RGPD: le principe du consentement

Au sein des fondements juridiques susceptibles de légitimer un traitement de données à caractère personnel, le consentement de la personne concernée occupe une place singulière : il est celui qui procède directement de la volonté de l’intéressé et fait de ce dernier l’arbitre de l’usage de ses propres données. Encore faut-il, pour qu’il emporte cet effet justificatif, qu’il réponde aux conditions strictes dont le règlement entoure sa validité, à défaut de quoi le traitement se trouve privé de l’assise que les textes exigent.

Par principe, un traitement de données à caractère personnel ne peut être mis en œuvre qu’à la condition d’avoir recueilli préalablement le consentement de la personne concernée.

A défaut, sauf à rentrer dans le champ d’application d’une exception, le traitement est illicite, ce qui est de nature à exposer le responsable à des sanctions.

Ces sanctions ne sont, au demeurant, nullement théoriques. Le manquement à l’exigence de consentement est, en effet, susceptible de revêtir une double dimension :

• Une dimension répressive — l’autorité de contrôle peut prononcer des amendes administratives dont le montant, pour les manquements aux principes fondamentaux du traitement, peut s’élever jusqu’à 20 millions d’euros ou, pour une entreprise, jusqu’à 4 % de son chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu.
• Une dimension indemnitaire — toute personne ayant subi un dommage, matériel ou moral, du fait d’une violation du règlement est en droit d’obtenir du responsable du traitement la réparation intégrale du préjudice subi. Le défaut de consentement valable n’expose donc pas seulement à une sanction publique : il fonde un droit à indemnisation au profit de la personne concernée.

C’est dire que la validité du consentement n’est pas une exigence de pure forme : elle conditionne, tout à la fois, la licéité du traitement, l’absence de responsabilité du responsable et la sécurité juridique de l’ensemble de l’opération.

La question qui immédiatement se pose est alors de savoir ce que l’on doit entendre par consentement ?

Simple en apparence, l’appréhension de la notion de consentement n’est pas sans soulever de nombreuses difficultés.

L’altération de la volonté d’une personne est, en effet, susceptible de renvoyer à des situations très diverses :

• La personne concernée peut être atteinte d’un trouble mental
• Le consentement de la personne peut avoir été obtenu sous la contrainte physique ou morale
• La personne concernée peut encore avoir été conduite à accepter le traitement sans que son consentement ait été donné en connaissance de cause, car une information déterminante lui a été dissimulée
• Elle peut également s’être engagé par erreur

Il ressort de toutes ces situations que le défaut de consentement d’une personne peut être d’intensité variable et prendre différentes formes.

Aussi, convient-il de déterminer quels sont les caractères que doit présenter le consentement d’une personne faisant l’objet d’un traitement de données à caractère personnel pour être valable.

Encore faut-il, au préalable, s’assurer que l’on se trouve bien en présence d’un traitement portant sur des données qui concernent une personne physique, car c’est cette circonstance qui commande l’exigence même de consentement.

I) La qualité du consentement

Tandis que la LIL ne définit pas la notion de consentement, le RGPD remédie à ce silence textuel en le définissant comme « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ».

Il ressort de cette définition que pour être valable, le consentement doit consister en :

• Une manifestation de volonté par laquelle la personne concernée accepte le traitement
• Une manifestation de volonté libre
• Une manifestation de volonté spécifique
• Une manifestement de volonté informée

Ces quatre exigences ne se juxtaposent pas : elles s’ordonnent. La première porte sur l’existence même d’une volonté extériorisée ; les trois suivantes en commandent la qualité. C’est dans cet ordre qu’il convient de les examiner.

1. Une manifestation de volonté par laquelle la personne concernée accepte le traitement

La question qui ici se pose est de savoir ce que l’on doit entendre par manifestation de volonté.

Pour le déterminer, il convient de se reporter au considérant n°32 du RGPD dont on peut tirer plusieurs enseignements.

• Un acte positif
  • Si le texte ne limite pas les formes que peut revêtir le consentement, il doit en tout état de cause s’agi d’une manifestation de volonté, soit d’un acte positif.
  • L’exigence selon laquelle la personne concernée doit « donner » son consentement semble indiquer qu’une simple absence d’action est insuffisante et qu’une action quelconque est nécessaire pour constituer un consentement, bien que différents types d’action, à apprécier «selon le contexte», soient possibles.
  • Ainsi, il ne saurait y avoir de consentement en cas de silence, ce qui pourrait se traduire par l’inaction de la personne concernée ou par des cases cochées par défaut.
  • La manifestation de volonté peut se faire au moyen d’une déclaration écrite, y compris par voie électronique, ou d’une déclaration orale.
  • Cette manifestation de volonté peut encore se faire en cochant une case lors de la consultation d’un site internet, en optant pour certains paramètres techniques pour des services de la société de l’information ou au moyen d’une autre déclaration ou d’un autre comportement indiquant clairement dans ce contexte que la personne concernée accepte le traitement proposé de ses données à caractère personnel.

Le critère décisif réside donc dans l’extériorisation d’une volonté : tant qu’elle demeure purement intérieure, l’adhésion de la personne est juridiquement inopérante. C’est précisément ce qui explique que le silence, l’inaction ou la passivité ne puissent jamais, à eux seuls, emporter consentement — l’absence d’acte ne révélant aucune volonté décelable.

La jurisprudence a, du reste, été conduite à préciser que le périmètre de l’acte d’acceptation pouvait s’étendre, par voie de conséquence, à des opérations qui ne sont pas expressément visées par la personne, mais qui se déduisent nécessairement de l’assentiment donné.

• Un acte positif clair
  • Une manifestation de volonté en elle-même n’est pas suffisante à établir le consentement au traitement de la personne concernée.
  • Cette manifestation de volonté ne doit pas être équivoque : elle doit être indubitable
  • Pour qu’un consentement soit indubitable, la procédure relative à l’obtention et à l’octroi du consentement ne doit laisser aucun doute quant à l’intention de la personne concernée de donner son consentement.
  • En d’autres termes, la manifestation de volonté par laquelle la personne concernée marque son accord ne doit laisser aucune ambiguïté quant à son intention.
  • S’il existe un doute raisonnable sur l’intention de la personne concernée, il y a ambiguïté.

Il importe, à cet égard, de ne pas confondre l’exigence d’un acte positif et celle d’un acte clair : la première a trait à la forme — il faut un comportement actif — quand la seconde a trait au sens — ce comportement doit révéler, sans équivoque, l’intention d’adhérer au traitement. Un acte peut, en effet, être positif sans être univoque : tel est le cas d’un geste ambivalent, susceptible de plusieurs interprétations. Le doute, dès lors qu’il est raisonnable, se résout toujours contre l’existence du consentement.

• La portée de la manifestation de volonté
  • Le consentement donné par la personne concernée vaut pour toutes les activités de traitement ayant la ou les mêmes finalités.
  • Lorsque le traitement a plusieurs finalités, le consentement doit être donné pour l’ensemble d’entre elles.
  • Si le consentement de la personne concernée est donné à la suite d’une demande introduite par voie électronique, cette demande doit être claire et concise et ne doit pas inutilement perturber l’utilisation du service pour lequel il est accordé.

2. Une manifestation de volonté libre

Pour être valable, le consentement de la personne concernée doit avoir été donné sans contrainte.

Le consentement ne peut être valable que si la personne concernée est véritablement en mesure d’exercer un choix et s’il n’y a pas de risque de tromperie, d’intimidation, de coercition ou de conséquences négatives importantes si elle ne donne pas son consentement.

Si les conséquences du consentement sapent la liberté de choix des personnes, le consentement n’est pas libre.

C’est le cas, par exemple, lorsque la personne concernée est sous l’influence du responsable du traitement, dans le cadre d’une relation de travail, notamment.

Dans ce cas, même s’il n’en est pas nécessairement toujours ainsi, la personne concernée peut se trouver dans une situation de dépendance vis-à-vis du responsable du traitement – en raison de la nature de la relation ou de circonstances particulières – et peut craindre d’être traitée différemment si elle n’accepte pas le traitement de ses données.

Le Groupe de l’article 29 a eu l’occasion d’affirmer que «le consentement libre désigne une décision volontaire, prise par une personne en pleine possession de ses facultés, en l’absence de toute coercition, qu’elle soit sociale, financière, psychologique ou autre ».

Deux situations méritent, au titre de la liberté du consentement, une attention particulière :

• Le déséquilibre manifeste entre les parties — lorsque la personne concernée se trouve dans un rapport de subordination ou de dépendance à l’égard du responsable du traitement, la liberté de son consentement est, sinon exclue, du moins fortement suspecte. Tel est le cas, paradigmatique, de la relation de travail : le salarié, craignant les conséquences d’un refus sur sa situation professionnelle, n’est que rarement en mesure de consentir librement à un traitement sollicité par son employeur. Aussi le consentement ne constitue-t-il, en pareille hypothèse, qu’un fondement précaire, qu’il est généralement préférable de remplacer par un autre — l’exécution du contrat ou l’intérêt légitime.
• L’interdiction du consentement « groupé » ou conditionné — le consentement ne saurait être regardé comme libre lorsque l’exécution d’un contrat est subordonnée au consentement à un traitement de données qui n’est pas nécessaire à cette exécution. La personne placée devant l’alternative « consentir ou être privée du service » ne dispose, en réalité, d’aucun choix véritable.

La liberté du consentement implique, enfin, sa réversibilité. La personne concernée doit pouvoir retirer son consentement à tout moment, ce retrait devant être aussi aisé que l’avait été son octroi. Le retrait, qui n’a d’effet que pour l’avenir, ne remet pas en cause la licéité des traitements antérieurement opérés ; mais, dès qu’il intervient, il prive le responsable de tout fondement pour la poursuite du traitement.

3. Une manifestation de volonté spécifique

Pour être valable, le consentement ne doit pas seulement être libre, il doit également être spécifique.

En d’autres termes, un consentement général, sans préciser la finalité exacte du traitement, n’est pas valable.

Pour être spécifique, le consentement doit mentionner, de façon claire et précise, l’étendue et les conséquences du traitement des données. Il ne peut pas s’appliquer à un ensemble illimité d’activités de traitement.

En d’autres termes, le contexte dans lequel le consentement s’applique est limité.

Le consentement doit être donné sur les différents aspects, clairement définis, du traitement. Il couvre notamment les données qui sont traitées et les finalités pour lesquelles elles le sont.

Cette exigence de spécificité est le corollaire direct du principe de finalité : de même que les données ne peuvent être collectées que pour des finalités déterminées, explicites et légitimes, de même le consentement ne peut être donné que pour ces finalités, prises une à une. Il s’ensuit que la finalité ne saurait être ni générale, ni indéterminée, ni susceptible d’extension ultérieure unilatérale.

Un « consentement spécifique » est dès lors intrinsèquement lié au fait que le consentement doit être informé.

En principe, il devrait suffire que les responsables du traitement obtiennent un consentement unique pour les différentes opérations, si celles-ci relèvent des attentes raisonnables de la personne concernée.

La Cour de justice de l’Union européenne s’est prononcée sur cette question dans un arrêt du 5 mai 2011, dans le cadre d’une question préjudicielle posée sur l’article 12, paragraphe 2, de la directive « vie privée et communications électroniques ».

Cette question portait sur la nécessité du renouvellement du consentement des abonnés qui ont déjà consenti à la publication de leurs données personnelles dans un annuaire, afin que celles-ci soient transférées en vue de leur publication par d’autres services d’annuaire.

La Cour a jugé que, dès lors que l’abonné a été correctement informé de la possible transmission des données à caractère personnel le concernant à une entreprise tierce et que celui-ci a consenti à la publication desdites données dans un tel annuaire, la transmission de ces données n’exige pas de nouveau consentement de la part de l’abonné, s’il est garanti que les données concernées ne seront pas utilisées à des fins autres que celles pour lesquelles elles ont été collectées en vue de leur première publication (CJUE, 5 mai 2011 Aff. C-543/09, Deutsche Telekom AG)

On mesure ainsi la portée pratique de l’exigence de spécificité : tant que le traitement ultérieur demeure dans le périmètre de la finalité initialement consentie, il n’appelle pas de consentement nouveau ; mais dès lors qu’il poursuit une finalité distincte, étrangère aux prévisions de la personne concernée, un consentement renouvelé devient nécessaire. La spécificité opère donc comme la mesure exacte de l’autorisation donnée.

4. Une manifestement de volonté informée

Il ressort du RGPD que le consentement de la personne concernée par le traitement doit être informée.

Selon le Groupe de l’article 29 cela signifie que qu’« un consentement … doit être fondé sur l’appréciation et la compréhension des faits et des conséquences d’une action. La personne concernée doit recevoir, de façon claire et compréhensible, des informations exactes et complètes sur tous les éléments pertinents, en particulier ceux spécifiés aux articles 10 et 11 de la directive, tels que la nature des données traitées, les finalités du traitement, les destinataires d’éventuels transferts et ses droits. Cela suppose également la connaissance des conséquences du refus de consentir au traitement des données en question ».

Autrement dit, la personne concernée doit être à même de consentir au traitement en toute connaissance de cause.

Afin de satisfaire cet objectif, il convient donc que les informations qui lui sont fournies appropriées.

Deux exigences doivent alors être remplies qui tiennent à :

• La qualité des informations: la manière dont les informations sont communiquées (texte en clair, sans jargon, compréhensible, visible) est capitale pour apprécier si le consentement est « informé ». La manière dont les informations doivent être fournies dépend du contexte. Un utilisateur régulier/moyen devrait être en mesure de les comprendre ;
• L’accessibilité et la visibilité des informations: les informations doivent être communiquées directement à la personne concernée. Il ne suffit pas que les informations soient « disponibles » quelque part.

Au minimum, l’information préalable doit porter sur l’identité du responsable du traitement, les finalités poursuivies, les catégories de données collectées, l’existence du droit de retirer son consentement et, le cas échéant, les destinataires des données. L’exigence d’information n’est, au reste, pas une simple formalité accessoire : elle est la condition même de la liberté et de la spécificité du consentement, dont elle constitue le présupposé intellectuel. Un consentement non éclairé n’est, en vérité, qu’une apparence de consentement.

5. Le cas particulier des données sensibles : du consentement au consentement explicite

Aux quatre qualités qui viennent d’être décrites, le règlement ajoute, pour certaines catégories de données, une exigence renforcée. Lorsque le traitement porte sur des données sensibles — soit les données révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, ainsi que les données génétiques, biométriques, les données concernant la santé ou la vie sexuelle —, le consentement ordinaire ne suffit plus : il doit être explicite.

La distinction n’est pas seulement terminologique. Tandis que le consentement ordinaire peut résulter d’un acte positif clair, fût-il implicite quant à sa forme, le consentement explicite suppose une déclaration expresse, sans équivoque possible, par laquelle la personne marque spécifiquement son accord au traitement de telles données. Le degré d’exigence probatoire s’en trouve mécaniquement relevé.

II) La preuve du consentement

Le considérant n°42 du RGPD énonce que lorsque le traitement est fondé sur le consentement de la personne concernée, le responsable du traitement devrait être en mesure de prouver que ladite personne a consenti à l’opération de traitement.

Il échoit, en conséquence, aux responsables de traitements de données à caractère personnel de conserver les preuves attestant que le consentement a effectivement été donné par la personne concernée.

Cette règle emporte une conséquence majeure quant à la charge de la preuve : c’est au responsable du traitement, et à lui seul, qu’il incombe d’établir l’existence et la validité du consentement. La personne concernée n’a pas à démontrer qu’elle n’a pas consenti ; c’est au responsable qu’il revient de démontrer qu’elle a consenti. Ce renversement constitue l’une des manifestations les plus tangibles du principe de responsabilité — accountability — qui irrigue l’ensemble du règlement : il ne suffit pas de se conformer, encore faut-il pouvoir en rapporter la preuve.

A cet égard, des déclarations expresses pour marquer un accord, comme un accord signé ou une déclaration écrite attestant la volonté de consentir sont des procédures ou des mécanismes qui se prêtent particulièrement bien à la fourniture d’un consentement indubitable.

Plus délicate en revanche est le système des cases à cocher :

• Les cases à cocher
  • Sur le principe, un système de cases à cocher assorties, par exemple, de la mention « j’accepte les conditions générales d’utilisation», est admis pour recueillir le consentement de la personne concernée.
  • Dans une délibération 2013-420 du 3 janvier 2014 la CNIL a néanmoins posé des limites.
  • Elle a, en effet, considéré que ce système n’était autorisé que lorsque les informations relatives au traitement de données à caractère personnel étaient facilement accessibles.
  • La Commission a ainsi été conduite à sanctionner Google en suite de la modification de sa politique de confidentialité.
  • En l’espèce, le consentement se manifesterait par le fait que l’utilisateur coche la case matérialisant son accord aux conditions d’utilisation et aux règles de confidentialité.
  • Pour Google, ce consentement était éclairé dans la mesure où les informations données étaient suffisamment précises sur les opérations de traitement des données.
  • La CNIL relève toutefois que la mention de cette faculté de combinaison n’apparaît qu’au milieu des règles de confidentialité, dans le dernier tiers de la rubrique intitulée « Comment nous utilisons les données que nous collectons ».
  • Cette information, alors qu’elle a trait à une modification essentielle de la politique de confidentialité de la société, n’était donc pas accessible aux utilisateurs en première intention.
  • Par ailleurs, elle ne se distinguait pas des développements qui l’entourent, eux-mêmes formulés en termes généraux, notamment quant à la description des traitements de données.
  • Il était donc impossible de considérer en l’espèce que le fait de cliquer sur la case J’accepte des conditions d’utilisation puisse être considéré comme un accord explicite et spécifique à cette combinaison.
  • Pour être valable, le formulaire de consentement assorti de cases à cocher doit être suffisamment précis pour permettre à la personne de consentir en toute connaissance de cause.

L’enseignement que l’on peut tirer de cette délibération est éclairant : la validité de la case à cocher ne tient pas au procédé lui-même — parfaitement licite —, mais à la qualité de l’information qui l’entoure. Une case ne vaut consentement qu’à proportion de l’accessibilité, de la lisibilité et de la précision des renseignements qui en éclairent la portée. Noyée dans une masse indistincte de stipulations générales, l’information détermine un consentement qui, faute d’être éclairé, ne saurait être tenu pour valable.

• Le recueil du consentement par défaut
  • Les cases pré-cochées
    • Les cases pré-cochés ne sont pas admises par la CNIL dans la mesure où la personne concernée reste passive.
    • Or l’exigence d’un consentement indubitable ne cadre pas bien avec les procédures d’obtention d’un consentement reposant sur l’inaction ou le silence des personnes concernées.
    • En effet, le silence ou l’inaction d’une partie comporte une ambiguïté intrinsèque (la personne concernée pourrait avoir voulu donner son accord ou pourrait simplement avoir voulu ne pas exécuter l’action).
  • Les courriers
    • Il y a pareillement ambiguïté lorsque des personnes sont réputées avoir donné leur consentement lorsqu’elles n’ont pas répondu à une lettre les informant que l’absence de réponse vaut consentement.
    • Dans ce type de situation, le comportement de la personne (ou plutôt son absence d’action) soulève de sérieux doutes sur le fait que la personne ait voulu marquer son accord.
    • Le fait que la personne n’ait pas effectué d’action positive ne permet pas de conclure qu’elle a donné son consentement.
    • Par conséquence, l’exigence de consentement indubitable ne sera pas satisfaite.
    • A cet égard, le groupe de travail a déclaré qu’un consentement fondé sur le silence de la personne est inadéquat dans le contexte de l’envoi de courriers électroniques à des fins de prospection directe.

Ces deux hypothèses procèdent d’une même logique et se ramènent, en définitive, à un principe unitaire : le consentement ne se présume pas. Qu’il s’agisse de la case pré-cochée ou du courrier prétendument approuvé par défaut, l’on prête à la personne une volonté qu’elle n’a jamais extériorisée. Or l’on ne saurait déduire une adhésion d’une abstention, car le silence est, par nature, équivoque — il peut tout aussi bien signifier le refus, l’indifférence ou l’inattention que l’assentiment. Faute d’acte positif, la preuve du consentement fait défaut, et le traitement se trouve privé de fondement.

III) Le consentement des enfants

Alors que la directive du 24 octobre 1995 n’abordait pas la question du consentement des mineurs, exposés tout autant au les majeurs, à des traitements de données à caractère personnel, le RGPD posent des conditions spécifiques applicables au consentement des enfants.

Le législateur européen justifie cette démarche en arguant que les enfants méritent une protection spécifique en ce qui concerne leurs données à caractère personnel parce qu’ils peuvent être moins conscients des risques, des conséquences et des garanties concernées et de leurs droits liés au traitement des données à caractère personnel.

Cette protection spécifique doit, notamment, s’appliquer à l’utilisation de données à caractère personnel relatives aux enfants à des fins de marketing ou de création de profils de personnalité ou d’utilisateur et à la collecte de données à caractère personnel relatives aux enfants lors de l’utilisation de services proposés directement à un enfant.

A cet égard, l’article 8 du RGPD prévoit que « en ce qui concerne l’offre directe de services de la société de l’information aux enfants, le traitement des données à caractère personnel relatives à un enfant est licite lorsque l’enfant est âgé d’au moins 16 ans. Lorsque l’enfant est âgé de moins de 16 ans, ce traitement n’est licite que si, et dans la mesure où, le consentement est donné ou autorisé par le titulaire de la responsabilité parentale à l’égard de l’enfant. »

Ainsi, cette disposition opère une distinction entre

• D’une part, les enfants âgés de plus de 16 ans qui sont présumés être en mesure de consentir seuls, soit sans l’intervention de leurs représentants légaux, à un traitement de données à caractère personnel
• D’autre part, les enfants âgés de moins de 16 ans qui, pour consentir à un traitement de données à caractère personnel, doivent obtenir l’autorisation de leurs représentants légaux

La logique de ce dispositif épouse celle, plus générale, de l’incapacité de protection : à l’instar du mineur que le droit civil tient à l’écart des actes susceptibles de lui nuire, l’enfant est ici présumé inapte à mesurer la portée de l’engagement qu’emporte le consentement à un traitement de ses données. Le seuil d’âge agit alors comme une présomption de discernement, en deçà de laquelle la volonté propre de l’enfant doit être suppléée — ou, plus exactement, autorisée — par celle de son représentant légal.

Le texte confère aux États membres une marge de manœuvre, en ce qu’ils peuvent prévoir par la loi un âge inférieur pour autant que cet âge inférieur ne soit pas en-dessous de 13 ans. Le législateur français a retenu comme limite, l’âge de 15 ans.

Il importe, par ailleurs, de circonscrire le champ exact de cette règle : elle ne vise que l’offre directe de services de la société de l’information — soit, pour l’essentiel, les services en ligne proposés à l’enfant. Hors de ce périmètre, le traitement des données du mineur relève des règles de droit commun, le cas échéant éclairées par les exigences propres à la protection des intérêts de l’enfant.

Lorsque le mineur n’a pas atteint l’âge limite, le RGPD précise qu’il appartient au responsable du traitement de vérifier que le consentement est donné ou autorisé par le titulaire de la responsabilité parentale à l’égard de l’enfant, compte tenu des moyens technologiques disponibles.

Cette obligation de vérification, qui pèse sur le seul responsable du traitement, n’est pas de pure forme : elle suppose la mise en œuvre de mesures concrètes et proportionnées tendant à s’assurer de la réalité de l’autorisation parentale. La référence aux « moyens technologiques disponibles » traduit une exigence de moyens, et non de résultat : le responsable n’est pas tenu à l’impossible, mais il doit déployer les diligences raisonnables que l’état de la technique permet, sous peine de voir le traitement privé de fondement et d’engager sa responsabilité.