyale la collecte d’adresses électroniques, « en ce qu’elles ont été utilisées sans rapport avec l’objet de leur mise en ligne »[1].

Dans une décision n° 2016-007 du 26 janvier 2016, la CNIL a encore considéré que la collecte de données relatives à la navigation d’internautes au moyen de cookies, sans les en avertir, constituait un manquement à la règle aux termes de laquelle les données à caractère personnel sont collectées et traitées de manière loyale et licite.

Ainsi, pour qu’un traitement de données à caractère personnel soit loyal, la personne concernée doit être informée de l’existence du traitement.

II) La prohibition de la collecte indirecte

==> Notion

La collecte est indirecte lorsqu’elle n’est pas directement réalisée auprès de la personne concernée, soit lorsqu’elle intervient par l’entremise d’une tierce personne.

Il en va ainsi en cas d’achat d’un fichier de données ou de collecte sur une plateforme numérique.

En effet, de nombreuses entreprises achètent, cèdent ou revendent des fichiers de données à caractère personnel, qui sont ainsi collectées de façon indirecte.

Dans cette hypothèse, pour ne pas être considérée comme déloyale, la collecte indirecte doit nécessairement s’accompagner d’une information à la personne concernée de l’existence d’un traitement de ses données ainsi que des droits qui en découlent (droit d’accès, d’opposition, etc.).

Le fait que la personne dont les données sont collectées indirectement ait déjà consenti au traitement de ses données ne dispense pas l’auteur d’une collecte indirecte de satisfaire à son obligation d’information.

==> Droit antérieur

Il peut être observé que, avant l’entrée en vigueur de la loi du 6 août 2004 transposant la directive du 24 octobre 1995, cette obligation n’existait pas.

À cet égard, dans un arrêt du 25 octobre 1995, la Cour de cassation avait explicitement considéré que « la loi du 6 janvier 1978 ne fait nulle obligation au responsable du fichier, qui recueille auprès de tiers des informations nominatives aux fins de traitement, d’en avertir la personne concernée »[2].

==> Droit positif

• Principe
  • La loi du 6 août 2004 a pris le contre-pied de la Cour de cassation en posant, à l’article 32 de la loi informatique et libertés, que « lorsque les données à caractère personnel n’ont pas été recueillies auprès de la personne concernée, le responsable du traitement ou son représentant doit fournir à cette dernière les informations énumérées au I dès l’enregistrement des données ou, si une communication des données à des tiers est envisagée, au plus tard lors de la première communication des données ».
  • Ainsi, le principe est désormais la prohibition de la collecte indirecte de données à caractère personnel, sauf à en informer la personne concernée.

• Exceptions
  • La prohibition de la collecte indirecte de données a été assortie par le législateur de 5 exceptions énoncées aux articles 26, 27 et 32, III de la loi informatique et libertés :
    • Première exception (art. 32 LIL)
      • Lorsque les données à caractère personnel ont été initialement recueillies pour un autre objet, les dispositions de l’alinéa précédent ne s’appliquent pas aux traitements nécessaires à la conservation de ces données à des fins historiques, statistiques ou scientifiques, dans les conditions prévues au livre II du code du patrimoine, ou à la réutilisation de ces données à des fins statistiques dans les conditions de l’article 7 bis de la loi n° 51-711 du 7 juin 1951 sur l’obligation, la coordination et le secret en matière de statistiques.
      • Ainsi, dès lors qu’il s’agit d’exploiter les données collectées à des fins historiques, statistiques ou scientifiques, il n’est pas nécessaire d’en informer la personne concernée.
    • Seconde exception (art. 32 LIL)
      • Il est encore fait exception à la prohibition de la collecte indirecte de données lorsque la personne concernée est déjà informée, ou quand son information se révèle impossible ou exige des efforts disproportionnés par rapport à l’intérêt de la démarche.
      • Dans l’hypothèse où l’information de la personne dont les données sont collectées est matériellement difficile à mettre en œuvre, voire impossible, alors l’auteur de la collecte indirecte s’en trouve dispensé.
    • Troisième exception (art. 26 LIL)
      • La collecte indirecte est autorisée lorsque les données recueillies indirectement sont utilisées au profit d’un traitement dit « de souveraineté » mis en œuvre pour l’État (intéressant la sûreté de l’État, la défense ou la sécurité publique, ou ayant pour objet l’exécution de condamnations pénales ou de mesures de sûreté).
      • Reste que cette collecte est subordonnée à autorisation par arrêté du ou des ministres compétents, pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés.
    • Quatrième exception (art. 26 LIL)
      • La collecte indirecte de données est encore autorisée lorsqu’elle a pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales, ou l’exécution des condamnations pénales ou des mesures de sûreté.
      • Là encore, l’autorisation est soumise à l’édiction d’un arrêté du ou des ministres compétents, pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés.
    • Cinquième exception (art. 27 LIL)
      • Il est prévu que la collecte indirecte de données est autorisée pour les traitements de données à caractère personnel mis en œuvre pour le compte de l’État, agissant dans l’exercice de ses prérogatives de puissance publique, qui portent sur des données génétiques ou sur des données biométriques nécessaires à l’authentification ou au contrôle de l’identité des personnes.
      • L’autorisation ne peut résulter que d’un décret en Conseil d’État, pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés.

Au bilan, sauf à s’inscrire dans l’une des exceptions prévues par le législateur, la collecte indirecte de données à caractère personnel est prohibée — ubi lex non distinguit, nec nos distinguere debemus : l’information de la personne concernée demeure la règle, ses dérogations devant s’entendre strictement.

Dans un arrêt du 12 mars 2014, le Conseil d’État a considéré en ce sens que le responsable d’un traitement de données n’est pas exonéré de ses obligations « du fait du caractère indirect de la collecte des données »[3].

En l’espèce, la juridiction administrative relève que :

• D’une part, les personnes dont les données à caractère personnel étaient extraites de réseaux sociaux pour être agrégées au service d’annuaire « Pages Blanches » n’étaient informées de leur droit d’opposition que si elles consultaient ce service ;
• D’autre part, le droit d’opposition ne pouvait être exercé de manière effective et durable, eu égard à la complexité de la procédure et à la circonstance que les demandes imprécises ou incomplètes n’étaient pas traitées ;
• Enfin, que l’exercice du droit de rectification n’était pas garanti, le responsable du traitement estimant qu’il en était exonéré du fait du caractère indirect de la collecte des données ; qu’ainsi, la formation restreinte de la CNIL, qui est légalement tenue de garantir le respect de ces droits, a pu valablement le sanctionner.

Le Conseil d’État en déduit que la collecte ainsi réalisée présentait un caractère déloyal.

[1] Cass. crim., 14 mars 2006, n° 05-83423l'arrêt▾

[2] Cass., ch. crim., 25 oct. 1995, n° 94-85781

[3] CE, 12 mars 2014, n° 353193, Sté Pages Jaunes