Accueil » Droit de l'informatique, des Libertés & Internet » Fichiers, libertés, protection de la vie privée » Protection des données RGPD » Actualités

Article avocat Protection des données RGPD

RGPD : La question du consentement

Par - Modifié le 10-07-2018


Comme chacun sait, la mise en conformité au nouveau grand texte européen en matière de données personnelles doit être assurée maintenant.

Le règlement général sur la protection des données («RGPD», ou «GDPR» en anglais), à cette échéance, sera applicable dans tous les États membres de l'Union européenne. Et le consentement, parmi les notions propres au texte, est désormais des plus encadrées.

En effet, le législateur a pu considérer que, compte tenu de l’importance grandissante des interactions numériques entre les personnes, la gestion des données en découlant devait être prévue précisément, et que la question du consentement constitue effectivement le «c½ur névralgique» de ce contrôle : «le consentement fait figure d’élément-clé de la conformité des traitements mis en ½uvre puisqu’il s’agit du meilleur moyen pour que les personnes puissent contrôler les activités de traitement portant sur leurs données».

Il importe donc, deux mois avant l’arrivée du RGPD, de prendre pleinement conscience de la portée des dispositions afférentes au consentement, en abordant successivement les obligations liées à la nature même du consentement requis (I) et les obligations relatives à sa valeur (II).

I) La nature du consentement récolté par le responsable de traitement

 Le caractère libre et éclairé (A), autant que le caractère express du consentement (B), sont de ces critères ayant été approfondis par le nouveau texte européen.

A)     L’exigence d’un consentement libre et éclairé

       Le consentement, à travers la lecture du règlement général, est présenté comme une «manifestation de volonté libre []». Le législateur a fait le choix d’un encadrement concis au regard de ce principe.

Ainsi, le texte prévoit que la personne concernée dispose du droit de retirer son consentement quand elle le souhaite, aussi simplement qu’elle l’a accordé, et doit être informée de cette possibilité. Ce retrait ne remet pas en cause, pour autant, la licéité du traitement fondé sur le consentement précédemment donné.

Cette liberté signifie également que la personne ne doit pas consentir au traitement de ses données sous la contrainte, et notamment sous le joug du préjudice éventuel qui pourrait découler de son refus.

Le texte précise aussi que «le consentement est présumé ne pas avoir été donné librement si un consentement distinct ne peut pas être donné à différentes opérations de traitement des données à caractère personnel».

Enfin, l’article 4 du RGPD fait part du caractère «éclairé et univoque» du consentement, quand la directive 95/46 parlait, elle, de «manifestation informée».

B)     L’obligation d’un consentement explicite

       L’article 4 précité fait allusion au caractère «express» du consentement, en ce que celui-ci doit découler d’une décision «par laquelle une personne concernée accepte, par une déclaration ou par un acte positif clair» le traitement de ses données. 

A la différence des « anciens textes », qui s’épargnent d’une telle formulation, le RGPD souligne expressément «qu’il ne saurait dès lors y avoir de consentement en cas de silence, de cases cochées par défaut ou d’inactivité».

De même, l’acceptation d’un contrat ou de conditions générales ne rend pas compte d’un tel consentement éclairé, tandis qu’un accord donné par voie écrite, orale ou électronique vaudra acceptation, tant que le sens d’une telle action n’est pas ambiguë.

A cet égard, si la pratique du «double opt-in» est avancée par le G29 dans ses conclusions, elle demeure non seulement facultative, mais paraît également inefficace car  « lourd à mettre en place », la plupart des utilisateurs étant peu enclins à communiquer deux fois leur consentement.

 

II) La valeur du consentement récolté par le responsable de traitement

       La valeur du consentement récolté dépendra principalement de deux facteurs : son fondement (A), qui caractérise sa nécessité, et sa matérialisation, nécessaire au responsable de traitement en matière de preuve (B).                                 

A)     L’exigence du consentement rattachée au fondement du traitement

       Bien évidemment, les précédents développements s’appliquent dans la mesure où le consentement des personnes, se doit d’être récolté préalablement au traitement des données personnelles en question.

       Pour autant, il convient de distinguer les différentes situations sur la base desquelles le consentement est requis.

En effet, si l’article 6 du RGPD prévoit le régime général des dispositions relatives au consentement, l’article 7, en son paragraphe 4, dénote d’un régime particulier en ce que «au moment de déterminer si le consentement est déterminé librement, il y a lieu de tenir le plus grand compte de savoir, entre autres, si l’exécution d’un contrat, y compris la fourniture d’un service, est subordonnée au consentement au traitement de données à caractère personnel qui n’est pas nécessaire à l’exécution dudit contrat».

Ainsi, et comme en vient à conclure le G29 dans ses lignes directrices, «si le traitement n’est pas nécessaire à l’exécution du contrat, cette exécution ne peut être conditionnée par le consentement au traitement».

Il est essentiel de garder à l’esprit, par ailleurs, que le fondement de la licéité du traitement ne peut être modifié après que les données ont été recueillies et traitées. 

B)     L’inversion de la charge de la preuve par le texte

       La preuve, au regard de telles exigences, est primordiale. C’est le premier paragraphe de l’article 7 du RGPD qui en précise l’aménagement, en rappelant que «dans le cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant».

Suivant ces dispositions, la charge de la preuve incombe donc au responsable de traitement, qui devra démontrer par des arguments convaincants le respect du consentement des personnes concernées par le traitement.

Pour autant, le texte ne donne pas plus d’indications concernant la forme de la preuve. D’un côté, cette souplesse pourrait inquiéter au sujet des éventuelles dérives relatives à la collecte et la réutilisation de ces données; pour autant, est-il pertinent de cloisonner ce type de preuve, au risque d’une rigidité certaine du texte ?

Quoi qu’il en soit, ces dispositions sont encore à l’étude, et il conviendra d’en observer la pratique pour en comprendre réellement l’étendue. Rendez-vous le 25 mai prochain.



30 000 professionnels MyBestPro disponibles sur :


© 2003 - 2018 JuriTravail tous droits réservés