La Cour de justice de l'Union européenne a récemment été saisie d'une question préjudicielle dans le cadre d'un litige opposant la filiale roumaine du groupe Orange et l'Autorité nationale de surveillance du traitement des données à caractère personnel locale, qui a infligé à l'opérateur de télécommunications une amende pour collecte et conservation illégales des copies des titres d'identité de ses clients, sans consentement valable. En l'espèce, dans les contrats de fourniture de services de télécommunication mobile d'Orange Romania, la case relative à la clause selon laquelle les clients étaient informés et consentaient à la collecte et à la conservation d'une copie de leur titre d'identité à des fins d'identification était cochée par le responsable de traitement, et ce avant la signature du contrat.
Une case pré-cochée n'est pas une preuve de consentement
La CJUE a, dans sa décision du 11 novembre 2020, apporté des éclaircissements sur la notion de consentement valable au traitement des données personnelles. Elle a tout d'abord rappelé que le consentement « de la personne concernée doit être libre, spécifique, éclairé et univoque » et ne peut être valable s'il résulte d'un silence, de cases cochées par défaut ou d'inactivité. Dès lors, une case pré-cochée par le responsable de traitement avant la signature du contrat ne peut valoir consentement du client. De plus, pour ne pas induire la personne en erreur, « les stipulations contractuelles ne doivent pas l'induire en erreur quant à la possibilité de conclure le contrat même si elle refuse de consentir au traitement de ses données ».
Une déclaration écrite de refus ne peut être exigée
Par ailleurs, comme le souligne la CJUE, en cas de refus du client, « Orange Romania exigeait que celui-ci déclare par écrit qu'il ne consentait ni à la collecte ni à la conservation de la copie de son titre d'identité ». Or, le juge européen estime que cette nouvelle exigence « est de nature à affecter indument le libre choix de s'opposer à cette collecte et à cette conservation ». L'entreprise ne pouvait donc pas exiger de ses clients qu'ils manifestent activement leur refus.
Ainsi, la Cour estime qu' « un contrat relatif à la fourniture de services de télécommunications qui contient une clause selon laquelle la personne concernée a été informée et a consenti à la collecte ainsi qu'à la conservation d'une copie de son titre d'identité à des fins d'identification n'est pas de nature à démontrer que cette personne a valablement donné son consentement, à cette collecte et à cette conservation, lorsque la case se référant à cette clause a été cochée par le responsable du traitement des données avant la signature de ce contrat, ou lorsque les stipulations contractuelles dudit contrat sont susceptibles d'induire la personne concernée en erreur quant à la possibilité de conclure le contrat en question même si elle refuse de consentir au traitement de ses données, ou lorsque le libre choix de s'opposer à cette collecte et à cette conservation est affecté indûment par ce responsable, en exigeant que la personne concernée, afin de refuser de donner son consentement, remplisse un formulaire supplémentaire faisant état de ce refus ».
