RGPD: le droit d’opposition

Recevoir un courriel publicitaire que l’on n’a jamais sollicité, voir son nom traité dans un fichier que l’on réprouve, être profilé à des fins commerciales sans l’avoir voulu : à toutes ces situations, le droit des données personnelles oppose une faculté de résistance — le droit d’opposition. Il permet à la personne concernée de demander que cesse un traitement de données qui la concerne. Conçu dès 1978 comme la contrepartie de la liberté de collecte, il a survécu à la directive du 24 octobre 1995 puis au RGPD, qui l’ont consolidé tout en le bornant.

Pour le législateur de 1978, le droit d’opposition constituait précisément cette contrepartie de la liberté de collecte des données à caractère personnel, sous réserve qu’elles soient recueillies de manière loyale. Lors de l’adoption de la directive du 24 octobre 1995, il a été question de reconnaître à ce droit un caractère discrétionnaire, en ce sens que son exercice ne serait subordonné à la justification d’aucun motif légitime.

Le législateur européen n’a pas retenu cette approche. L’article 38 de la directive prévoyait, en effet, que le droit d’opposition ne pouvait pas être exercé :

• Soit lorsque le traitement répondait à une exigence légale ;
• Soit lorsque son application avait été écartée par une disposition expresse de l’acte autorisant le traitement, ce dernier cas visant les traitements dits « de souveraineté », autorisés par un acte réglementaire pris après avis de la CNIL, conformément aux articles 26 et 27 nouveaux de la loi du 6 janvier 1978.

Dans le droit fil de la directive du 24 octobre 1995, le RGPD a encadré l’exercice du droit d’opposition, qui demeure donc toujours assorti de limites : ubi lex distinguit, distinguere debemus.

I) Le contenu du droit d’opposition

L’article 21 du RGPD prévoit que la personne concernée a le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant, y compris un profilage fondé sur ces dispositions.

Dans le même sens, l’article 38 de la loi informatique et libertés dispose que toute personne physique a le droit de s’opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l’objet d’un traitement.

Il ressort de ces deux dispositions qu’il existe un véritable droit, pour la personne concernée, de s’opposer au traitement de ses données à caractère personnel.

Cette faculté qui lui est conférée n’est, cependant, pas sans limite, le droit d’opposition n’étant pas discrétionnaire.

II) Les conditions du droit d’opposition

A) Principe : un droit relatif

Tant le RGPD que la loi informatique et libertés assortissent le droit d’opposition de limites.

Tandis que la loi informatique et libertés subordonne le droit d’opposition à l’existence de « motifs légitimes », le RGPD exige que son exercice soit justifié par « des raisons tenant à sa situation particulière ».

De toute évidence, la notion de « situation particulière » est plus large que celle de « motifs légitimes ». Les conditions d’exercice du droit d’opposition posées par le RGPD sont, de la sorte, moins restrictives.

S’agissant de la notion de « motifs légitimes », il n’est pas inintéressant de relever que, dans un arrêt du 28 septembre 2004, la Cour de cassation avait considéré qu’en matière politique, philosophique ou religieuse, la condition de l’existence de motifs légitimes « est remplie par le seul exercice de la faculté, pour la personne concernée, de s’opposer au traitement de données » personnelles (Cass. crim., 28 sept. 2004, n° 03-86.604l'arrêt▾).

C’est donc une appréciation extrêmement large de la notion qui est ici retenue : en ces matières touchant aux convictions les plus intimes, l’opposition se suffit à elle-même, sans que la personne concernée ait à exposer un motif distinct de sa volonté de voir cesser le traitement.

À la lumière de l’article 21 du RGPD, pour la CNIL, le refus de faire droit à la demande de la personne concernée peut tenir :

• À l’existence de motifs légitimes et impérieux à traiter les données, ou à ce que celles-ci soient nécessaires à la constatation, à l’exercice ou à la défense de droits en justice ;
• Au consentement préalablement donné, de sorte qu’il appartient à la personne concernée de se rétracter et non de s’opposer au traitement ;
• À l’existence d’une relation contractuelle avec le responsable du traitement ;
• À l’existence d’une obligation légale qui impose au responsable du traitement de traiter les données visées ;
• À la nécessité d’assurer la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne physique ;
• À l’existence d’un traitement nécessaire à l’exécution d’une mission d’intérêt public, lorsque les données à caractère personnel sont traitées à des fins de recherche scientifique ou historique, ou à des fins statistiques.

B) Exception : un droit discrétionnaire

L’article 21, §2 du RGPD prévoit que, lorsque les données à caractère personnel sont traitées à des fins de prospection, la personne concernée a le droit de s’opposer à tout moment au traitement des données la concernant à de telles fins, y compris au profilage dans la mesure où il est lié à une telle prospection.

Autrement dit, dès lors que le traitement de données est effectué dans le cadre d’une opération de prospection commerciale, la personne concernée n’a pas à justifier de « raisons tenant à sa situation particulière ». Elle est irréfragablement présumée remplir cette condition.

III) Les modalités d’exercice du droit d’opposition

• Le destinataire de la demande
  • Le droit d’opposition doit être exercé auprès du responsable du traitement, qui est le débiteur de l’obligation ;
  • Il est donc, en principe, inopérant de formuler cette demande auprès de la CNIL.

• La justification de l’identité
  • Pour accéder à la demande de la personne concernée, le responsable du traitement sera fondé à exiger du demandeur qu’il justifie de son identité ;
  • Il ne devra pas, néanmoins, lui imposer des pièces justificatives disproportionnées eu égard à la demande formulée.

• Formalisme
  • Aucun formalisme n’est exigé quant à l’exercice du droit d’opposition (V. en ce sens Cass. crim., 28 sept. 2004, n° 03-86.604l'arrêt▾) ;
  • À cet égard, l’article 21 du RGPD prévoit que, dans le cadre de l’utilisation de services de la société de l’information, et nonobstant la directive 2002/58/CE, la personne concernée peut exercer son droit d’opposition à l’aide de procédés automatisés utilisant des spécifications techniques ;
  • Autrement dit, le droit d’opposition peut valablement être exercé par voie électronique ;
  • Dans une délibération n° 2016-264 du 21 juillet 2016, la CNIL a considéré en ce sens que, dans le cas d’une collecte via un formulaire, le droit d’opposition ou le recueil du consentement préalable doit pouvoir s’exprimer par un moyen simple et spécifique, tel qu’une case à cocher.

• Le coût de la demande
  • L’exercice du droit d’opposition est gratuit, de sorte que le demandeur ne saurait supporter aucune charge.

IV) L’exécution du droit d’opposition

A) L’obligation d’information

L’article 21, §4 du RGPD prévoit qu’il appartient au responsable du traitement, au plus tard au moment de la première communication avec la personne concernée, de l’informer de l’existence de son droit d’opposition.

Cette information doit être explicitement portée à l’attention de la personne concernée et présentée clairement et séparément de toute autre information.

B) Le délai d’exécution

L’article 21 du RGPD prévoit que, lorsque la personne concernée s’oppose au traitement, les données à caractère personnel ne doivent plus être traitées.

L’article 12 précise que le responsable du traitement dispose en tout état de cause d’un délai d’un mois à compter de la réception de la demande.

Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes.

En cas de prorogation du délai de réponse, le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report, dans un délai d’un mois à compter de la réception de la demande.

Dans l’hypothèse où le responsable du traitement ne donnerait pas suite à la demande formulée par la personne concernée, il informe celle-ci sans tarder et, au plus tard, dans un délai d’un mois à compter de la réception de la demande, des motifs de son inaction et de la possibilité d’introduire une réclamation auprès d’une autorité de contrôle ainsi que de former un recours juridictionnel.

V) Cas particulier du profilage

A) Définition

Le profilage est défini à l’article 4 du RGPD comme « toute forme de traitement automatisé de données à caractère personnel consistant à utiliser ces données à caractère personnel pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique ».

Il s’agit, autrement dit, de dresser un profil individualisé de la personne concernée aux fins de lui appliquer une décision fondée sur un traitement automatisé.

La CNIL précise qu’une décision est automatisée lorsqu’elle est prise à l’égard d’une personne, par le biais d’algorithmes appliqués à ses données personnelles, sans qu’aucun être humain n’intervienne dans le processus.

Les décisions automatisées peuvent intervenir dans de nombreux domaines d’activité (finance, fiscalité, marketing, etc.) et produire des effets juridiques ou des effets significatifs pour les personnes concernées.

Par exemple, une décision de refus de crédit peut avoir pour seul fondement l’utilisation d’un algorithme qui applique automatiquement certains critères à la situation financière du demandeur, sans aucune intervention humaine.

Compte tenu du danger que représente le profilage pour les droits et libertés des personnes, le législateur européen est intervenu afin d’encadrer strictement cette pratique.

B) Principe

L’article 22 du RGPD prévoit que la personne concernée a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l’affectant de manière significative de façon similaire.

Par principe, il est donc interdit de prendre une décision entièrement automatisée à l’endroit de personnes, dès lors que cette décision :

• Soit produit des effets juridiques les concernant ;
• Soit les affecte de manière significative de façon similaire.

C) Exceptions

Le principe d’interdiction du profilage ne s’applique pas lorsque la décision :

• Soit est nécessaire à la conclusion ou à l’exécution d’un contrat entre la personne concernée et un responsable du traitement ;
• Soit est autorisée par le droit de l’Union ou le droit de l’État membre auquel le responsable du traitement est soumis, et qui prévoit également des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée ;
• Soit est fondée sur le consentement explicite de la personne concernée.

L’article 22, §3 précise que, pour la 1^re et la 3^e exception, il appartient au responsable du traitement de mettre en œuvre des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée, au moins du droit de celle-ci d’obtenir une intervention humaine de la part du responsable du traitement, d’exprimer son point de vue et de contester la décision.

Le considérant 71 précise que, afin d’assurer un traitement équitable et transparent à l’égard de la personne concernée, compte tenu des circonstances particulières et du contexte dans lesquels les données à caractère personnel sont traitées, le responsable du traitement doit :

• Utiliser des procédures mathématiques ou statistiques adéquates aux fins du profilage ;
• Appliquer les mesures techniques et organisationnelles appropriées pour faire en sorte, en particulier, que les facteurs qui entraînent des erreurs dans les données à caractère personnel soient corrigés et que le risque d’erreur soit réduit au minimum ;
• Sécuriser les données à caractère personnel d’une manière qui tienne compte des risques susceptibles de peser sur les intérêts et les droits de la personne concernée ;
• Prévenir, entre autres, les effets discriminatoires à l’égard des personnes physiques fondés sur l’origine raciale ou ethnique, les opinions politiques, la religion ou les convictions, l’appartenance syndicale, le statut génétique ou l’état de santé, ou l’orientation sexuelle, ou qui se traduisent par des mesures produisant un tel effet.

En tout état de cause, la prise de décision et le profilage automatisés fondés sur des catégories particulières de données à caractère personnel ne doivent être autorisés que dans des conditions spécifiques.

D) Exception à l’exception

Les exceptions prévues par l’article 22 ne s’appliquent pas lorsque le traitement porte sur des données sensibles, à moins que :

• Soit la personne concernée ait explicitement donné son consentement ;
• Soit le traitement soit nécessaire pour des motifs d’intérêt public.

“`

**Ce que j’ai fait** — sans rien retirer du corps ni des développements existants :

– **Sommaire cliquable** en tête (`