RGPD: les fondements juridiques du traitement de données à caractère personnel

I) Genèse

Dans sa version initiale, la loi informatique et libertés n’exigeait pas que le consentement des personnes soit recueilli préalablement au traitement de leurs données à caractère personnel. Le dispositif de 1978 reposait, en réalité, sur une logique inverse : il présumait l’accord de la personne et se bornait à organiser, en aval, les moyens de réagir contre un traitement déjà engagé.

Tout au plus, le texte conférait à la personne concernée la faculté de s’opposer « pour des raisons légitimes » à ce que les informations la concernant fassent l’objet d’un traitement. Cette faculté d’opposition, purement défensive, présentait une double faiblesse : d’une part, elle supposait que la personne eût connaissance de l’existence même du traitement ; d’autre part, elle faisait peser sur elle la charge d’une démarche active, en lui imposant de justifier de « raisons légitimes » dont l’appréciation demeurait incertaine.

Afin de renforcer la protection des personnes, le législateur européen a, lors de l’adoption de la directive du 24 octobre 1995, décidé de mettre un terme à cette situation en posant l’exigence d’obtention du consentement préalablement à la mise en œuvre d’un traitement de données à caractère personnel. Le renversement est ici considérable : le consentement cesse d’être présumé pour devenir une condition de licéité dont la preuve incombe au responsable du traitement.

II) Les textes

L’article 7 de la LIL prévoit que « un traitement de données à caractère personnel doit avoir reçu le consentement de la personne concernée ».

Cette exigence a été reprise par le RGPD dont l’article 6 prévoit que « le traitement n’est licite que si […] la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ».

Il ressort donc de ces deux textes que le recueil du consentement de la personne concernée est requis préalablement au traitement de ses données à caractère personnel. C’est ce que l’on appelle le principe de l’opt in, par opposition au principe de l’opt out.

En somme :

• Le principe de l’opt in implique que la personne concernée consente, au préalable, au traitement de ses données à caractère personnel, faute de quoi ledit traitement ne pourra pas être mis en œuvre.
• Le principe de l’opt out pose, quant à lui, une présomption de consentement de la personne concernée, laquelle dispose seulement de la faculté de s’opposer, a posteriori, au traitement de ses données à caractère personnel.

Les deux systèmes sont ainsi radicalement opposés, non seulement dans leur technique, mais dans la philosophie qui les sous-tend. Tandis que le législateur français avait opté pour le système de l’opt out en 1978, il a finalement retenu le système de l’opt in en 2004 lors de la transposition de la directive du 24 octobre 1995. Ce ralliement marque le passage d’une protection résiduelle, conçue comme un correctif, à une protection structurelle, érigée en condition d’existence du traitement.

Reste que, un certain nombre de dérogations au principe du consentement sont prévues par la LIL. Le traitement demeure licite, en l’absence de consentement, lorsqu’il est justifié par l’un des motifs suivants :

• Le respect d’une obligation légale incombant au responsable du traitement ;
• La sauvegarde de la vie de la personne concernée ;
• L’exécution d’une mission de service public dont est investi le responsable ou le destinataire du traitement ;
• L’exécution, soit d’un contrat auquel la personne concernée est partie, soit de mesures précontractuelles prises à la demande de celle-ci ;
• La réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le destinataire, sous réserve de ne pas méconnaître l’intérêt ou les droits et libertés fondamentaux de la personne concernée.

Dans le RGPD ces exceptions sont placées au même niveau que l’exigence de consentement, en ce sens que, selon le texte, un traitement de données à caractère personnel peut avoir cinq fondements juridiques alternatifs autres que le consentement. L’architecture du règlement est, sur ce point, riche d’enseignements : le consentement n’y est pas hiérarchiquement supérieur aux autres bases légales, mais constitue l’une des six voies, également licites, par lesquelles un traitement peut être justifié.

Il importe d’observer que ces cinq fondements alternatifs sont tous gouvernés par un même critère, celui de la « nécessité » du traitement au regard de la finalité poursuivie. Le traitement ne saurait, en effet, reposer sur l’obligation légale, le contrat, la mission d’intérêt public ou l’intérêt légitime que pour autant qu’il soit strictement nécessaire à la réalisation de l’objectif invoqué. Ce critère de nécessité opère une limitation rigoureuse du champ de chaque base légale : il interdit que l’on invoque l’un de ces fondements pour légitimer un traitement qui excéderait ce qu’exige la finalité affichée. C’est dire que les fondements alternatifs au consentement, loin d’ouvrir une voie de facilité, sont enserrés dans des conditions d’application étroites.

III) Articulation du consentement avec les autres fondements juridiques

Le RGPD envisage clairement le consentement comme une condition de licéité.

De son côté, la LIL le présente comme une condition privilégiée, parfois proche d’un principe constitutionnel, liée au statut de droit fondamental de la protection des données.

Afin d’éclairer le rôle du consentement dans des cas spécifiques, il est utile de préciser le rapport entre le consentement et d’autres conditions de licéité, notamment par rapport aux contrats, aux missions d’intérêt public ou à l’intérêt légitime du responsable du traitement et au droit de s’opposer au traitement.

L’ordre dans lequel les fondements juridiques sont cités à l’article 6 est important, mais il ne signifie pas que le consentement soit toujours le fondement le plus approprié pour légitimer le traitement de données à caractère personnel. Bien au contraire, l’expérience montre qu’un responsable de traitement qui sollicite un consentement là où le traitement reposait déjà sur l’exécution du contrat ou sur une obligation légale fragilise sa position : il s’expose à voir le traitement privé de fondement le jour où la personne retire le consentement qu’il n’était pas tenu de recueillir.

L’article 6 mentionne d’abord le consentement et poursuit en énumérant les autres fondements juridiques, comme les contrats et les obligations légales, avant de passer progressivement à l’équilibre des intérêts.

Il y a lieu d’observer que les cinq fondements qui suivent le consentement imposent un critère de « nécessité », qui donc limite strictement le contexte dans lequel ils peuvent s’appliquer.

Cela ne signifie nullement que l’obligation de consentement laisse davantage de marge de manœuvre que les autres fondements cités à l’article 6.

En outre, l’obtention d’un consentement n’annule pas les obligations imposées au responsable du traitement en termes d’équité, de nécessité, de proportionnalité ainsi que de qualité des données. Le consentement n’est pas un blanc-seing : il ne neutralise aucun des autres principes cardinaux du règlement, qui demeurent applicables de manière cumulative.

Ainsi, même si le traitement de données à caractère personnel a reçu le consentement de l’utilisateur, cela ne justifie pas la collecte de données excessives au regard d’une fin particulière. Le principe de minimisation conserve, en toute hypothèse, son empire : qui consent au traitement ne consent pas pour autant à l’excès.

Ce n’est que dans des circonstances très restreintes que le consentement peut légitimer des traitements de données qui auraient été interdits autrement, notamment dans le cas du traitement de certaines données sensibles ou pour permettre le traitement ultérieur de données à caractère personnel, que celui-ci soit ou non compatible avec la finalité spécifiée à l’origine. Dans ces hypothèses, le consentement joue un rôle singulier : il opère comme une cause de levée d’une prohibition de principe, ce qui explique que sa validité y soit appréciée avec une rigueur accrue.

Tout bien pesé, il est indifférent que les fondements juridiques alternatifs au principe du consentement soient présentés comme des exceptions ou soient placés au même niveau.

Ce qui importe, c’est de considérer qu’il constitue une condition de licéité du traitement et non d’une renonciation à l’application d’autres principes.

Au total, il convient de retenir qu’un traitement de données à caractère personnel peut être mis en œuvre sur la base de plusieurs fondements juridiques distincts, au nombre desquels figure le consentement qui, tant dans le RGPD que dans la LIL, occupe une place centrale.

IV) §1 : Le principe du consentement

Par principe, un traitement de données à caractère personnel ne peut être mis en œuvre qu’à la condition d’avoir recueilli préalablement le consentement de la personne concernée.

À défaut, sauf à rentrer dans le champ d’application d’une exception, le traitement est illicite, ce qui est de nature à exposer le responsable à des sanctions.

La question qui immédiatement se pose est alors de savoir ce que l’on doit entendre par consentement.

Simple en apparence, l’appréhension de la notion de consentement n’est pas sans soulever de nombreuses difficultés.

L’altération de la volonté d’une personne est, en effet, susceptible de renvoyer à des situations très diverses :

• La personne concernée peut être atteinte d’un trouble mental ;
• Le consentement de la personne peut avoir été obtenu sous la contrainte physique ou morale ;
• La personne concernée peut encore avoir été conduite à accepter le traitement sans que son consentement ait été donné en connaissance de cause, car une information déterminante lui a été dissimulée ;
• Elle peut également s’être engagée par erreur.

Il ressort de toutes ces situations que le défaut de consentement d’une personne peut être d’intensité variable et prendre différentes formes. L’on reconnaît, dans cette typologie, l’écho des vices du consentement que connaît le droit commun des contrats — l’erreur, le dol et la violence — dont la théorie du consentement à un traitement de données constitue, en quelque manière, une transposition adaptée à la matière.

Aussi, convient-il de déterminer quels sont les caractères que doit présenter le consentement d’une personne faisant l’objet d’un traitement de données à caractère personnel pour être valable.

A) La qualité du consentement

Tandis que la LIL ne définit pas la notion de consentement, le RGPD remédie à ce silence textuel en le définissant comme « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ».

Il ressort de cette définition que pour être valable, le consentement doit consister en :

• Une manifestation de volonté par laquelle la personne concernée accepte le traitement ;
• Une manifestation de volonté libre ;
• Une manifestation de volonté spécifique ;
• Une manifestation de volonté informée.

Ces quatre exigences sont cumulatives : il suffit que l’une d’elles fasse défaut pour que le consentement soit privé de validité et, partant, pour que le traitement qu’il était censé fonder devienne illicite.

1. 1) Une manifestation de volonté par laquelle la personne concernée accepte le traitement

La question qui ici se pose est de savoir ce que l’on doit entendre par manifestation de volonté.

Pour le déterminer, il convient de se reporter au considérant n°32 du RGPD dont on peut tirer plusieurs enseignements.

• Un acte positif
  • Si le texte ne limite pas les formes que peut revêtir le consentement, il doit en tout état de cause s’agir d’une manifestation de volonté, soit d’un acte positif.
  • L’exigence selon laquelle la personne concernée doit « donner » son consentement semble indiquer qu’une simple absence d’action est insuffisante et qu’une action quelconque est nécessaire pour constituer un consentement, bien que différents types d’action, à apprécier « selon le contexte », soient possibles.
  • Ainsi, il ne saurait y avoir de consentement en cas de silence, ce qui pourrait se traduire par l’inaction de la personne concernée ou par des cases cochées par défaut. La maxime classique selon laquelle qui ne dit mot ne consent pas trouve ici une consécration textuelle : le silence est dépourvu de toute valeur d’acceptation.
  • La manifestation de volonté peut se faire au moyen d’une déclaration écrite, y compris par voie électronique, ou d’une déclaration orale.
  • Cette manifestation de volonté peut encore se faire en cochant une case lors de la consultation d’un site internet, en optant pour certains paramètres techniques pour des services de la société de l’information ou au moyen d’une autre déclaration ou d’un autre comportement indiquant clairement dans ce contexte que la personne concernée accepte le traitement proposé de ses données à caractère personnel.

• Un acte positif clair
  • Une manifestation de volonté en elle-même n’est pas suffisante à établir le consentement au traitement de la personne concernée.
  • Cette manifestation de volonté ne doit pas être équivoque : elle doit être indubitable.
  • Pour qu’un consentement soit indubitable, la procédure relative à l’obtention et à l’octroi du consentement ne doit laisser aucun doute quant à l’intention de la personne concernée de donner son consentement.
  • En d’autres termes, la manifestation de volonté par laquelle la personne concernée marque son accord ne doit laisser aucune ambiguïté quant à son intention.
  • S’il existe un doute raisonnable sur l’intention de la personne concernée, il y a ambiguïté — et l’ambiguïté se résout, en cette matière, contre le responsable du traitement, sur lequel pèse la charge de prouver le consentement.

• La portée de la manifestation de volonté
  • Le consentement donné par la personne concernée vaut pour toutes les activités de traitement ayant la ou les mêmes finalités.
  • Lorsque le traitement a plusieurs finalités, le consentement doit être donné pour l’ensemble d’entre elles.
  • Si le consentement de la personne concernée est donné à la suite d’une demande introduite par voie électronique, cette demande doit être claire et concise et ne doit pas inutilement perturber l’utilisation du service pour lequel il est accordé.

2) Une manifestation de volonté libre

Pour être valable, le consentement de la personne concernée doit avoir été donné sans contrainte. La liberté du consentement suppose, au premier chef, l’existence d’un choix réel : il faut que la personne ait pu, sans dommage, refuser le traitement aussi aisément qu’elle pouvait l’accepter.

Le consentement ne peut être valable que si la personne concernée est véritablement en mesure d’exercer un choix et s’il n’y a pas de risque de tromperie, d’intimidation, de coercition ou de conséquences négatives importantes si elle ne donne pas son consentement.

Si les conséquences du consentement sapent la liberté de choix des personnes, le consentement n’est pas libre.

C’est le cas, par exemple, lorsque la personne concernée est sous l’influence du responsable du traitement, dans le cadre d’une relation de travail, notamment. Le déséquilibre structurel qui caractérise le rapport entre l’employeur et le salarié rend, en effet, suspecte la liberté du consentement que ce dernier serait amené à donner.

Dans ce cas, même s’il n’en est pas nécessairement toujours ainsi, la personne concernée peut se trouver dans une situation de dépendance vis-à-vis du responsable du traitement – en raison de la nature de la relation ou de circonstances particulières – et peut craindre d’être traitée différemment si elle n’accepte pas le traitement de ses données.

Le Groupe de l’article 29 a eu l’occasion d’affirmer que « le consentement libre désigne une décision volontaire, prise par une personne en pleine possession de ses facultés, en l’absence de toute coercition, qu’elle soit sociale, financière, psychologique ou autre ».

3) Une manifestation de volonté spécifique

Pour être valable, le consentement ne doit pas seulement être libre, il doit également être spécifique.

En d’autres termes, un consentement général, sans préciser la finalité exacte du traitement, n’est pas valable.

Pour être spécifique, le consentement doit mentionner, de façon claire et précise, l’étendue et les conséquences du traitement des données. Il ne peut pas s’appliquer à un ensemble illimité d’activités de traitement.

En d’autres termes, le contexte dans lequel le consentement s’applique est limité.

Le consentement doit être donné sur les différents aspects, clairement définis, du traitement. Il couvre notamment les données qui sont traitées et les finalités pour lesquelles elles le sont. Cette exigence prohibe la pratique consistant à solliciter, en une seule fois, un accord global couvrant indistinctement des traitements hétérogènes : à chaque finalité distincte doit, en principe, correspondre un consentement distinct.

Un « consentement spécifique » est dès lors intrinsèquement lié au fait que le consentement doit être informé. Les deux exigences se nourrissent l’une l’autre : l’on ne saurait consentir avec précision à ce dont on ignore l’étendue.

En principe, il devrait suffire que les responsables du traitement obtiennent un consentement unique pour les différentes opérations, si celles-ci relèvent des attentes raisonnables de la personne concernée. Le critère des attentes raisonnables tempère ainsi la rigueur de l’exigence de spécificité : il évite de multiplier inutilement les demandes de consentement lorsque les traitements en cause forment un ensemble cohérent et prévisible.

La Cour de justice de l’Union européenne s’est prononcée sur cette question dans un arrêt du 5 mai 2001, dans le cadre d’une question préjudicielle posée sur l’article 12, paragraphe 2, de la directive « vie privée et communications électroniques ».

Cette question portait sur la nécessité du renouvellement du consentement des abonnés qui ont déjà consenti à la publication de leurs données personnelles dans un annuaire, afin que celles-ci soient transférées en vue de leur publication par d’autres services d’annuaire.

La Cour a jugé que, dès lors que l’abonné a été correctement informé de la possible transmission des données à caractère personnel le concernant à une entreprise tierce et que celui-ci a consenti à la publication desdites données dans un tel annuaire, la transmission de ces données n’exige pas de nouveau consentement de la part de l’abonné, s’il est garanti que les données concernées ne seront pas utilisées à des fins autres que celles pour lesquelles elles ont été collectées en vue de leur première publication (CJUE, 5 mai 2001 Aff. C-543/09, Deutsche Telekom AG).

4) Une manifestation de volonté informée

Il ressort du RGPD que le consentement de la personne concernée par le traitement doit être informé. L’exigence se comprend aisément : le consentement n’est que l’expression d’une volonté éclairée, en sorte qu’une volonté privée d’information pertinente n’est qu’une apparence de consentement.

Selon le Groupe de l’article 29 cela signifie qu’« un consentement … doit être fondé sur l’appréciation et la compréhension des faits et des conséquences d’une action. La personne concernée doit recevoir, de façon claire et compréhensible, des informations exactes et complètes sur tous les éléments pertinents, en particulier ceux spécifiés aux articles 10 et 11 de la directive, tels que la nature des données traitées, les finalités du traitement, les destinataires d’éventuels transferts et ses droits. Cela suppose également la connaissance des conséquences du refus de consentir au traitement des données en question ».

Autrement dit, la personne concernée doit être à même de consentir au traitement en toute connaissance de cause.

Afin de satisfaire cet objectif, il convient donc que les informations qui lui sont fournies soient appropriées.

Deux exigences doivent alors être remplies qui tiennent à :

• La qualité des informations : la manière dont les informations sont communiquées (texte en clair, sans jargon, compréhensible, visible) est capitale pour apprécier si le consentement est « informé ». La manière dont les informations doivent être fournies dépend du contexte. Un utilisateur régulier/moyen devrait être en mesure de les comprendre. La clarté s’apprécie ainsi par référence à un standard objectif — celui de la personne moyennement avertie — et non à la compréhension subjective de tel ou tel individu ;
• L’accessibilité et la visibilité des informations : les informations doivent être communiquées directement à la personne concernée. Il ne suffit pas que les informations soient « disponibles » quelque part. Une information enfouie dans des conditions générales ou reléguée derrière une succession de liens ne satisfait pas à cette exigence : l’accessibilité théorique ne vaut pas information effective.

B) La preuve du consentement

Le considérant n°42 du RGPD énonce que lorsque le traitement est fondé sur le consentement de la personne concernée, le responsable du traitement devrait être en mesure de prouver que ladite personne a consenti à l’opération de traitement.

Il échoit, en conséquence, aux responsables de traitements de données à caractère personnel de conserver les preuves attestant que le consentement a effectivement été donné par la personne concernée.

Cette exigence n’est pas une simple recommandation de prudence : elle procède d’une véritable règle d’attribution de la charge probatoire. Là où, en droit commun, actori incumbit probatio — il appartient au demandeur de prouver le fait qu’il allègue — le RGPD opère un renversement : ce n’est pas à la personne concernée de démontrer qu’elle n’a pas consenti, mais au responsable du traitement d’établir, positivement, l’existence d’un consentement valable. Ce renversement constitue le corollaire processuel du principe de responsabilité (accountability dans le texte européen, que l’on traduira par obligation de rendre compte), pierre angulaire de l’édifice institué en 2018.

Cette charge se prolonge dans le temps : le responsable doit pouvoir rapporter la preuve du consentement non seulement au moment où il le recueille, mais aussi tout au long de la vie du traitement, et notamment lorsque la personne en conteste l’existence ou la portée. Il lui appartient donc d’organiser un dispositif de traçabilité : horodatage de l’accord, conservation du formulaire ou de la version des conditions présentées, identification de l’opération précise à laquelle l’accord se rapporte. La preuve doit, en somme, être à la fois existante, conservée et rattachable.

A cet égard, des déclarations expresses pour marquer un accord, comme un accord signé ou une déclaration écrite attestant la volonté de consentir sont des procédures ou des mécanismes qui se prêtent particulièrement bien à la fourniture d’un consentement indubitable.

L’on peut, du reste, ordonner les procédés de recueil selon leur valeur probatoire décroissante. Au sommet figurent les déclarations expresses formalisées — signature manuscrite ou électronique, mention écrite reproduite par la personne elle-même — dont la force probante est la plus robuste. Viennent ensuite les mécanismes d’action positive non ambiguë, telle la case à cocher non pré-remplie, dont la validité demeure subordonnée à des conditions de clarté. Au plus bas, enfin, se situent les procédés fondés sur le silence ou l’inaction, dont on verra qu’ils sont, par principe, impropres à établir un consentement.

Plus délicat en revanche est le système des cases à cocher :

• Les cases à cocher
  • Sur le principe, un système de cases à cocher assorties, par exemple, de la mention « j’accepte les conditions générales d’utilisation», est admis pour recueillir le consentement de la personne concernée.
  • Encore faut-il que l’action de cocher procède d’une démarche active de la personne : c’est le geste positif, et non l’état par défaut de la case, qui manifeste la volonté de consentir.
  • Dans une délibération 2013-420 du 3 janvier 2014 la CNIL a néanmoins posé des limites.
  • Elle a, en effet, considéré que ce système n’était autorisé que lorsque les informations relatives au traitement de données à caractère personnel étaient facilement accessibles.
  • La Commission a ainsi été conduite à sanctionner Google en suite de la modification de sa politique de confidentialité.
  • En l’espèce, le consentement se manifesterait par le fait que l’utilisateur coche la case matérialisant son accord aux conditions d’utilisation et aux règles de confidentialité.
  • Pour Google, ce consentement était éclairé dans la mesure où les informations données étaient suffisamment précises sur les opérations de traitement des données.
  • La CNIL relève toutefois que la mention de cette faculté de combinaison n’apparaît qu’au milieu des règles de confidentialité, dans le dernier tiers de la rubrique intitulée « Comment nous utilisons les données que nous collectons ».
  • Cette information, alors qu’elle a trait à une modification essentielle de la politique de confidentialité de la société, n’était donc pas accessible aux utilisateurs en première intention.
  • Par ailleurs, elle ne se distinguait pas des développements qui l’entourent, eux-mêmes formulés en termes généraux, notamment quant à la description des traitements de données.
  • Il était donc impossible de considérer en l’espèce que le fait de cliquer sur la case J’accepte des conditions d’utilisation puisse être considéré comme un accord explicite et spécifique à cette combinaison.
  • Pour être valable, le formulaire de consentement assorti de cases à cocher doit être suffisamment précis pour permettre à la personne de consentir en toute connaissance de cause.
  • Il se déduit de cette délibération un enseignement de portée générale : la validité du procédé ne tient pas au support technique — la case — mais à la qualité de l’information qui l’entoure. Une case à cocher adossée à une information noyée, dispersée ou rédigée en termes vagues n’emporte pas consentement, car celui-ci, pour être éclairé, suppose que la personne ait pu mesurer, à l’instant où elle coche, l’objet et la portée exacts de son accord.

• Le recueil du consentement par défaut
  • Les cases pré-cochées
    • Les cases pré-cochés ne sont pas admises par la CNIL dans la mesure où la personne concernée reste passive.
    • Or l’exigence d’un consentement indubitable ne cadre pas bien avec les procédures d’obtention d’un consentement reposant sur l’inaction ou le silence des personnes concernées.
    • En effet, le silence ou l’inaction d’une partie comporte une ambiguïté intrinsèque (la personne concernée pourrait avoir voulu donner son accord ou pourrait simplement avoir voulu ne pas exécuter l’action).
    • La raison en est aisément perceptible : une case déjà cochée déplace la charge de l’initiative. Au lieu d’exiger un geste pour consentir, elle requiert un geste pour refuser, en sorte que l’abstention vaut acceptation. Or le consentement, défini comme une manifestation de volonté positive, ne saurait se déduire d’une inertie. Le RGPD a d’ailleurs consacré cette analyse en exigeant, en son considérant n°32, « un acte positif clair » et en excluant expressément que le silence, les cases cochées par défaut ou l’inactivité puissent valoir consentement.
  • Les courriers
    • Il y a pareillement ambiguïté lorsque des personnes sont réputées avoir donné leur consentement lorsqu’elles n’ont pas répondu à une lettre les informant que l’absence de réponse vaut consentement.
    • Dans ce type de situation, le comportement de la personne (ou plutôt son absence d’action) soulève de sérieux doutes sur le fait que la personne ait voulu marquer son accord.
    • Le fait que la personne n’ait pas effectué d’action positive ne permet pas de conclure qu’elle a donné son consentement.
    • Par conséquence, l’exigence de consentement indubitable ne sera pas satisfaite.
    • A cet égard, le groupe de travail a déclaré qu’un consentement fondé sur le silence de la personne est inadéquat dans le contexte de l’envoi de courriers électroniques à des fins de prospection directe.
    • Le clivage est ainsi net entre la technique licite et la technique prohibée : est valable le procédé qui requiert un acte positif de la personne (cocher, signer, cliquer sur un bouton d’acceptation)  est nul celui qui se contente d’interpréter une absence de réaction (case déjà remplie, défaut de réponse à un courrier, poursuite de la navigation). Dans le premier cas, la volonté se manifeste  dans le second, on la présume, ce que le droit refuse.

C) Le consentement des enfants

Alors que la directive du 24 octobre 1995 n’abordait pas la question du consentement des mineurs, exposés tout autant que les majeurs, à des traitements de données à caractère personnel, le RGPD pose des conditions spécifiques applicables au consentement des enfants.

Le législateur européen justifie cette démarche en arguant que les enfants méritent une protection spécifique en ce qui concerne leurs données à caractère personnel parce qu’ils peuvent être moins conscients des risques, des conséquences et des garanties concernées et de leurs droits liés au traitement des données à caractère personnel.

Cette protection spécifique doit, notamment, s’appliquer à l’utilisation de données à caractère personnel relatives aux enfants à des fins de marketing ou de création de profils de personnalité ou d’utilisateur et à la collecte de données à caractère personnel relatives aux enfants lors de l’utilisation de services proposés directement à un enfant.

La justification de ce régime dérogatoire tient à une présomption de vulnérabilité : le mineur, en raison de son discernement encore incomplet, est réputé moins apte à mesurer les conséquences, parfois durables, de la divulgation de ses données. Le souci de protection est d’autant plus aigu que les services numériques offerts directement aux enfants — réseaux sociaux, plateformes de jeux, applications de messagerie — constituent un terrain privilégié de collecte massive et de profilage à des fins publicitaires.

A cet égard, l’article 8 du RGPD prévoit que « en ce qui concerne l’offre directe de services de la société de l’information aux enfants, le traitement des données à caractère personnel relatives à un enfant est licite lorsque l’enfant est âgé d’au moins 16 ans. Lorsque l’enfant est âgé de moins de 16 ans, ce traitement n’est licite que si, et dans la mesure où, le consentement est donné ou autorisé par le titulaire de la responsabilité parentale à l’égard de l’enfant. »

Ainsi, cette disposition opère une distinction entre

• D’une part, les enfants âgés de plus de 16 ans qui sont présumés être en mesure de consentir seuls, soit sans l’intervention de leurs représentants légaux, à un traitement de données à caractère personnel
• D’autre part, les enfants âgés de moins de 16 ans qui, pour consentir à un traitement de données à caractère personnel, doivent obtenir l’autorisation de leurs représentants légaux

Ce mécanisme institue, en réalité, une forme particulière de représentation : en deçà de l’âge-seuil, la volonté de l’enfant ne suffit pas à elle seule à fonder la licéité du traitement  elle doit être relayée — le texte parle de consentement « donné ou autorisé » — par le titulaire de la responsabilité parentale. La double formule mérite l’attention : le parent peut soit consentir lui-même au nom de l’enfant, soit se borner à autoriser le consentement exprimé par ce dernier  dans les deux cas, l’accord parental constitue une condition de validité.

Le texte confère aux États membres une marge de manœuvre, en ce qu’ils peuvent prévoir par la loi un âge inférieur pour autant que cet âge inférieur ne soit pas en-dessous de 13 ans. Le législateur français a retenu comme limite, l’âge de 15 ans.

Il en résulte une géométrie variable du seuil au sein de l’Union : chaque État peut, dans la fourchette de 13 à 16 ans, fixer son propre âge de capacité numérique. La France, par l’article 45 de la loi du 6 janvier 1978 modifiée, a opté pour 15 ans — âge qui fait par ailleurs écho, en droit pénal, au seuil de présomption en matière d’infractions sexuelles. Cette diversité nationale, si elle respecte la subsidiarité, n’est pas sans poser de délicates questions pour les services transfrontaliers, contraints de moduler leurs dispositifs de vérification selon le pays de résidence du mineur.

Lorsque le mineur n’a pas atteint l’âge limite, le RGPD précise qu’il appartient au responsable du traitement de vérifier que le consentement est donné ou autorisé par le titulaire de la responsabilité parentale à l’égard de l’enfant, compte tenu des moyens technologiques disponibles.

Cette obligation de vérification est, on le mesure, source d’une difficulté pratique considérable. Le responsable du traitement doit déployer des efforts raisonnables pour s’assurer, d’abord, de l’âge réel du déclarant — lequel peut aisément le travestir — et, ensuite, de la qualité de titulaire de la responsabilité parentale de celui qui consent en lieu et place de l’enfant. La référence aux « moyens technologiques disponibles » introduit toutefois un correctif de proportionnalité : l’exigence de vérification se mesure à l’état de la technique et au risque que le traitement fait courir au mineur, de sorte qu’un dispositif intrusif ne saurait être imposé pour un traitement bénin.

V) §2 : Les dérogations au principe du consentement

Si le consentement joue un rôle important dans la mise en œuvre d’un traitement de données à caractère personnel, cela n’exclut pas la possibilité que, compte tenu du contexte, d’autres fondements juridiques puissent être jugés plus appropriés par le responsable du traitement ou la personne concernée.

Il importe, à cet endroit, de dissiper une équivoque que l’intitulé même de ce paragraphe pourrait entretenir : ces autres fondements ne sont pas, à proprement parler, des « exceptions » subordonnées à un principe qui serait le consentement. Le RGPD les place tous sur un strict pied d’égalité : le consentement n’est que l’une des six bases de licéité, ni première, ni supérieure. La présentation retenue, qui fait du consentement le pivot et des cinq autres bases des dérogations, traduit moins une hiérarchie normative qu’une commodité d’exposition, l’autodétermination de la personne constituant le point de départ naturel de l’analyse.

Le RGPD et la LIL prévoient 5 autres fondements juridiques sur la base desquels un traitement de données à caractère personnel peut être mise en œuvre.

Au nombre de ces fondements juridiques figurent :

• Le respect d’une obligation légale incombant au responsable du traitement ;
• La sauvegarde de la vie de la personne concernée ;
• L’exécution d’une mission de service public dont est investi le responsable ou le destinataire du traitement ;
• L’exécution, soit d’un contrat auquel la personne concernée est partie, soit de mesures précontractuelles prises à la demande de celle-ci ;
• La réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le destinataire, sous réserve de ne pas méconnaître l’intérêt ou les droits et libertés fondamentaux de la personne concernée.

Une distinction peut ainsi être établie entre le cas où le traitement des données à caractère personnel se fonde sur le consentement indubitable de la personne concernée et les cinq autres cas.

En résumé, ces derniers décrivent des scénarios où le traitement peut se révéler nécessaire dans un contexte spécifique, comme l’exécution d’un contrat conclu avec la personne concernée, le respect d’une obligation légale imposée au responsable du traitement, etc.

Le critère commun qui irrigue ces cinq fondements est celui de la nécessité : le traitement n’est licite que pour autant qu’il soit indispensable à la réalisation de la finalité invoquée — exécuter le contrat, satisfaire à l’obligation légale, sauvegarder la vie, accomplir la mission de service public, poursuivre l’intérêt légitime. Cette nécessité s’apprécie strictement : dès lors qu’un moyen moins attentatoire à la vie privée permet d’atteindre le même but, le traitement cesse d’être nécessaire et, partant, fondé. Là où le consentement repose sur la volonté de la personne, ces fondements reposent donc sur un rapport objectif de stricte nécessité entre le traitement et son but.

Dans l’hypothèse où le consentement de la personne est requis, ce sont les personnes concernées elles-mêmes qui autorisent le traitement de leurs données à caractère personnel.

Il leur appartient de décider si elles permettent que leurs données soient traitées. Le consentement n’élimine pas pour autant la nécessité de respecter les principes énoncés par la LIL.

De plus, le consentement doit encore remplir certaines conditions essentielles pour être légitime. Dès lors que le traitement des données de l’utilisateur est, en définitive, laissé à sa discrétion, tout dépend de la validité et de la portée du consentement de la personne concernée.

Autrement dit, le premier motif, mentionné à l’article 6 a) du RGPD (le consentement) a trait à l’autodétermination de la personne concernée comme fondement de la légitimité.

Tous les autres motifs, en revanche, autorisent le traitement – moyennant des garanties et des mesures définies – dans des situations où, indépendamment du consentement, il est approprié et nécessaire de traiter les données dans un certain contexte pour servir un intérêt légitime spécifique.

En toute hypothèse, c’est au responsable du traitement des données qu’il revient initialement d’apprécier si les critères énoncés à l’article 7, points a) à f), sont remplis, sous réserve du respect du droit applicable et des orientations relatives à la façon dont ce droit doit être appliqué.

Ensuite, la légitimité du traitement peut faire l’objet d’une autre évaluation, et éventuellement être contestée, par les personnes concernées, par d’autres parties prenantes, par les autorités chargées de la protection des données, et en définitive la question peut être tranchée par les tribunaux.

L’appréciation initiale du responsable n’est donc en rien définitive : elle n’épuise pas le contrôle, elle l’ouvre. Le choix de la base de licéité, qui doit du reste être arrêté avant la mise en œuvre du traitement et ne saurait être substitué a posteriori, demeure soumis à un double étage de vérification — administratif, devant l’autorité de contrôle  juridictionnel, devant le juge — qui peut, l’un comme l’autre, censurer une qualification erronée et priver le traitement de tout fondement.

A) Le respect d’une obligation légale

Ce fondement juridique renvoie à l’hypothèse où le traitement de données à caractère personnel est imposé au responsable du traitement par une obligation légale.

Il pourrait, par exemple, s’agir d’un texte qui impose aux employeurs de communiquer des données relatives aux rémunérations de leurs salariés à la sécurité sociale ou à l’administration fiscale, ou lorsque les institutions financières sont tenues de signaler certaines opérations suspectes aux autorités compétentes en vertu de règles visant à lutter contre le blanchiment d’argent.

La logique de ce fondement est aisée à saisir : là où une norme contraignante commande au responsable de traiter des données, exiger en outre le consentement de la personne concernée serait à la fois superflu et incohérent. Superflu, car le traitement aura lieu de toute façon  incohérent, car la personne ne saurait, en refusant son accord, faire échec à l’exécution d’une obligation d’ordre public. Le consentement et l’obligation légale s’excluent donc l’un l’autre : solliciter un accord que l’on n’est, en réalité, pas libre de refuser serait même trompeur.

Pour que ce fondement juridique, puisse s’appliquer, l’obligation à laquelle est soumis le responsable du traitement doit satisfaire à un certain nombre de conditions :

• Une obligation légale ou réglementaire
  • L’obligation sur le fondement de laquelle le traitement est mis en œuvre, doit être imposée par la loi ou par un texte réglementaire et non, par exemple, par une cause contractuelle.
  • A cet égard, le texte légal doit remplir toutes les conditions requises pour rendre l’obligation valable et contraignante, et doit aussi être conforme au droit applicable en matière de protection des données, notamment aux principes de nécessité, de proportionnalité et de limitation de la finalité.

• Une obligation édictée par l’Union européenne ou un État membre
  • Il importe de souligner que l’obligation légale dont se prévaut le responsable du traitement doit se rapporter aux lois de l’Union européenne ou d’un État membre.
  • Les obligations imposées par les lois de pays tiers (comme, par exemple, l’obligation de mettre en place des mécanismes de dénonciation des dysfonctionnements, instaurée en 2002 par la loi Sarbanes-Oxley aux États-Unis) ne relèvent pas de ce motif.
  • La raison en est que reconnaître à une législation étrangère le pouvoir de fonder, par elle-même, un traitement de données dans l’Union reviendrait à conférer à des normes extra-européennes un effet contraignant que le droit de l’Union ne leur accorde pas. Une obligation issue d’un droit tiers ne pourra, tout au plus, servir qu’à caractériser l’intérêt légitime du responsable — sixième fondement — à la condition que la mise en balance avec les droits de la personne concernée lui soit favorable.

• Une obligation à laquelle le responsable du traitement ne peut pas déroger
  • Le responsable du traitement ne doit pas avoir le choix de se conformer ou non à l’obligation.
  • Les engagements volontaires unilatéraux et les partenariats public-privé qui supposent le traitement de données au-delà de ce qui est requis par la loi n’entrent donc pas dans le champ d’application de l’article 7, point 1° de la LIL.
  • Par exemple, si un fournisseur de services internet décide – sans y être contraint par une obligation légale claire et précise – de surveiller ses utilisateurs afin de lutter contre le téléchargement illégal, l’article 7, 1°, ne pourra pas être invoqué comme fondement juridique approprié à cet effet.
  • Le critère décisif est ici celui de la contrainte : seul ce qui est imposé relève de ce fondement, à l’exclusion de ce qui est simplement permis ou encouragé. Dès que le responsable conserve la faculté de ne pas traiter, l’obligation légale fait défaut et il lui faut rechercher une autre base de licéité.

• Une obligation suffisamment claire et précise
  • L’obligation légale elle-même doit être suffisamment claire à propos du traitement de données à caractère personnel qu’elle requiert.
  • En conséquence, l’article 7, point 1°, s’applique sur la base de dispositions juridiques mentionnant explicitement la nature et l’objet du traitement.
  • Le responsable du traitement ne doit pas avoir de marge d’appréciation injustifiée quant à la façon de se conformer à l’obligation légale.
  • Cette exigence de précision rejoint la garantie de prévisibilité que requiert toute ingérence dans la vie privée : la personne concernée doit pouvoir anticiper, à la lecture du texte, quelles de ses données seront traitées et à quelles fins. Une habilitation légale trop générale, qui laisserait au responsable une latitude indéterminée, ne saurait donc fonder valablement le traitement.

B) La sauvegarde de la vie de la personne concernée

Pour que ce fondement juridique puisse servir de base à un traitement de données à caractère personnel, il est nécessaire que le responsable du traitement justifie de la nécessité de protéger un intérêt essentiel à la vie de la personne concernée ou à celle d’une autre personne physique.

Le traitement de données à caractère personnel fondé sur l’intérêt vital d’une autre personne physique ne devrait en principe avoir lieu que lorsque le traitement ne peut manifestement pas être fondé sur une autre base juridique.

Ce fondement présente, en effet, un caractère résiduel et subsidiaire : il n’a vocation à jouer que dans les hypothèses où aucune autre base de licéité — à commencer par le consentement — ne peut être mobilisée. Tel est le cas, typiquement, lorsque la personne concernée est physiquement ou juridiquement hors d’état de consentir : blessé inconscient transporté aux urgences, victime d’un accident dont l’identification conditionne les soins. La subsidiarité est plus marquée encore lorsque l’intérêt vital protégé est celui d’un tiers : le texte n’y consent qu’à la condition expresse qu’aucun autre fondement ne soit manifestement mobilisable.

Selon le Groupe de l’article 29, l’expression « intérêt vital » semble limiter l’application de ce motif à des questions de vie ou de mort, ou, à tout le moins, à des menaces qui comportent un risque de blessure ou une autre atteinte à la santé de la personne concernée.

A cet égard, le considérant 31 de la Directive du 24 octobre 1995 confirme que l’objectif de ce fondement juridique est de « protéger un intérêt essentiel à la vie de la personne concernée ».

Ni la directive, ni le RGPD ne précise, néanmoins, si la menace doit être immédiate. Ce silence, n’est pas sans soulever des questions quant à la portée de la collecte de données, par exemple, à titre de mesure préventive ou à grande échelle, comme la collecte des données relatives aux passagers transportés par une compagnie aérienne en cas de risque d’épidémie ou d’incident de sûreté.

Le groupe de l’article 29 considère qu’il convient de donner une interprétation restrictive à cette disposition. Bien que l’article 7, 2° de la LIL, ne limite pas expressément l’utilisation de ce motif à des situations où le consentement ne peut servir de fondement juridique, il est raisonnable de supposer que, lorsqu’il est possible et nécessaire de demander un consentement valable, il y a effectivement lieu d’obtenir ce consentement chaque fois que les conditions le permettent.

Cette disposition voit ainsi son application limitée à une analyse au cas par cas et elle ne peut normalement servir à légitimer, ni la collecte massive de données à caractère personnel, ni leur traitement.

En définitive, ce fondement obéit à une double limite qui en circonscrit étroitement le domaine : une limite de gravité — seule une menace touchant à la vie, à l’intégrité ou à la santé peut l’activer — et une limite de subsidiarité — il ne joue qu’à défaut de tout autre fondement mobilisable. Ainsi cantonné, il demeure un instrument d’exception, réservé aux situations d’urgence où la protection de la personne prime, momentanément, sur le recueil de sa volonté.

C) L’exécution d’une mission de service public

Lorsqu’une personne exécute une mission de service public, l’article 7, 3° l’autorise à mettre en œuvre un traitement de données à caractère personnel, sans qu’il soit besoin qu’elle recueille, au préalable, le consentement de la personne concernée. Ce fondement — qui correspond, dans l’architecture du règlement, à l’hypothèse visée par l’article 6, § 1, e), du RGPD — procède d’une idée simple : lorsque le traitement sert l’accomplissement d’une fonction d’intérêt général, l’exigence d’un consentement individuel ferait obstacle à la mission elle-même et deviendrait, à la limite, contradictoire avec sa finalité.

Encore faut-il, en effet, que la mission confiée au responsable du traitement porte bien sur une mission de service public, ce qui implique qu’elle relève de l’exercice d’une autorité publique conférée en vertu d’un texte légal ou réglementaire. L’exigence d’un ancrage normatif n’est pas accessoire : elle constitue la condition même de la licéité du traitement. À défaut de texte fondant la mission, le responsable ne saurait s’affranchir du consentement, faute de pouvoir se prévaloir de l’autorité publique qui justifie cette dispense.

Ce fondement juridique couvre deux situations qu’il importe de distinguer avec netteté, car elles ne mettent pas en présence les mêmes acteurs.

• Première situation
  • Il concerne des situations où le responsable du traitement est lui-même investi d’une autorité publique ou d’une mission d’intérêt public (sans nécessairement être lui aussi soumis à une obligation légale de traiter des données) et où le traitement est nécessaire à l’exercice de cette autorité ou de cette mission.
  • Par exemple, une administration fiscale peut collecter et traiter la déclaration de revenus d’une personne afin d’établir et de vérifier le montant de l’impôt à payer.

• Seconde situation
  • Ce fondement juridique couvre aussi des situations où le responsable du traitement n’est pas investi d’une autorité publique, mais est invité à communiquer des données à un tiers investi d’une telle autorité.
  • Par exemple, un agent d’un service public compétent pour enquêter sur un crime peut demander au responsable du traitement sa coopération dans le cadre d’une enquête en cours, plutôt que de lui ordonner de se soumettre à une demande de coopération spécifique.

La distinction n’est pas purement académique : dans la première situation, l’autorité publique réside dans la personne même du responsable ; dans la seconde, elle réside chez le tiers destinataire, le responsable n’étant qu’un relais. Dans les deux cas, toutefois, c’est l’exercice effectif d’une autorité publique — qu’elle soit interne ou externe au responsable — qui légitime l’absence de consentement.

En toute hypothèse, pour être licite, il faut que le traitement soit « nécessaire à l’exécution d’une mission de service public », ou encore que le responsable du traitement ou le tiers auquel il communique les données soit investi d’une autorité publique et que le traitement des données soit nécessaire à l’exercice de cette autorité. La nécessité s’apprécie ici concrètement : le traitement doit être l’instrument adéquat et proportionné de la mission, et non un simple corollaire commode dont on pourrait faire l’économie sans compromettre l’accomplissement de celle-ci.

Si, toutefois, le traitement suppose une ingérence dans la vie privée ou si le droit national l’exige par ailleurs afin de garantir la protection des personnes concernées, la base juridique encadrant le genre de traitement de données qui peut être autorisé devra être suffisamment précise et spécifique. Cette exigence de précision croît, en somme, à proportion de l’intensité de l’atteinte : plus le traitement est intrusif, plus le texte qui le fonde doit en circonscrire étroitement les contours.

L’article 7, 3°, a potentiellement un champ d’application très large, ce qui plaide en faveur d’une interprétation stricte et d’une définition précise, au cas par cas, de l’intérêt public en jeu et de l’autorité publique justifiant le traitement. La généralité d’un fondement appelle, en effet, la rigueur de son maniement : à défaut, la dispense de consentement deviendrait un instrument de contournement, et la règle — le consentement — se trouverait reléguée au rang d’exception.

D) L’exécution, d’un contrat ou de mesures précontractuelles

L’article 7, 4° prévoit que le consentement de la personne concernée n’est pas requis lorsque le traitement de données à caractère personnel procède de l’exécution :

• Soit d’un contrat auquel la personne concernée est partie
• Soit de mesures précontractuelles prises à la demande de celle-ci

La logique de ce fondement — qui répond, dans le RGPD, à l’article 6, § 1, b) — est celle de l’accessoire : dès lors que la personne concernée a librement consenti au contrat, ou en a sollicité la préparation, il serait artificiel d’exiger un second consentement, distinct du premier, pour les traitements que ce contrat rend indispensables. Le consentement à l’opération absorbe, en quelque sorte, le consentement au traitement qu’elle commande.

1) Sur l’exécution d’un contrat

Le fondement juridique de l’article 7, 4° vise d’abord les situations dans lesquelles le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie.

Pour exemple :

• Il couvre, par exemple, la collecte de données à caractère personnel dans le cadre des formulaires bancaires que doit remplir la personne demandant l’ouverture d’un compte.
• Il peut encore s’agir du traitement de son adresse pour que des produits achetés en ligne puissent être livrés, ou du traitement des informations figurant sur une carte de crédit afin d’effectuer une transaction.
• Dans le contexte des relations de travail, ce motif peut autoriser, par exemple, le traitement des informations relatives aux salaires et des coordonnées de comptes bancaires pour que les salariés puissent être payés.

L’exigence de nécessité, mesure du fondement contractuel

Comme le relève le Groupe de l’article 29, ce fondement juridique doit être interprété de façon restrictive et ne couvre pas les situations dans lesquelles le traitement n’est pas véritablement nécessaire à l’exécution d’un contrat, mais plutôt imposé unilatéralement à la personne concernée par le responsable du traitement. La nécessité est ici la clef de voûte : elle interdit que le contrat ne serve de paravent à des traitements étrangers à son objet, glissés à la faveur de la relation contractuelle.

Le fait qu’un certain traitement de données soit couvert par un contrat ne signifie pas non plus automatiquement que le traitement soit nécessaire à son exécution. Il convient, en d’autres termes, de ne pas confondre la couverture contractuelle — qui relève de la rédaction des stipulations — et la nécessité — qui relève de l’adéquation objective entre le traitement et l’objet du contrat.

Par exemple, l’article 7, 4° de la LIL ne peut pas servir de fondement juridique pour établir un profil des goûts et du mode de vie de l’utilisateur à partir de son historique de navigation sur un site internet et des articles achetés.

En effet, le responsable du traitement des données n’a pas été chargé, dans le contrat, d’établir un profil mais de fournir des produits et des services, par exemple.

Même si ces activités de traitement sont expressément mentionnées en petits caractères dans le contrat, elles n’en deviennent pas pour autant « nécessaires » à l’exécution de ce dernier. La mention contractuelle, fût-elle apparente, ne supplée pas l’absence de lien objectif entre le traitement et la prestation promise ; elle ne saurait, à elle seule, transmuer en nécessité ce qui n’est, en réalité, qu’une commodité recherchée par le responsable.

Il existe donc ici un lien évident entre l’appréciation de la nécessité et le respect du principe de limitation de la finalité.

Il importe de déterminer la raison d’être exacte du contrat, c’est-à-dire sa substance et son objectif fondamental, car c’est ce qui permettra de vérifier si le traitement des données est nécessaire à l’exécution du contrat. La démarche est ainsi téléologique : c’est en remontant à l’économie même de l’accord — à ce que les parties ont entendu réaliser — que l’on circonscrit le périmètre des traitements légitimement fondés sur lui.

2) Sur l’exécution de mesures précontractuelles

Le recueil du consentement préalable de la personne concernée n’est pas non plus requis en cas d’exécution de mesures précontractuelles, soit celles prises avant la conclusion du contrat.

Il peut donc s’appliquer aux relations précontractuelles, pour autant que les démarches soient accomplies à la demande de la personne concernée, plutôt qu’à l’initiative du responsable du traitement ou d’un tiers. Le critère décisif tient ainsi à l’initiative : c’est la personne concernée qui doit avoir provoqué la démarche, faute de quoi le responsable retomberait dans le droit commun du consentement.

Par exemple, si une personne demande à un détaillant de lui faire une offre de prix pour un produit, le traitement de données effectué à cette fin, tel que la conservation, pour une durée limitée, de l’adresse et des informations à propos de ce qui est demandé, pourra s’appuyer sur ce fondement juridique.

De même, si quelqu’un demande un devis à un assureur pour sa voiture, l’assureur est en droit de traiter les données nécessaires, par exemple, la marque et l’âge de la voiture, ainsi que d’autres données pertinentes et proportionnées, afin d’établir le devis.

En revanche, des vérifications détaillées comme, par exemple, le traitement de données d’examens médicaux par une compagnie d’assurances avant de proposer une assurance maladie ou une assurance vie ne seraient pas considérées comme une étape nécessaire accomplie à la demande de la personne concernée.

Le traitement à des fins de prospection commerciale sur l’initiative du responsable du traitement ne pourra pas non plus s’appuyer sur ce motif. La raison en est constante : dès que l’impulsion vient du responsable et non de la personne concernée, le fondement précontractuel s’efface — la prospection devra, le cas échéant, chercher appui sur un autre motif, tel l’intérêt légitime examiné ci-après.

E) La réalisation d’un intérêt légitime

Dernier fondement juridique susceptible de servir de base à la mise en œuvre d’un traitement de données à caractère personnel : la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le destinataire, sous réserve de ne pas méconnaître l’intérêt ou les droits et libertés fondamentaux de la personne concernée.

Ce fondement juridique, d’une portée exceptionnellement générale, est issu de la directive du 24 octobre 1995. Il occupe, dans l’économie des fondements, une place singulière : alors que les motifs précédents reposent sur un élément objectif aisément vérifiable — un texte fondant une mission, un contrat, une obligation légale —, celui-ci repose sur une appréciation, celle d’une balance entre intérêts antagonistes. C’est dire qu’il est, tout à la fois, le plus souple et le plus exigeant à manier.

Cette directive ne donnait toutefois aucun critère. Son considérant 30 se bornait à donner des exemples pouvant fonder la licéité de traitements :

• Les activités de gestion courante des entreprises et autres organismes
• La prospection commerciale
• La prospection par une association à but caritatif ou par d’autres associations ou fondations, par exemple à caractère politique

La directive précisait que les traitements devaient, en tout état de cause, être mis en œuvre dans le respect des dispositions visant à permettre aux personnes concernées de s’opposer sans devoir indiquer leurs motifs et sans frais au traitement de données les concernant.

Sans préciser ce que l’on doit entendre par la notion d’« intérêt légitime », le RGPD énonce, dans son considérant 47 que « les intérêts légitimes d’un responsable du traitement, y compris ceux d’un responsable du traitement à qui les données à caractère personnel peuvent être communiquées, ou d’un tiers peuvent constituer une base juridique pour le traitement, à moins que les intérêts ou les libertés et droits fondamentaux de la personne concernée ne prévalent, compte tenu des attentes raisonnables des personnes concernées fondées sur leur relation avec le responsable du traitement ».

Le texte ajoute que l’existence d’un intérêt légitime devrait faire l’objet d’une évaluation attentive, notamment afin de déterminer si une personne concernée peut raisonnablement s’attendre, au moment et dans le cadre de la collecte des données à caractère personnel, à ce que celles-ci fassent l’objet d’un traitement à une fin donnée.

Les intérêts et droits fondamentaux de la personne concernée pourraient, en particulier, prévaloir sur l’intérêt du responsable du traitement lorsque des données à caractère personnel sont traitées dans des circonstances où les personnes concernées ne s’attendent raisonnablement pas à un traitement ultérieur.

Le critère des attentes raisonnables mérite, à cet égard, une attention particulière : il fait de la prévisibilité du traitement, pour la personne concernée, un facteur déterminant de l’équilibre. Plus le traitement s’inscrit dans le prolongement naturel de la relation et des informations délivrées à l’intéressé, plus il est susceptible d’être couvert ; à l’inverse, le traitement inopiné, étranger au contexte de la collecte, fait pencher la balance du côté des droits de la personne concernée.

Bien que le RGPD apporte des précisions sur le fondement de l’intérêt légitime, il ne définit pas la notion, de sorte qu’il y a lieu de se reporter à l’avis émis par le Groupe de l’article 29 en date du 9 avril 2014.

Selon ce Groupe, pour déterminer si un traitement de données à caractère personnel peut être mis en œuvre sur le fondement de l’intérêt légitime poursuivi par le responsable du traitement, il convient de procéder par étapes. Cette démarche graduée — légitimité, nécessité, mise en balance — n’est pas un simple ordonnancement formel : chacune des étapes constitue un filtre, et l’échec à l’une d’elles suffit à écarter le fondement, sans qu’il soit besoin d’examiner les suivantes.

1) Première étape

Elle consiste à déterminer si l’intérêt poursuivi par le responsable du traitement est légitime.

Il convient, tout d’abord, de noter que la notion d’intérêt légitime doit être distinguée de la notion de finalité.

• La finalité est la raison spécifique pour laquelle les données sont traitées : le but de leur traitement
• L’intérêt, quant à lui, est l’enjeu plus large poursuivi par le responsable du traitement, ou le bénéfice qu’il tire – ou que la société pourrait tirer – du traitement.

La question qui alors se pose est de savoir ce qui rend un intérêt légitime ou illégitime. Il s’agit, autrement dit, de déterminer le seuil de ce qui constitue un intérêt légitime.

Pour le Groupe de l’article 29, un intérêt peut être considéré comme légitime dès lors que le responsable du traitement est en mesure de poursuivre cet intérêt dans le respect de la législation sur la protection des données et d’autres législations.

Autrement dit, un intérêt légitime doit être « acceptable au regard du droit ».

Aussi, un « intérêt légitime » doit donc :

• Être licite (c’est-à-dire conforme au droit en vigueur dans l’Union et dans le pays concerné)
• Être formulé en termes suffisamment clairs pour permettre l’application du critère de mise en balance avec l’intérêt et les droits fondamentaux de la personne concernée (c’est-à-dire suffisamment précis)
• Constituer un intérêt réel et présent (c’est-à-dire non hypothétique)

Ces trois caractères — licéité, précision, actualité — se commandent l’un l’autre : un intérêt illicite ne saurait être pris en considération ; un intérêt formulé en termes trop vagues interdit toute mise en balance, qui suppose un objet déterminé à peser ; un intérêt purement hypothétique ou éventuel ne pèse, par définition, d’aucun poids dans la balance. À défaut de l’un de ces caractères, l’examen s’arrête et le fondement est écarté.

Le fait que le responsable du traitement poursuive un tel intérêt légitime en traitant certaines données ne signifie pas qu’il puisse nécessairement invoquer l’article 7, 5°, comme fondement juridique justifiant le traitement.

La légitimité de l’intérêt poursuivi n’est qu’un point de départ. La possibilité d’invoquer ce fondement juridique dépend du résultat de la mise en balance entre l’intérêt du responsable du traitement avec l’intérêt ou les droits et libertés fondamentaux de la personne concernée.

À titre d’illustration : des responsables du traitement peuvent avoir un intérêt légitime à connaître les préférences de leurs clients pour être en mesure de mieux personnaliser leurs offres et, en fin de compte, de proposer des produits et des services qui correspondent mieux aux besoins et aux désirs des clients.

Dans cette perspective, l’article 7, 5°, peut constituer un fondement juridique approprié pour certains types d’activités de prospection, en ligne ou hors ligne, pour autant qu’il existe des garanties appropriées, incluant, entre autres, un mécanisme fonctionnel permettant de s’opposer à ce traitement.

Cela ne signifie pas pour autant que les responsables du traitement pourraient invoquer l’article 7, 5°, pour surveiller indûment les activités en ligne ou hors ligne de leurs clients, pour compiler d’importants volumes de données à leur propos en provenance de différentes sources, collectées à l’origine dans d’autres contextes et à des fins différentes, et pour créer des profils complexes concernant la personnalité et les préférences des clients, sans les en informer, ni mettre à leur disposition un mécanisme fonctionnel permettant d’exprimer leur opposition, pour ne rien dire de leur consentement éclairé.

Une telle activité de profilage risque de constituer une violation grave de la vie privée du client et, dans ce cas, l’intérêt et les droits de la personne concernée prévaudraient sur l’intérêt poursuivi par le responsable du traitement.

2) Deuxième étape

Il s’agit ici de déterminer si le traitement de données à caractère personnel que le responsable envisage de mettre en œuvre est nécessaire à la réalisation de l’intérêt poursuivi.

L’exigence de nécessité comporte, en réalité, un test de proportionnalité : le responsable doit s’interroger sur le point de savoir s’il existe un moyen moins attentatoire aux droits de la personne concernée d’atteindre le même résultat. Si l’intérêt poursuivi peut être satisfait sans traiter les données, ou en en traitant un volume moindre, le traitement envisagé n’est pas « nécessaire » au sens du texte, et le fondement de l’intérêt légitime fait défaut.

Cette exigence a notamment été rappelée par la CJUE dans un arrêt du 13 mai 2014 aux termes duquel elle a considéré que l’article 7 de la directive du 24 octobre 1995 (devenu l’article 6 du RGPD), « permet le traitement de données à caractère personnel lorsqu’il est nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées, à condition que ne prévalent pas l’intérêt ou les libertés et les droits fondamentaux de la personne concernée, notamment son droit au respect de sa vie privée à l’égard du traitement des données à caractère personnel » (CJUE, 13 mai 2014, aff. C-131/12).

Lorsque, dès lors, le traitement n’est pas absolument nécessaire à la poursuite de l’intérêt légitime du responsable, le fondement de l’article 6 du RGPD n’est pas applicable.

3) Troisième étape

A supposer que le traitement de données à caractère personnel soit nécessaire à la réalisation de l’intérêt légitime du responsable, encore faut-il, pour être licite, que cet intérêt ne porte pas atteinte à l’intérêt et aux droits et libertés fondamentaux de la personne concernée. Aussi, cela implique-t-il d’opérer une mise en balance.

A cet égard, comme le souligne le Groupe de l’article 29, il importe de relever qu’à la différence de l’«intérêt» du responsable du traitement, l’«intérêt» des personnes concernées n’est pas suivi ici de l’adjectif «légitime».

Cette dissymétrie lexicale n’est nullement fortuite : elle révèle une dissymétrie de protection voulue par le texte. Tandis que le responsable ne peut faire valoir que des intérêts légitimes, la personne concernée voit ses intérêts pris en compte sans cette qualification restrictive — ce qui élargit d’autant l’assiette de ce qui mérite protection.

Cela suppose que la protection de l’intérêt et des droits des individus a une portée plus vaste. Même les personnes qui se livrent à des activités illégales ne devraient pas faire l’objet d’une ingérence disproportionnée dans l’exercice de leurs droits et de leurs intérêts.

Par exemple, un individu qui peut avoir commis un vol dans un supermarché pourrait encore voir son intérêt prévaloir contre la publication par le propriétaire du magasin de sa photo et de son adresse privée sur les murs du supermarché ou et/ou sur l’internet.

a) La méthode du spectre, ou la gradation des intérêts en présence

En toute hypothèse, il apparaît que l’intérêt légitime poursuivi par le responsable du traitement et les incidences sur l’intérêt et les droits de la personne concernée se présentent sous la forme d’un spectre.

L’intérêt légitime peut être, selon les cas, minime, relativement important ou impérieux.

De même, les incidences sur l’intérêt et les droits des personnes concernées peuvent présenter plus ou moins de gravité et peuvent être anodines ou très préoccupantes.

• L’intérêt légitime poursuivi par le responsable du traitement, quand il est peu important, ne prévaudra généralement sur l’intérêt et les droits des personnes concernées que dans les cas où les incidences sont encore plus insignifiantes.
• D’un autre côté, un intérêt légitime impérieux peut justifier, dans certains cas et sous réserve de garanties et de mesures adéquates, une ingérence même grave dans la vie privée ou d’autres conséquences importantes pour l’intérêt ou les droits des personnes concernées.

La mise en balance n’obéit donc pas à une règle abstraite et fixe, mais à une appréciation in concreto, qui confronte le poids respectif des deux termes : c’est de la position relative de chacun sur son propre spectre que dépend l’issue. Un intérêt impérieux face à une atteinte anodine penchera nettement en faveur du responsable ; un intérêt minime face à une atteinte préoccupante penchera, à l’inverse, en faveur de la personne concernée.

b) Le rôle correcteur des garanties

Il importe ici de souligner le rôle essentiel que les garanties peuvent jouer pour réduire les incidences injustifiées sur les personnes concernées et, partant, modifier l’équilibre des droits et des intérêts, au point que ceux de ces personnes ne prévalent plus sur l’intérêt légitime poursuivi par le responsable du traitement des données.

Les garanties — pseudonymisation, minimisation, durée de conservation limitée, transparence renforcée, mécanisme effectif d’opposition — agissent ainsi comme un contrepoids : en atténuant l’atteinte portée à la personne concernée, elles déplacent le point d’équilibre de la balance. Un traitement qui, dépourvu de garanties, ferait prévaloir les droits de la personne concernée peut, une fois assorti de mesures protectrices adéquates, devenir licite.

Le recours à des garanties ne suffit bien sûr pas à justifier, à lui seul, n’importe quel traitement dans toutes les situations envisageables.

Il faut en outre que les garanties en question soient adéquates et suffisantes, et qu’elles réduisent indubitablement et sensiblement les incidences sur les personnes concernées. À défaut, elles ne seraient qu’un habillage formel, impuissant à rétablir un équilibre que la nature même du traitement aurait définitivement rompu.

La mise en balance des intérêts en présence suppose de confronter les deux plateaux de la balance :

i) Sur le premier plateau de la balance

S’agissant du premier plateau de la balance, il convient d’apprécier l’intérêt légitime du responsable du traitement.

Encore faut-il, au préalable, s’entendre sur la notion même d’intérêt légitime, dont la rigueur conditionne toute la suite du raisonnement.

Ce n’est qu’une fois ce premier filtre franchi que la question du poids de l’intérêt se pose. Or, s’il est impossible de porter des jugements de valeur à l’égard de toutes les formes d’intérêt légitime envisageables, il est possible de formuler certaines orientations.

Comme indiqué précédemment, cet intérêt peut être insignifiant ou impérieux, manifeste ou plus controversé. Tout l’exercice consiste, dès lors, à situer l’intérêt invoqué sur cette échelle d’intensité, étant entendu qu’un intérêt impérieux et incontesté pèsera mécaniquement plus lourd qu’un intérêt accessoire ou contestable.

Pour apprécier la teneur de cet intérêt, plusieurs facteurs doivent être pris en compte :

• L’exercice d’un droit fondamental par le responsable du traitement
  • Pour que l’intérêt légitime du responsable du traitement prévale, le traitement des données doit être « nécessaire » et « proportionné » à l’exercice du droit fondamental concerné.
  • La nécessité s’apprécie, à cet égard, de manière exigeante : il s’agit de vérifier qu’aucun moyen moins intrusif pour la personne concernée ne permettrait d’atteindre la même finalité. Si une voie alternative, également efficace mais moins attentatoire aux droits du sujet, existe, le traitement litigieux ne saurait être tenu pour nécessaire.
  • À titre d’illustration, selon les circonstances, il peut s’avérer nécessaire et proportionné qu’un journal publie certains éléments incriminants à propos du train de vie d’un haut fonctionnaire impliqué dans un scandale de corruption présumé.
  • Il n’est pas question, néanmoins, de donner aux médias toute latitude de publier sans motif valable n’importe quel détail sur la vie privée des personnalités publiques. La liberté d’informer cède, en effet, devant ce qui relève de la seule curiosité du public et qui se trouve dénué de tout apport au débat d’intérêt général.

• Intérêt public/intérêt de la collectivité
  • Dans certains cas, le responsable du traitement peut choisir d’invoquer l’intérêt public ou l’intérêt de la collectivité (que ce soit prévu ou non par les lois ou les réglementations nationales).
  • Par exemple, des données à caractère personnel peuvent être traitées par une association caritative aux fins de la recherche médicale, ou par une organisation sans but lucratif dans le cadre d’une action de mobilisation contre la corruption.
  • Il peut aussi arriver que l’intérêt commercial d’une société privée coïncide dans une certaine mesure avec un intérêt public.
  • Cela peut être le cas, par exemple, pour lutter contre la fraude financière ou l’utilisation abusive de services.
  • En général, le fait qu’un responsable du traitement agisse non seulement dans son propre intérêt légitime (commercial, par exemple), mais aussi dans l’intérêt de la collectivité, peut donner plus de « poids » à cet intérêt.
  • Cette convergence entre intérêt privé et intérêt collectif joue ainsi comme un facteur de renforcement : plus l’intérêt poursuivi déborde la sphère strictement individuelle du responsable pour rejoindre un objectif d’utilité commune, plus il est apte à faire contrepoids aux droits de la personne concernée.

• Autres intérêts légitimes
  • Dans certains cas, le contexte dans lequel un intérêt légitime apparaît peut se rapprocher de ceux où certains autres fondements juridiques peuvent être retenus.
  • Par exemple, il se peut qu’une activité de traitement des données ne soit pas strictement nécessaire, mais qu’elle reste néanmoins pertinente pour l’exécution d’un contrat, comme il est possible qu’une loi autorise le traitement de certaines données, sans pour autant l’exiger.
  • Dans cette zone grise, l’intérêt légitime opère comme un fondement de complément : il prend le relais là où l’exécution du contrat ou l’obligation légale, sans commander le traitement, en éclairent néanmoins la justification et confortent le poids de l’intérêt invoqué.

ii) Le second plateau de la balance

L’autre plateau de la balance, à savoir l’incidence du traitement sur l’intérêt ou les droits et libertés fondamentaux de la personne concernée, constitue un critère crucial.

Pour apprécier l’incidence du traitement, il convient de prendre en considération les conséquences aussi bien positives que négatives.

Il peut s’agir notamment de décisions ou de mesures éventuelles qui seront prises ultérieurement par des tiers et de situations où le traitement peut aboutir à l’exclusion de certaines personnes, à une discrimination à leur encontre, à de la diffamation ou, plus généralement, de situations qui comportent un risque de nuire à la réputation, au pouvoir de négociation ou à l’autonomie de la personne concernée.

En plus des conséquences négatives qui peuvent être spécifiquement prévues, il faut aussi tenir compte des répercussions morales, comme l’irritation, la crainte et le désarroi qui peuvent résulter de la perte du contrôle exercé par la personne concernée sur ses informations à caractère personnel, ou de la découverte d’une utilisation abusive ou d’une compromission effective ou potentielle de ces informations – du fait, par exemple, de leur divulgation sur l’internet.

L’effet dissuasif sur un comportement protégé, comme la liberté de recherche ou la liberté d’expression, qui peut résulter d’une surveillance constante ou d’un traçage, doit aussi être dûment pris en considération. L’atteinte se mesure alors moins à un préjudice consommé qu’à l’inhibition qu’elle induit : le seul fait de se savoir observé conduit l’individu à brider l’exercice de ses libertés, en sorte que le dommage réside dans l’autocensure elle-même.

Afin d’évaluer l’incidence du traitement de données à caractère personnel sur la personne concernée, le Groupe de l’article 29 préconise de prendre en compte un certain nombre de facteurs :

• La nature des données
  • En général, plus les informations sont sensibles, plus les conséquences qu’elles peuvent avoir pour la personne concernée sont importantes.
  • Cela ne veut pas dire, cependant, qu’il est permis de traiter librement des données qui, en elles-mêmes, peuvent paraître anodines.
  • En effet, selon la façon dont elles sont traitées, même ces données peuvent avoir une incidence importante sur les individus.

• La façon dont les données sont traitées
  • L’analyse d’impact au sens large peut consister notamment à examiner si les données ont été publiées ou rendues accessibles par quelque autre moyen à un grand nombre de personnes, ou si des volumes considérables de données à caractère personnel sont traités ou combinés avec d’autres données (par exemple, en cas d’établissement de profils, à des fins commerciales, judiciaires, ou autres).
  • Le traitement à grande échelle de données apparemment anodines et leur combinaison avec d’autres données peuvent parfois permettre des inférences à propos de données plus sensibles.

• Les attentes raisonnables de la personne concernée
  • Les attentes raisonnables de la personne concernée quant à l’utilisation et à la divulgation des données doivent être prises en compte dans la mise en balance.
  • A cet égard, il est important d’examiner si le statut du responsable du traitement des données, la nature de la relation ou du service fourni ou les obligations légales ou contractuelles applicables (ou d’autres engagements pris lors de la collecte) pourraient susciter des attentes raisonnables de confidentialité plus stricte et de limitations plus strictes en cas d’utilisation ultérieure.
  • Le critère est ici objectif : il ne s’agit pas de sonder la psychologie d’un individu déterminé, mais de rechercher ce qu’une personne placée dans la même situation pouvait légitimement anticiper au moment de la collecte. Un usage des données qui déjoue cette anticipation raisonnable fait, à due proportion, pencher la balance du côté du sujet.

• Le statut du responsable du traitement des données et de la personne concernée
  • Le statut de la personne concernée et du responsable du traitement des données est aussi pertinent pour apprécier l’incidence du traitement.
  • Selon que le responsable du traitement des données est un individu ou une petite organisation, une grande multinationale, ou un organisme du secteur public et en fonction des circonstances, le rapport de force avec la personne concernée peut être plus ou moins grand.
  • Une grande multinationale dispose, par exemple, de ressources et d’un pouvoir de négociation considérables vis-à-vis d’une personne concernée, à titre individuel, et elle peut par conséquent être à même d’imposer ce qu’elle considère comme son « intérêt légitime » à la personne concernée, surtout si l’entreprise occupe une position dominante sur le marché.
  • D’un autre côté, le statut de la personne concernée a aussi son importance. Si, en principe, il y a lieu d’appliquer le critère de mise en balance par rapport à un individu moyen, certaines situations spécifiques appellent plutôt une approche au cas par cas : par exemple, il serait pertinent de prendre en considération le fait que la personne concernée est un enfant ou appartient à une catégorie de population plus vulnérable qui requiert une protection spéciale, comme, par exemple, les malades mentaux, les demandeurs d’asile ou les personnes âgées.
  • La vulnérabilité de la personne concernée opère ainsi comme un multiplicateur de l’incidence : à atteinte objectivement identique, le poids accordé aux droits du sujet s’accroît lorsque celui-ci est, en raison de son âge ou de sa situation, moins à même de défendre lui-même ses intérêts.

4) Quatrième étape

Afin de déterminer si le traitement de données à caractère personnel peut être mis en œuvre sur le fondement juridique de l’intérêt légitime du responsable du traitement, c’est l’appréciation générale de la mise en balance qui déterminera si le résultat est acceptable ou non.

Plus l’incidence sur la personne concernée est significative, plus il faudra prêter attention aux garanties qu’il convient de mettre en place. Une corrélation s’établit ainsi entre le degré d’atteinte et l’exigence de protection : à mesure que l’impact s’alourdit, le seuil des garanties requises s’élève, jusqu’à pouvoir conditionner la licéité même du traitement.

Après une analyse et un examen attentif de tous les aspects du problème, un bilan provisoire peut être établi : une conclusion préliminaire peut être tirée afin de déterminer si l’intérêt légitime poursuivi par le responsable du traitement prévaut sur les droits et les intérêts des personnes concernées.

Il peut cependant y avoir des cas où le résultat de la mise en balance n’est pas clair et où il subsiste un doute quant à la question de savoir si l’intérêt légitime du responsable du traitement (ou du tiers) prévaut et si le traitement peut se fonder sur l’article 7, 5°.

C’est pourquoi il importe de procéder à une évaluation complémentaire dans le cadre de l’exercice de mise en balance.

À ce stade, le responsable du traitement peut envisager d’introduire d’autres mesures, qui vont au-delà du respect des dispositions horizontales de la directive, afin de contribuer à protéger les personnes concernées. Ces mesures jouent un rôle décisif : en abaissant l’incidence du traitement sur le second plateau, elles sont susceptibles de faire basculer en faveur du responsable une balance qui, en leur absence, demeurait incertaine, voire défavorable.

Les garanties supplémentaires destinées à prévenir toute incidence indue sur les personnes concernées peuvent notamment inclure :

• La minimisation des données (par exemple, une limitation stricte du volume de données collectées, ou la suppression immédiate des données après utilisation)
• Des mesures techniques et organisationnelles garantissant que les données ne peuvent servir à la prise de décisions ou d’autres mesures à l’endroit des individus («séparation fonctionnelle»)
• Un large recours aux techniques d’anonymisation, l’agrégation des données, les technologies renforçant la protection de la vie privée, la prise en compte du respect de la vie privée dès la conception, les analyses d’impact relatives à la vie privée et à la protection des données
• Une transparence accrue, un droit général et inconditionnel de refuser le traitement, la portabilité des données et autres mesures connexes visant à renforcer le pouvoir des personnes concernées.

Lorsque les garanties prises par le responsable du traitement sont insuffisantes, la CNIL n’hésite pas à prononcer des sanctions à son encontre.

Tel avait été le cas dans le cadre d’une délibération rendue le 19 juillet 2012 (CNIL, délib. n°2012-214 du 19 juillet 2012).

• Les faits
  • Il s’agissait d’une société (la FNAC) qui avait pour activité la vente à distance sur catalogue.
  • Elle exploitait, plus précisément, un site de e-commerce.
  • Lors du contrôle diligenté par la CNIL dans les locaux de cette société, il a été établi que dans les bases de la société figuraient notamment les données sur les produits commandés ainsi que sur les transactions commerciales effectuées, une table de cette base étant par ailleurs réservée aux coordonnées bancaires des clients.
  • Dans cette table apparaissaient les noms des porteurs des cartes bancaires, leurs numéros et leurs dates d’expiration, qui correspondent à environ 10 millions de cartes bancaires en cours de validité ainsi qu’à un grand nombre de cartes bancaires dont la date de validité est expirée.
  • La finalité de la conservation de ces données, qui permet aux clients de la société de ne pas avoir à les ressaisir lors d’une prochaine commande, consistait donc à leur offrir une prestation de portefeuille électronique.

• Moyens de défense de la FNAC
  • Pour justifier cette pratique, la FNAC soutenait que la conservation de ces coordonnées bancaires dans ses bases était conforme aux conditions posées par les articles 7-4° et 7-5° de la loi du 6 janvier 1978 modifiée, qui prévoient qu’il n’est pas nécessaire de recueillir le consentement des personnes quand le traitement est lié
    • Soit à l’exécution d’un contrat auquel la personne concernée est partie
    • Soit à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le destinataire, sous réserve de ne pas méconnaître l’intérêt ou les droits et libertés fondamentaux de la personne concernée
  • A cet égard, elle soutenait
    • D’une part, que la conservation des données bancaires était conforme à la finalité annoncée au client
    • D’autre part, que cette prestation faisait pleinement partie du service qui est proposé par l’e-commerçant
    • Enfin, qu’elle a en outre adopté une approche transparente à l’égard des visiteurs sur son site, où la conservation du numéro de carte bancaire et la possibilité de le supprimer sont mentionnés à plusieurs reprises.

• Décision
  • Bien que pertinents, les arguments avancés n’ont pas suffi à emporter la conviction de la CNIL.
  • La Commission rejette notamment l’argument tenant à l’invocation du fondement de l’intérêt légitime poursuivi par la FNAC.
  • Celui-ci consistait, en l’espèce, à faciliter la réalisation d’un ou de plusieurs paiements successifs dans la durée, et par conséquent en l’optimisation des transactions commerciales effectuées sur son site.
  • Si la CNIL ne nie pas l’existence de cet intérêt légitime, elle rappelle, néanmoins, que doit être effectuée une balance entre les intérêts poursuivis par la société et ceux des personnes concernées.
  • A cet égard, la FNAC soutenait que les personnes étaient amplement informées de la conservation de leurs données bancaires ainsi que de la possibilité de les supprimer en se connectant à son compte client après chaque transaction effectuée sur son site.
  • Pour la Commission, sur ce point, si l’intérêt légitime de la société justifie parfaitement la conservation de données commerciales habituelles (nom, adresse, numéro de téléphone, etc.) en contrepartie d’une information adéquate des personnes, la fourniture d’un service de portefeuille électronique, en revanche, doit être entourée de garanties renforcées.
  • En l’occurrence, compte tenu de la sensibilité toute particulière que revêtent leurs données bancaires pour les personnes concernées, de seules mesures d’information sur la conservation de ces données associées à une faculté d’effacement ex post ne sauraient constituer de telles garanties.
  • Pour la CNIL, c’est bien au titre des garanties minimales qu’il incombait à la FNAC de recueillir le consentement des personnes au stockage de leurs coordonnées bancaires au-delà de la réalisation de la transaction, ce qu’elle n’a pas fait.
  • Elle estime par ailleurs que l’argument tiré d’une meilleure ergonomie du site ne pouvait pas prospérer.

Au bilan, il ressort de cette délibération de la CNIL que lorsqu’à l’issue de la mise en balance il apparaît que l’impact du traitement sur la personne concernée s’avère négatif, il appartient au responsable de mettre en place des garanties appropriées, sinon renforcées, afin de rééquilibrer la balance. Cette logique de gradation est essentielle : l’intérêt légitime n’est jamais un blanc-seing, mais un fondement conditionnel dont la mise en œuvre se mesure à l’aune des sûretés que le responsable consent à offrir à la personne concernée.