Données personnelles : case précochée par le responsable de traitement avant la signature du contrat et absence de validité du consentement

La CJUE, dans un arrêt du 12 novembre 2020, juge qu'un contrat de fourniture de services de télécommunication qui contient une clause selon laquelle le client a consenti à la collecte et la conservation de son titre d'identité ne peut démontrer qu'il a valablement donné son consentement lorsque la case y afférente a été cochée par le responsable de traitement avant la signature du contrat. Il en est de même lorsque le consommateur est induit en erreur quant à la possibilité de conclure le contrat en cas de refus du traitement de ses données, ou lorsque le libre choix de s'opposer à cette collecte et à cette conservation est affecté par l'exigence d'un formulaire supplémentaire exprimant ce refus.

L'Autorité nationale de surveillance du traitement des données à caractère personnel roumaine (ANSPDCP) a infligé une amende à Orange România, fournisseur des services de télécommunication mobile sur le marché roumain, pour avoir collecté et conservé les copies des titres d'identité de ses clients sans le consentement exprès de ces derniers. D'après l'ANSPDCP, durant le mois de mars 2018, Orange România a conclu des contrats de fourniture de services de télécommunication mobile contenant une clause selon laquelle les clients ont été informés et ont consenti à la collecte et la conservation d'une copie de leur titre d'identité à des fins d'identification. La case relative à cette clause était cochée par le responsable de traitement avant la signature du contrat. Le tribunal de grande instance de Bucarest saisi a demandé à la Cour de justice de préciser les conditions dans lesquelles le consentement des clients au traitement de données à caractère personnel peut être considéré comme valable.

Pour la Cour, la directive de 1995 sur les données personnelles et le RGPD doivent être interprétés en ce sens qu'il appartient au responsable du traitement des données de démontrer que la personne concernée a, par un comportement actif, manifesté son consentement au traitement de ses données à caractère personnel et qu'elle a obtenu, préalablement, une information au regard de toutes les circonstances entourant ce traitement, sous une forme compréhensible et aisément accessible ainsi que formulée en des termes clairs et simples, lui permettant de déterminer facilement les conséquences de ce consentement, de sorte qu'il soit garanti que celui-ci soit donné en pleine connaissance de cause.

Un contrat relatif à la fourniture de services de télécommunications qui contient une clause selon laquelle la personne concernée a été informée et a consenti à la collecte ainsi qu'à la conservation d'une copie de son titre d'identité à des fins d'identification n'est pas de nature à démontrer que cette personne a valablement donné son consentement, au sens de ces dispositions, à cette collecte et à cette conservation, lorsque :
- la case se référant à cette clause a été cochée par le responsable du traitement des données avant la signature de ce contrat ;
- les stipulations contractuelles dudit contrat sont susceptibles d'induire la personne concernée en erreur quant à la possibilité de conclure le contrat en question même si elle refuse de consentir au traitement de ses données ;
- le libre choix de s'opposer à cette collecte et à cette conservation est affecté indûment par ce responsable, en exigeant que la personne concernée, afin de refuser de donner son consentement, remplisse un formulaire supplémentaire faisant état de ce refus.

Cette décision du 11 novembre 2020 de la Cour de justice de l'Union européenne va dans le sens de l'arrêt Planet49 rendu en matière de cookies selon lequel toute case précochée est illégale dès lors que le traitement de données personnelles requiert un consentement préalable (CJUE, 1er oct. 2019, aff. C‑673/17 : Comm. com. électr. 2020, étude 2, par R. Perray ;JCP G 2019, 1066, D. Berlin ; V. Cookies et consentement : les précisions de la CJUE).