Posted by 
CJUE : Arrêt du 11 novembre 2020 Orange Rômania SA, affaire C-61/19
Case à cocher : conditions de validité du consentement (traitement fond sur l’article 6.1.a) du RGPD) : nécessité d’un Acte Positif; Charge de la Preuve : Responsable de traitement : Art 4, point 11, art 6.1.a), art 7 du RGPD
Dans son arrêt du 11 novembre 2020 Orange România SA, affaire C‑61/19, la Cour de Justice de l’Union européenne a précisé les conditions de la validité d’un consentement tel que défini à l’article 4, par 11 et l’article 6,1, a) du RGPD. En l’espèce, le contrat de fourniture de service de télécommunication mobile d’Orange România, contenait une clause selon laquelle le client consentait à la collecte et la conservation de son titre d’identité. Cependant, la case visant à recueillir le consentement était pré remplie par le responsable de traitement. Par ailleurs, le client refusant la collecte de ses données personnelles, devait remplir un formulaire supplémentaire à cet effet. En d’autres termes, le fournisseur de service de télécommunication avait introduit dans ces contrats fondés sur le consentement (art 6.1.a)), le système d’OPT-OUT pour la collecte et la conservation de titre d’identité. Cette pratique a été examinée au regard des dispositions de la directive 95/45/CE et du règlement (UE) 2016/679 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD), compte tenu de l’application de la loi dans le temps.
Les développements concernent uniquement le consentement régi par les dispositions des articles 4, point 11, 6.1.a) et 7 du RGPD. Selon ces articles, le consentement ne peut être considéré comme valablement donné par la personne concernée, que s’il est éclairé, libre, spécifique et univoque. Un consentement éclairé nécessite une information préalable qui répond aux conditions de forme de l’article 12 du RGP et aux conditions de fonds de l’article 13 du RGPD. Sur la forme, l’information doit être présentée sous une forme compréhensible et aisément accessible et être formulée en des termes clairs et simples.
En l’espèce, Orange România acceptait de conclure ces contrats avec des clients refusant de donner leur consentement à la conservation d’une copie de leur titre d’identité, tout en exigeant que ces derniers signent un formulaire faisant état de leur refus. La Cour a considéré que le consentement ne pouvait être libre, si la personne concernée n’était pas informée des conséquences de son refus de collecte des données. Le fait d’exiger de remplir et signer un questionnaire pour refuser le traitement de ses données, impose, selon la Cour, une exigence supplémentaire de nature à affecter indûment le libre choix de s’opposer à ce traitement.
La preuve du consentement : obligation du Responsable de traitement
La question s’est posée de savoir si une case cochée par le responsable de traitement pouvait être considérée comme la preuve de l’existence d’un consentement valable des clients. L’article 4, point 11 du RGPD, qui définit le « consentement de la personne concernée » aux fins, notamment, de l’article 6, paragraphe 1, sous a), requiert une manifestation de volonté « libre, spécifique, éclairée et univoque » de la personne concernée, prenant la forme d’une déclaration ou d’« un acte positif clair » marquant son acceptation du traitement des données à caractère personnel la concernant. Le Règlement va plus loin que la directive en prévoyant expressément un consentement actif. Le considérant 32 précise que l’expression du consentement pourrait se faire notamment en cochant une case lors de la consultation d’un site Internet. Ce considérant exclut en revanche expressément qu’il y ait un consentement « en cas de silence, de cases cochées par défaut ou d’inactivité ». L’article 7, paragraphe 2, première phrase, du RGPD indique que, lorsque le consentement de la personne concernée est donné dans le cadre d’une déclaration écrite qui concerne également d’autres questions, la demande de consentement est présentée sous une forme compréhensible et aisément accessible. Elle doit être formulée en des termes clairs et simples, notamment lorsqu’il s’agit d’une déclaration de consentement à rédiger préalablement par le responsable du traitement des données à caractère personnel (cons 42).
Par ailleurs, le responsable de traitement doit démontrer la licéité de ses traitements (art 5.2). Dans le cas où le traitement repose sur le consentement (art 6.1.a)), le responsable de traitement doit rapporter la preuve du consentement par la personne concernée.
Pour la CJUE, le responsable du traitement des données doit démontrer que la personne concernée a, manifesté son consentement au traitement de ses données à caractère personnel en pleine connaissance de cause, par un comportement actif. Cette manifestation de volonté libre, spécifique, éclairée et univoque, ne peut être garantie que par une information préalable, des circonstances entourant ce traitement, dans les conditions de forme et de fond exigées par le RGPD et des conséquences d’un refus de consentement. Dès lors, le recours au système de case cochée par défaut par le responsable de traitement et non par la personne concernée ne permet pas d’établir l’existence d’une manifestation positive de volonté exigée par le RGPD. Cette approche confirme la solution dégagée dans l’arrêt du 1er octobre 2019, Planet 49, C‑673/17. Dans cet arrêt, la Cour a considéré que le fait de ne pas décocher une case préalablement cochée par défaut, n’est pas de nature à déterminer de manière objective si l’utilisateur d’un site Internet a effectivement donné son consentement éclairé au traitement de ses données personnelles. Il ne peut être exclu que cet utilisateur n’ait pas lu l’information accompagnant la case cochée par défaut, voire qu’il n’ait pas aperçu cette case, avant de poursuivre son activité sur le site Internet concerné.
