Résultats de recherche pour: consentement

Fin des appels intempestifs : la révolution du consentement téléphonique

C’est une scène que chacun connaît trop bien. En plein repas, entre deux réunions ou au milieu d’un moment de détente, le téléphone sonne. Un numéro inconnu s’affiche, souvent local, parfois masqué.

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de contrefaçon en passant par le formulaire !

Au bout du fil, une voix enjouée, souvent scriptée, vous propose de changer d’opérateur, d’isoler vos combles, ou de profiter d’une offre « exceptionnelle » sur vos factures d’énergie.

D’abord agacé, on répond poliment, puis on raccroche sèchement, ou on laisse sonner dans le vide. Mais rien n’y fait : les appels reviennent, encore et encore. Ce fléau, familier à des millions de Français, ne relève pas de la simple nuisance passagère. Il est devenu, au fil des ans, un véritable problème de société.

D’après des chiffres récents relayés par l’UFC-Que Choisir, pas moins de 97 % des Français ont déjà été confrontés au démarchage téléphonique. Une moyenne de six appels par semaine, tous secteurs confondus, est désormais la norme. Ces sollicitations sont particulièrement intrusives, et lorsqu’elles visent des publics vulnérables – personnes âgées, isolées, mal informées – elles peuvent avoir des conséquences graves, allant de la signature de contrats non désirés jusqu’à des escroqueries aux sommes parfois considérables.

Face à l’inefficacité des mécanismes existants – au premier rang desquels Bloctel, censé limiter les appels commerciaux mais dont le fonctionnement s’est révélé largement défaillant – le législateur a fini par trancher. Le 21 mai 2025, le Parlement français a adopté définitivement une nouvelle loi qui interdit le démarchage téléphonique sans consentement préalable. Ce changement de paradigme marque une véritable révolution juridique et philosophique : désormais, les entreprises ne pourront contacter un particulier que si ce dernier a expressément donné son accord. Fini le modèle du opt-out, où l’usager devait se signaler pour ne pas être dérangé ; place au opt-in, où le silence ne vaut plus acceptation.

Besoin de l’aide d’un avocat pour un problème de vie privée ?

Téléphonez – nous au : 01 43 37 75 63

ou contactez – nous en cliquant sur le lien

Cette loi, intégrée à une proposition de loi plus large visant à lutter contre les fraudes aux aides publiques, cible prioritairement certains secteurs particulièrement exposés aux dérives, comme la rénovation énergétique. Ce domaine a concentré de nombreux abus ces dernières années, entre entreprises fantômes, démarchage agressif et contrats signés dans la confusion, avec parfois des conséquences financières et juridiques dramatiques pour les consommateurs.

Mais cette avancée législative, dont l’entrée en vigueur est prévue pour août 2026, ne fait pas disparaître tous les obstacles.

Le texte laisse aux professionnels du secteur un temps d’adaptation, mais il ouvre aussi la voie à de nouveaux défis : comment s’assurer du respect de cette obligation de consentement ? Quid des numéros étrangers, des centres d’appels délocalisés, ou des escrocs qui évoluent en marge de toute légalité ? La loi suffira-t-elle à elle seule à garantir la fin des appels indésirables, ou faudra-t-il également miser sur des outils technologiques, une coopération renforcée entre autorités, et une vigilance collective accrue ?

L’intelligence artificielle, l’analyse comportementale des appels, le partage de données entre opérateurs et plateformes de régulation figurent parmi les solutions techniques envisagées. Mais derrière cette mutation, c’est aussi une nouvelle conception de la relation commerciale qui se dessine : une communication respectueuse, fondée sur le libre choix du consommateur, et non sur l’intrusion ou la pression.

Le démarchage téléphonique, longtemps toléré, parfois encadré mais rarement maîtrisé, arrive-t-il enfin à son crépuscule ? Cette réforme ambitieuse, fruit de nombreuses années de débat, pourrait bien constituer un tournant décisif. Reste à savoir si elle parviendra à réconcilier les citoyens avec leur téléphone.

Dans les lignes qui suivent, nous analyserons les racines profondes de ce fléau, le contenu et les ambitions de la nouvelle loi, ainsi que les défis – techniques, juridiques et sociaux – que pose sa mise en œuvre.

I. Le démarchage téléphonique : un fléau à l’origine d’un renforcement législatif sans précédent

A. L’échec des dispositifs historiques

Le démarchage intrusif n’est pas un phénomène nouveau. Dès 2014, la loi Hamon instaurait le principe du *opt-out* via la plateforme Bloctel, permettant aux consommateurs de s’inscrire sur une liste d’opposition. Pourtant, avec seulement 5,6 millions d’inscrits (sur 67 millions de numéros en France), son impact fut limité.

Les fraudeurs contournaient facilement le système en utilisant des fichiers illégaux ou en multipliant les sociétés écrans. La loi Naeglen (2020) tenta de durcir le cadre en interdisant le démarchage dans des secteurs sensibles (rénovation énergétique, formation) et en encadrant les horaires (10h-13h et 14h-20h en semaine). Malgré cela, les appels indésirables persistaient, alimentés par l’explosion des fraudes aux aides publiques, notamment via les certificats d’économie d’énergie (CEE) .

B. La loi de 2025 : une révolution du consentement

La nouvelle législation, adoptée le 21 mai 2025, inverse radicalement la logique : le consentement préalable devient la règle. Les entreprises devront prouver que le consommateur a manifesté son accord de manière « libre, spécifique, éclairée, univoque et révocable » – par exemple via une case à cocher active (non pré-remplie) .

Seule exception : « l’exception client », autorisant les appels liés à un contrat en cours (ex. : un opérateur proposant une mise à jour de forfait) .

Le texte renforce aussi la répression :

– Sanctions pénales : Jusqu’à 5 ans de prison et 500 000 € d’amende pour abus de faiblesse.

– Amendes administratives : Jusqu’à 20 % du chiffre d’affaires pour les entreprises récidivistes.

– Interdiction sectorielle : La prospection électronique (SMS, réseaux sociaux) est prohibée dans la rénovation énergétique, un secteur miné par les arnaques.

C. Les limites persistantes

Malgré ces avancées, des failles subsistent. Comme le souligne Hélène Lebon, avocate spécialisée : * »Les fraudeurs se fichent des textes.

La clé est dans l’application des lois existantes »* .

La traçabilité des fichiers reste problématique : les entreprises achètent souvent des listes de numéros « en bonne foi », sans vérifier leur légalité .

Par ailleurs, l’impact économique inquiète : 29 000 à 40 000 emplois dans les centres d’appels pourraient être menacés . Enfin, les escrocs innovent déjà via des numéros en 06/07 ou des messageries cryptées (WhatsApp), échappant ainsi aux contrôles .

II. Technologie et régulation : une alliance vitale pour l’efficacité de la loi

A. L’IA en première ligne

Pour contrer les appels frauduleux, les opérateurs déploient des solutions d’intelligence artificielle :

– Filtres antispam : Dès août 2026, les SMS commerciaux non désirés pourront être bloqués via des algorithmes, comme c’est déjà le cas pour les emails.

– Analyse vocale : L’IA détecte les fraudes en temps réel en analysant l’ondulation de la voix, le débit ou les mots-clés (ex. : « Caisse d’Assurance-maladie » pour les arnaques type « faux remboursements ») .

– Authentification des appels : La loi Naeglen a imposé un dispositif d’authentification (STIR/SHAKEN), obligeant les opérateurs à interrompre les appels non certifiés .

B. Le rôle clé des régulateurs

La loi de 2025 facilite le partage d’informations entre la DGCCRF, la CNIL et l’Arcep.

Cette synergie permet :

– Une identification rapide des fraudeurs via la mutualisation des données.

– Des campagnes préventives sur les fuites de données (ex. : alerte si un numéro est vendu sur le dark web).

– La suspension des aides publiques en cas de soupçon de fraude (ex. : dans la rénovation énergétique) .

C. Adaptation ou disparition ?

Face à ces contraintes, les entreprises légitimes se réinventent :

– Reconversion vers le *inbound marketing* (répondre aux demandes clients) ou les chatbots.

– Responsabilisation des intermédiaires : vérification systématique des fichiers achetés. – Innovation consentie : Prospection ciblée via des questionnaires en ligne, où le consommateur choisit ses préférences de contact .

La loi de 2025 marque un tournant historique, mais son succès dépendra de trois piliers : l’application rigoureuse des sanctions (dès 2026), l’efficacité technologique (IA et coordination des régulateurs) et l’évolution des pratiques commerciales. Si les consommateurs peuvent espérer une réduction des appels indésirables, la vigilance reste de mise face à des fraudeurs toujours ingénieux. Comme le résume Pierre-Jean Verzelen, sénateur à l’origine du texte : * »Il faudra taper fort et vite.

En Allemagne, une loi similaire n’a été efficace qu’après deux ans de sanctions effectives »* . La tranquillité téléphonique est à ce prix.

Chiffres clés à retenir :

  • 97 % des Français agacés par le démarchage.
  • 6 appels non désirés reçus en moyenne par semaine.
  • Août 2026 : entrée en vigueur de l’interdiction.
  • 500 000 € : amende maximale pour abus de faiblesse.

Pour lire une version plus complète de cet article sur le démarchage téléphonique, cliquez

Sources :

  1. La proposition de loi interdisant le démarchage téléphonique non consenti adoptée par le Parlement – ici
  2. L’interdiction du démarchage téléphonique non consenti adoptée par le Parlement – Le Club des Juristes
  3. Une nouvelle loi interdit le démarchage téléphonique non consenti – Next
  4. « Les Français ne pourront plus être dérangés » : le démarchage téléphonique subi, c’est bientôt fini – Le Parisien
  5. Démarchage téléphonique : le Parlement a définitivement voté le texte interdisant le démarchage à partir d’août 2026 | LCP – Assemblée nationale
  6. Loi contre le démarchage téléphonique : qu’est ce qui va changer au bout du fil ?

Par • Consommation, Vie quotidienne • • Tags: , ,

Exploitation des profils LinkedIn sans exigence de consentement

L’avènement du XXIe siècle, marqué par une transformation numérique sans précédent, a indubitablement redéfini les dynamiques des interactions professionnelles. Les plateformes en ligne, à l’instar de LinkedIn, se sont érigées en véritables vitrines numériques, permettant aux individus de présenter leurs compétences et expériences à un vaste public mondial.

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de contrefaçon en passant par le formulaire !

Cette révolution technologique a, par conséquent, engendré une redéfinition des notions de visibilité et de réputation professionnelle, tout en suscitant une réflexion critique sur la gestion des données personnelles. Autrefois considérées comme des éléments intimes, les données personnelles se retrouvent désormais souvent exposées à un usage commercial, provoquant des préoccupations grandissantes en matière de protection de la vie privée.

Dans ce contexte mouvant, le jugement rendu par le tribunal de commerce de Paris le 30 septembre 2024 constitue une étape marquante dans l’exploration des enjeux liés à l’exploitation des données personnelles sur les réseaux sociaux professionnels. En établissant que l’utilisation des informations publiées sur des profils publics de LinkedIn ne nécessite pas le consentement explicite des utilisateurs, conformément aux dispositions de l’article 5 du Règlement général sur la Protection des Données (RGPD), ce jugement soulève des interrogations d’une portée capitale.

Besoin de l’aide d’un avocat pour un problème de vie privée ?

Téléphonez – nous au : 01 43 37 75 63

ou contactez – nous en cliquant sur le lien

La question de la nature du consentement dans un environnement où les utilisateurs, en optant pour la divulgation de leurs profils, semblent accepter tacitement l’exploitation potentielle de leurs informations par des tiers s’inscrit dans un débat plus large sur la responsabilité des utilisateurs et la protection de leurs droits.

En effet, le tribunal a mis en lumière une dynamique paradoxale : d’une part, les utilisateurs, en publiant des informations sur un réseau social à accès public, aspirent à accroître leur visibilité et à attirer l’attention d’employeurs potentiels. D’autre part, ils s’exposent inéluctablement aux risques d’une exploitation incontrôlée de leurs données personnelles.

Ce phénomène soulève des questions fondamentales sur la nature même de la volonté des utilisateurs à partager leurs informations dans le but d’optimiser leur employabilité, tout en prenant conscience des implications que cela peut avoir sur leur vie privée et leur sécurité.

Dans cette perspective, il convient également d’examiner le rôle des plateformes de recrutement, qui naviguent entre la nécessité de fournir des services efficaces et l’obligation de respecter les droits des utilisateurs. Le jugement en question a mis en exergue la réalité selon laquelle, bien qu’il n’y ait pas eu de preuves tangibles de non-respect du RGPD, la plateforme poursuivie avait contrevenu à ses propres conditions générales d’utilisation en recourant à des profils LinkedIn pour offrir des services à ses clients.

Cette situation souligne non seulement l’importance pour les plateformes de se conformer aux règles qu’elles instaurent, mais également leur rôle prépondérant dans la préservation d’un environnement de concurrence juste et éthique. La protection des droits des utilisateurs ne saurait être laissée au hasard ; elle doit être inscrite au cœur des pratiques commerciales des plateformes.

Par ailleurs, l’absence de plaintes émanant des utilisateurs auprès de la Commission nationale de l’informatique et des libertés (Cnil) met en exergue une lacune significative dans la sensibilisation des utilisateurs quant aux droits qui leur sont conférés par le RGPD. Ce constat interroge non seulement la responsabilité des utilisateurs dans la gestion de leurs informations personnelles, mais également celle des plateformes dans l’éducation et l’information des utilisateurs sur leurs droits et obligations.

Il est impératif que les utilisateurs prennent conscience de l’importance de protéger leurs données personnelles et qu’ils soient instruits sur les mécanismes à leur disposition pour faire valoir leurs droits. L’analyse des enjeux juridiques, éthiques et pratiques liés à l’utilisation des données personnelles sur LinkedIn doit donc être approfondie. Elle appelle à une réflexion sur les implications de la numérisation des interactions professionnelles, sur la redéfinition du consentement à l’ère numérique, ainsi que sur la responsabilité partagée entre les utilisateurs et les plateformes.

À la croisée de ces questions se dessine un paysage complexe, où le droit et l’éthique se rejoignent pour tracer les contours d’un avenir où la protection des données personnelles sera non seulement un impératif juridique, mais aussi un enjeu fondamental de la confiance entre les acteurs du marché et les utilisateurs. Dans ce cadre, il est essentiel de promouvoir une culture de la protection des données qui transcende la simple conformité légale et qui embrasse une vision éthique de l’interaction numérique, permettant ainsi de garantir que la transformation numérique ne se fasse pas au détriment des droits fondamentaux des individus.

I. Le cadre juridique de l’utilisation des données personnelles sur LinkedIn

A. Les dispositions du RGPD et leur application aux profils publics

Le Règlement Général sur la Protection des Données (RGPD), entré en vigueur le 25 mai 2018, représente une avancée significative dans la protection des données personnelles au sein de l’Union Européenne.

L’article 5 du RGPD établit des principes directeurs qui régissent la collecte et le traitement des données personnelles. Parmi ces principes, on trouve la licéité, la loyauté et la transparence, la limitation des finalités, la minimisation des données, l’exactitude, la limitation de la conservation, et l’intégrité et la confidentialité. Dans le contexte des profils publics sur LinkedIn, la question de la licéité du traitement des données personnelles est primordiale. En effet, les utilisateurs de LinkedIn, en choisissant de rendre leurs profils accessibles au public, consentent implicitement à ce que leurs informations soient utilisées par des tiers, notamment par des recruteurs ou des entreprises.

Selon l’article 6 du RGPD, le traitement des données peut être considéré comme licite lorsque la personne concernée a donné son consentement, lorsque le traitement est nécessaire à l’exécution d’un contrat, ou lorsque le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou un tiers, sauf si prévalent les intérêts ou les droits et libertés fondamentaux de la personne concernée.

Il est également important de noter que l’article 7 du RGPD impose des exigences strictes quant à la manière dont le consentement doit être donné. Ce consentement doit être libre, spécifique, éclairé et univoque. Cependant, dans le cadre des profils publics sur LinkedIn, la question du consentement explicite devient plus complexe.

L’utilisateur, en créant un profil public, pourrait être considéré comme ayant donné son consentement implicite à l’utilisation de ses données. Cela soulève des interrogations sur la portée de ce consentement implicite et sur la responsabilité des plateformes dans l’information des utilisateurs concernant l’utilisation de leurs données.

Un exemple pertinent est celui de la décision de la Cour de Justice de l’Union Européenne (CJUE) dans l’affaire Google Spain SL, Google Inc. c/ Agencia Española de Protección de Datos, Mario Costeja González (C-131/12).  La Cour a jugé que les moteurs de recherche, en tant que responsables du traitement, sont tenus de garantir le droit à l’effacement des données personnelles (droit à l’oubli) lorsque les informations sont inexactes, incomplètes ou non pertinentes. Cette décision illustre l’importance de la transparence et de la responsabilité dans le traitement des données personnelles, des principes qui sont également applicables dans le contexte des réseaux sociaux comme LinkedIn.

B. La notion de consentement implicite et ses implications

La notion de consentement implicite est un sujet de débat majeur dans le domaine de la protection des données personnelles, surtout lorsqu’il s’agit de plateformes en ligne où les utilisateurs partagent volontairement des informations. Dans le cadre des profils publics sur LinkedIn, le consentement implicite peut être interprété comme une acceptation tacite des utilisateurs à ce que leurs données soient utilisées par des tiers, en raison de la nature même de la plateforme, qui vise à faciliter les interactions professionnelles. Cependant, cette interprétation du consentement implicite soulève des questions éthiques et juridiques. Par exemple, il est essentiel de déterminer si les utilisateurs sont réellement conscients des implications de rendre leurs informations accessibles publiquement.

La Cour de cassation française a, dans son arrêt du 26 juin 2019, rappelé que le consentement doit être éclairé et que l’absence d’information claire sur l’utilisation des données peut constituer une violation des droits des personnes concernées.

En outre, la directive européenne 2016/680 relative à la protection des données à caractère personnel traitées dans le cadre des activités policières et judiciaires souligne la nécessité d’un consentement explicite lorsque les données sensibles sont en jeu, comme les informations relatives à la santé ou à l’origine ethnique.

Bien que ces dispositions s’appliquent principalement à d’autres contextes, elles illustrent l’importance d’un consentement clair et éclairé dans le traitement des données personnelles, y compris sur des plateformes professionnelles. Un exemple pratique est celui des utilisateurs qui, en raison de l’interface de LinkedIn, peuvent ne pas réaliser que la sélection de certaines options de visibilité entraîne une exposition de leurs données. La responsabilité incombe donc à la plateforme de veiller à ce que ses utilisateurs soient pleinement informés des conséquences de leurs choix en matière de visibilité. À cet égard, le Règlement impose aux responsables du traitement de fournir des informations claires et compréhensibles sur l’utilisation des données personnelles.

Cela inclut des détails sur la finalité du traitement, la durée de conservation des données et les droits des utilisateurs.

En somme, si le consentement implicite peut être perçu comme suffisant dans certains cas, son application sur des plateformes comme LinkedIn reste délicate. Les utilisateurs doivent être pleinement conscients de l’impact de leurs décisions et de la manière dont leurs données peuvent être utilisées par des tiers.

La transparence et la responsabilité des plateformes sont donc essentielles pour garantir que les droits des utilisateurs soient respectés et que leur consentement soit véritablement éclairé. Il est donc impératif que LinkedIn et d’autres réseaux sociaux clarifient leur politique de protection des données et s’assurent que les utilisateurs comprennent les implications de leur choix de rendre leurs profils publics.

II. La concurrence déloyale et le respect des conditions d’utilisation

A. Les pratiques de web scraping et leurs conséquences juridiques

Le web scraping, ou extraction automatisée de données à partir de sites web, est une pratique qui soulève de nombreux enjeux juridiques, notamment en ce qui concerne le respect des conditions d’utilisation des plateformes. Dans le contexte des réseaux sociaux et des plateformes de recrutement comme LinkedIn, cette pratique peut être perçue comme une violation des droits d’auteur, une atteinte à la protection des données personnelles, et une infraction aux dispositions relatives à la concurrence déloyale.

Sur le plan du les bases de données sont protégées par le Code de la propriété intellectuelle. En France, l’article L. 112-3 dispose que les bases de données sont considérées comme des œuvres de l’esprit, et leur extraction non autorisée peut constituer une atteinte aux droits moraux et patrimoniaux de l’auteur.

L’affaire « LinkedIn c. hiQ Labs » est emblématique de cette problématique. Dans cette affaire, LinkedIn a tenté d’interdire à hiQ Labs, une entreprise de web scraping, d’extraire des données de ses utilisateurs. La Cour d’appel de San Francisco a statué en faveur de hiQ, affirmant que l’accès aux données publiques ne constituait pas en soi une violation des conditions d’utilisation de LinkedIn. Cependant, cette décision a été critiquée pour son manque de clarté quant aux droits des plateformes de contrôler l’accès à leurs données.

En outre, le web scraping peut également être considéré comme une concurrence déloyale, notamment lorsqu’il porte atteinte aux intérêts commerciaux légitimes des plateformes.

L’article 1240 du Code civil dispose que Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. Dans ce cadre, les entreprises victimes de web scraping peuvent engager des poursuites pour obtenir des réparations.

Par exemple, si une entreprise utilise les données collectées via le scraping pour proposer des services similaires à ceux d’une plateforme, cela peut être interprété comme une exploitation déloyale des efforts d’investissement et de développement de cette dernière.

Les conséquences de telles pratiques ne se limitent pas uniquement aux aspects juridiques ; elles peuvent également avoir un impact significatif sur la concurrence dans le secteur des plateformes de recrutement. L’utilisation abusive des données peut créer un déséquilibre sur le marché, favorisant les acteurs qui recourent à ces pratiques au détriment de ceux qui respectent les conditions d’utilisation. Cela soulève des questions sur l’équité et l’intégrité de la concurrence, en particulier dans un domaine où la confiance des utilisateurs est primordiale.

B. Les enjeux éthiques et la protection des données personnelles

Les enjeux éthiques liés à l’utilisation des données personnelles dans un cadre commercial sont d’une importance capitale, surtout dans un contexte où les utilisateurs partagent de plus en plus d’informations en ligne. Le droit à la vie privée, protégé par le RGPD, impose des obligations strictes aux entreprises concernant la collecte, le traitement et la conservation des données personnelles. Toutefois, l’exploitation des données à des fins commerciales, notamment par le biais du web scraping, pose des défis éthiques majeurs. Il est crucial de trouver un équilibre entre l’accès à l’information et la protection des droits individuels.

D’un côté, les entreprises ont un intérêt légitime à utiliser les données pour améliorer leurs services et répondre aux besoins des utilisateurs.

De l’autre, les utilisateurs ont le droit d’attendre que leurs données soient traitées de manière responsable et dans le respect de leur vie privée. Les récents scandales liés à la fuite de données personnelles, tels que l’affaire Cambridge Analytica, ont mis en lumière les dangers d’une exploitation non éthique des données, entraînant une perte de confiance des utilisateurs envers les plateformes. Dans ce contexte, il est essentiel d’instaurer des recommandations pour une meilleure régulation des pratiques liées à l’exploitation des données personnelles. Cela pourrait inclure des mesures telles que :

  1. Renforcement de la transparence : Les plateformes doivent être tenues de fournir des informations claires et accessibles sur la manière dont les données des utilisateurs sont collectées, utilisées et partagées. Cela inclut la mise à jour régulière des politiques de confidentialité et des conditions d’utilisation.
  2. Consentement explicite : Les entreprises doivent obtenir un consentement explicite de la part des utilisateurs avant de procéder à la collecte de leurs données. Ce consentement doit être libre, éclairé et spécifique, conformément aux exigences du RGPD.
  3. Responsabilité des plateformes : Les entreprises qui exploitent des données personnelles doivent être responsables de leur utilisation, en veillant à respecter les droits des utilisateurs et à protéger leurs données contre toute utilisation abusive. Cela pourrait inclure l’instauration de mécanismes de contrôle et de vérification pour s’assurer que les données collectées ne sont pas utilisées à des fins contraires à l’éthique ou à la loi.
  4. Sanctions dissuasives : Il est impératif que des sanctions adéquates soient mises en place pour décourager les pratiques de web scraping non éthiques. Cela pourrait impliquer à la fois des amendes financières substantielles et des mesures d’interdiction d’accès aux plateformes pour les entreprises qui enfreignent les conditions d’utilisation.
  5. Sensibilisation des utilisateurs : Les utilisateurs doivent être mieux informés de leurs droits en matière de protection des données. Cela inclut la compréhension des implications de la publication de leurs informations sur les réseaux sociaux et des mesures qu’ils peuvent prendre pour protéger leur vie privée.
  6. Encadrement juridique des pratiques de scraping : Il serait bénéfique d’établir un cadre juridique clair concernant le web scraping, notamment en définissant les situations où cette pratique peut être considérée comme légitime, tout en protégeant les droits des détenteurs de données. Cela pourrait inclure des exemptions pour des usages spécifiques tels que la recherche académique ou l’analyse de données, à condition que cela soit réalisé dans le respect des droits des utilisateurs.

Pour lire une version plus complète de cet article sur linkedin et le consentement, cliquez

Sources :

  1. Legalis | L’actualité du droit des nouvelles technologies | Pas de consentement nécessaire pour utiliser des profils sur LinkedIn
  2. CURIA – Documents
  3. Cour de cassation, civile, Chambre civile 1, 26 juin 2019, 18-15.830, Publié au bulletin – Légifrance
  4. Directive – 2016/680 – EN – règlement bruxelles ii ter – EUR-Lex
  5. Web Scraping : Tout ce qu’il faut savoir
  6. LinkedIn remporte la dernière bataille judiciaire contre le grattage des données et l’utilisation abusive des informations des utilisateurs – Coeur sur Paris

Par • internet-et-droit • • Tags: , ,

QUEL CONSENTEMENT SUR INTERNET ?

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de contrefaçon en passant par le formulaire !

Le consentement de la personne concernée est défini comme toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement (Règl. UE 2016/679 du 27-4-2016, art. 4-11).

Il en résulte que la personne concernée ne doit pas se sentir forcée à consentir. Si la personne concernée n’est pas véritablement en mesure d’exercer un choix, se sent contrainte de consentir ou subit des conséquences négatives importantes si elle ne donne pas son consentement, le consentement n’est pas valable.

La personne concernée a le droit de retirer son consentement à tout moment (Règl. UE 2016/679 du 27-4-2016, art. 7-3).

En outre, la locution « nécessaire à l’exécution d’un contrat » doit être interprétée de façon restrictive. Le traitement doit être nécessaire pour exécuter le contrat conclu avec chacune des personnes concernées. Dans le contexte du travail, ce principe peut par exemple autoriser le traitement des informations liées au salaire et au compte bancaire afin de pouvoir verser les salaires. Il doit exister un lien direct et objectif entre le traitement des données et l’objectif d’exécution du contrat ‘Groupe de travail « Article 29 » : Lignes directrices sur le consentement au sens du règlement 2016/679 du 10-4-2018).

Besoin de l’aide d’un avocat pour un problème de vie privée?

Téléphonez – nous au : 01 43 37 75 63

ou contactez – nous en cliquant sur le lien

Par ailleurs, le principe du consentement de la personne concernée est entouré de diverses garanties (RGPD art. 7) :

–  le responsable du traitement doit être en mesure de démontrer que le consentement a été effectivement donné ;

–  si la déclaration écrite de consentement porte également sur d’autres questions que celle du consentement et si elle est consécutive à une demande préalablement adressée à la personne concernée, cette demande doit être présentée sous une forme compréhensible et aisément accessible ; elle doit aussi être formulée en des termes clairs et simples ;

–  la personne concernée a le droit de retirer son consentement à tout moment ; ce retrait ne remet pas pour autant en cause la licéité du traitement fondé sur le consentement initial ;

–  au moment de déterminer si le consentement est donné librement, il convient, éventuellement, de s’assurer que l’exécution d’un contrat n’est pas subordonnée à un consentement non nécessaire à cette exécution (pratique du « couplage »).

Tel n’a pas été le cas dans un arrêt de la CJUE du 12 novembre 2020 qui juge qu’un contrat de fourniture de services de télécommunication qui contient une clause selon laquelle le client a consenti à la collecte et la conservation de son titre d’identité ne peut démontrer qu’il a valablement donné son consentement lorsque la case y afférente a été cochée par le responsable de traitement avant la signature du contrat. Il en est de même lorsque le consommateur est induit en erreur quant à la possibilité de conclure le contrat en cas de refus du traitement de ses données, ou lorsque le libre choix de s’opposer à cette collecte et à cette conservation est affecté par l’exigence d’un formulaire supplémentaire exprimant ce refus.

La CEDH dans une décision du 9 mai 2023 (CEDH, 9 mai 2023 n°31172/19 « Association les témoins de Jéhovah c/ Finlande) (1)  avait à se prononcer sur l’obligation imposée aux témoins de Jéhovah par la commission de protection des données personnelles, de recueillir le consentement des personnes à la collecte de leurs données personnelles dans le cadre de leurs activités de prédication. La CEDH a considéré que cette obligation n’est pas une violation de la liberté de conscience et de religion. Bien qu’il s’agisse d’une ingérence dans les droits de la communauté religieuse, cette dernière poursuivait un but légitime et était nécessaire dans une société démocratique. (7)

I. La case se référant à cette clause a été cochée par le responsable du traitement des données avant la signature de ce contrat

Selon l’article 4 § 1 du RGPD, la donnée à caractère personnel est toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée « personne concernée »); est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.

En outre, la lettre de l’article 4 § 2 dispose que le « traitement » est toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliqués à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction.

Par ailleurs, le paragraphe 11 de l’article 4 du RGPD dispose que le « consentement » de la personne concernée est toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement.

Le consentement de la personne concernée reste essentiel pour traitement de ses données à caractère personnel par le responsable du traitement ou par ses sous-traitants. Le manquement à cette obligation est une faute imputable au responsable du traitement pour violation du consentement préalable de la personne avant toutes sortes de collectes de ses données.

La Cour de Justice de l’Union européenne par cet arrêt a voulu démontrer ou mettre en lumière l’objet même ou le but poursuivi par le RGPD en l’occurrence le renforcement des droits des personnes physiques concernées par tout traitement de leurs données à caractère personnel.

De plus, le consentement doit être éclairé. Cette qualité fait écho à l’obligation de transparence qui découle des articles 5 et 12 du RGPD et, plus particulièrement à l’obligation d’information qui s’impose au responsable de traitement en vertu des articles 13 et 14 du RGPD.

La CNIL considère que le recours à des cases précochées ou préactivées ne permet pas d’obtenir un consentement univoque. Dans le même esprit, la CJUE a jugé que le placement de cookies requiert un consentement actif des internautes de sorte qu’une case cochée par défaut est insuffisante. De plus, le recueil du consentement de l’utilisateur s’applique quand bien même les données concernées seraient à caractère personnel ou non.

Le Conseil d’État confirme cette observation de la CNIL, à travers une décision du 19 juin 2020 (CE, 10e et 9e chambre réunies, 19 juin 2020 n°430810) (2). Celui-ci précise qu’un consentement exprimé par défaut, tel que par une case pré-cochée, ne reflète pas une action active de la part de l’utilisateur et ne peut donc être considéré comme émanant d’un choix clair et délibéré permettant légitimement le recueil du consentement. La cour ajoute que le consentement obtenu dans le cadre de l’acceptation générale des conditions d’utilisation d’un service ne revêt pas un caractère spécifique conforme au RGPD.

Quand le responsable décide de fonder son traitement sur le consentement de la personne concernée, il doit être en mesure de démontrer qu’il a obtenu ce consentement.

La CJUE a précisé que le responsable du traitement doit être en mesure de démontrer le consentement de la personne concernée à la collecte et à la conservation de ses données à caractère personnel. La seule présence d’une clause contractuelle, cochée à l’avance par les agents de vente, précisant que le client a consenti, ne permet pas de prouver l’existence d’un consentement valable (CJUE, 11 nov. 2020, aff. C-61/19, Orange Romania).

La CNIL dans une délibération rendue le 24 novembre 2022 n°SAN-2022-021 (3), avait à se prononcer sur un contrat conclu entre la société EDF et un courtier en données. Celle-ci précise que le responsable de traitement reste garant de l’obtention du consentement des personnes prospectées et ne peut se décharger de sa responsabilité en cas de manquement de son contractant, à moins qu’il n’ait mis en place des mesures de contrôle adéquates. (8)

2. Les stipulations contractuelles dudit contrat sont susceptibles d’induire la personne concernée en erreur quant à la possibilité de conclure le contrat en question même si elle refuse de consentir au traitement de ses données

Conformément aux lignes directrices dégagées par le CEPD (Lignes directrices CEPD n° 05/2020, 4 mai 2020), le consentement est libre quand il n’est pas contraint, ni influencé. La personne doit se voir offrir un choix réel, sans avoir à subir de conséquences négatives en cas de refus. En ce sens, l’article 7 du RGPD dispose qu’« au moment de déterminer si le consentement est donné librement, il y a lieu de tenir le plus grand compte de la question de savoir, entre autres, si l’exécution d’un contrat, y compris la fourniture d’un service, est subordonnée au consentement au traitement de données à caractère personnel qui n’est pas nécessaire à l’exécution dudit contrat ».

Cela semble revenir à l’idée que le consentement ne peut être considéré comme valable quand il est donné dans le but de profiter d’un produit ou d’un service pour la fourniture duquel un traitement de données n’est pas nécessaire. Le CEPD donne l’exemple d’un fournisseur de site web qui bloque la visibilité du contenu, sauf si l’utilisateur clique sur le bouton « Accepter les cookies ». La personne concernée ne dispose pas d’un véritable choix, son consentement n’est donc pas donné librement.

La CNIL dans une délibération rendue le 15 juin 2023 (SAN-2023-009) (4) a sanctionné une société spécialisée dans la publicité en ligne pour ne pas avoir vérifié que les personnes dont elle traite les données par l’intermédiaire de cookies avaient donné leur consentement. À cette occasion, elle détaille les conditions requises pour prouver le consentement des individus lorsque des cookies tiers sont déposés sur un site web.

Le responsable peut tout d’abord mettre en œuvre un traitement nécessaire soit à l’exécution d’un contrat auquel la personne concernée est partie, soit à l’exécution de mesures précontractuelles prises à la demande de celle-ci. Comme le consentement, la base légale contractuelle se révèle être souvent utilisée en pratique.

Le responsable peut également faire reposer la licéité de son traitement sur le respect d’une obligation légale à laquelle il est soumis, la sauvegarde des intérêts vitaux de la personne concernée ou encore l’exécution d’une mission d’intérêt public ou la mise en œuvre d’un traitement relevant de l’exercice de l’autorité publique dont il est investi.

En dernier lieu, la loi du 6 janvier 1978 et le RGPD prévoient la possibilité de mettre en œuvre un traitement quand ce dernier est « nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant » (L. n° 78-17, 6 janv. 1978, art. 5, 6° RGPD, art. 6, § 1, f). C’est ainsi au responsable de déterminer à quel moment ses intérêts ou ceux d’un tiers doivent prévaloir sur ceux de la personne concernée.

La CEDH dans une décision du 8 septembre 2022 (CEDH, 5e sect., 8 sept. 2022, nos 3153/16 et 27758/18, Drelon c/ France) (5) devait se prononcer sur une collecte de données effectuée par un établissement français du sang. À cette occasion, elle a rappelé que le seul fait que le responsable de traitement puisse collecter les données personnelles au regard du but poursuivi est insuffisant à rendre ce traitement illicite. Il faut en plus que les données collectées soient exactes, mises à jour, pertinentes et non excessives au regard des finalités du traitement des données. (10)

Dans tous les cas la personne concernée doit être informée de la collecte de ses données conformément au RGPD et son consentement devra être recueilli sans ambiguïté sauf exception édictée par ledit RGPD.

 3. Le libre choix de s’opposer à cette collecte et à cette conservation est affecté indûment par ce responsable, en exigeant que la personne concernée, afin de refuser de donner son consentement, remplisse un formulaire supplémentaire faisant état de ce refus

La personne concernée est libre de consentir à la collecte de ses données à caractère personnel. Certes, le RGPD prévoit encore la possibilité pour les personnes concernées de « s’opposer à tout moment » au traitement de leurs données (art. 21 (1)). Elles ne peuvent toutefois plus le faire selon les mêmes modalités.

Aux termes du règlement européen, l’exercice du droit d’opposition n’a en effet vocation à s’appliquer qu’à l’encontre des traitements nécessaires à « l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement, ou en raison des intérêts légitimes du responsable du traitement » (RGPD, consid. no 69 et art. 21 (1), par renvoi à, art. 6 (1) e) ou f)).

Dans de telles circonstances, les seules possibilités de mettre fin au traitement seront donc soit de recourir au droit à l’effacement (RGPD, art. 17), soit de retirer son consentement (RGPD, art. 7 (3)) avec l’avantage de ne pas devoir justifier de « motif légitime » (voir en ce sens, Maisnier-Boché L., art. préc.).

Ce qui implique dans les deux hypothèses que de telles actions soient nécessairement exercées après que le traitement ait été mis en œuvre et non avant (RGPD, art. 99 (2)). Sans compter qu’aucune disposition ne semble par ailleurs pouvoir être invoquée pour faire valoir le droit d’opposition en cas de traitement de données personnelles nécessaire à l’exécution d’un contrat ou de mesures précontractuelles (RGPD, art. 6 (1) b) ; voir également en ce sens, Maisnier-Boché L., art. préc.) ou celui – mais l’exception est plus admissible compte tenu des risques encourus – nécessaire à la sauvegarde des intérêts vitaux (RGPD, art. 6 (1) d)).

Le Conseil d’État, dans une décision rendue le 20 décembre 2023 (CE, 20 décembre 2023 n°430810) (6), devait se prononcer sur le droit à l’effacement d’un politicien souhaitant obtenir le déréférencement d’un article de presse le concernant. Celui-ci, par une mise en balance du droit à la protection des données à caractère personnel et le droit à la liberté d’information du public, sur des questions d’intérêt public, a rejeté cette demande de déréférencement.(11)

À cette limite, importante donc, le règlement européen apporte au moins deux précisions utiles. La première est que le droit d’opposition vaut bien en cas de profilage et qu’il continue de s’appliquer en matière de prospection (RGPD, art. 21 (2)), à des fins commerciales comme non-commerciales notamment associatives ou politiques.

La deuxième concerne les conséquences de l’exercice du droit d’opposition. Aussi évidentes soient-elles, il n’en demeurait pas moins pertinent de rappeler que « lorsque la personne concernée s’oppose au traitement à des fins de prospection, les données à caractère personnel ne sont plus traitées à ces fins » (RGPD, art. 21 (3)). Ce qui, comme du reste actuellement, ne devrait toutefois pas avoir pour conséquence d’interdire la mise en place de listes d’opposition, justement dans la mesure où elles poursuivent une finalité propre, à savoir garantir l’exercice effectif de ce droit.

Selon l’article 6 § 1.b du RGPD, le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci.

Toutefois, lorsque le responsable du traitement coche au préalable la case de consentement de la collecte des données personnelles des clients, ce dernier ne met pas en évidence le caractère libre du client pour consentir ou non à la collecte de ses données personnelles. Autrement dit, il affecte même le caractère licite de la collecte des données personnelles des personnes concernées au regard de l’article 6 du RGPD.

Le Conseil d’État dans un arrêt du 19 juin 2020 (CE, 19 juin 2020, n°430810) a condamné la société Google sur ce fondement. Ce dernier souligne que le consentement donné au moyen d’une case pré-cochée ne résulte pas d’une action active de la part de l’utilisateur et ne peut donc être considéré comme provenant d’une décision claire et volontaire. (9)

SOURCES :

1)  CEDH, 9 mai 2023 n°31172/19 « Association les témoins de Jéhovah c/Finlande :https://hudoc.echr.coe.int/fre#{%22itemid%22:[%22002-14070%22]}

(2) CE, 10e et 9e chambre réunies, 19 juin 2020 n°430810 : https://www.legifrance.gouv.fr/ceta/id/CETATEXT000042040546
(3) CNIL, délibération SAN-2022-021 du 24 novembre 2022 : https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000046650733

(4) CNIL, Délibération SAN-2023-009 du 15 juin 2023

(5) CEDH, 5e sect., 8 sept. 2022, nos 3153/16 et 27758/18, Drelon c/ France https://hudoc.echr.coe.int/fre#%7B%22itemid%22:%5B%22001-219069%22%5D%7D

(6) CE, 19 juin 2020, n°430810 : https://www.legifrance.gouv.fr/ceta/id/CETATEXT000042040546

(7) https://www-labase-lextenso-fr.ezpum.scdi-montpellier.fr/lessentiel-droit-de-la-famille-et-des-personnes/DFP201o3?em=consentement%20collecte%20des%20donn%C3%A9espar%20

(8) https://www-labase-lextenso-fr.ezpum.scdi-montpellier.fr/lessentiel-droit-de-la-distribution-et-de-la-concurrence/DDC201h3?em=responsable%20de%20traitement%20consentement

(9) https://www-labase-lextenso-fr.ezpum.scdi-montpellier.fr/gazette-du-palais/GPL383j7?em=consentement%20%C3%A9clair%C3%A9%20donn%C3%A9es

(10) https://www-labase-lextenso-fr.ezpum.scdi-montpellier.fr/lessentiel-droit-de-la-famille-et-des-personnes/DFP201a6?em=collecte%20de%20donn%C3%A9es%20

(11) https://www-labase-lextenso-fr.ezpum.scdi-montpellier.fr/gazette-du-palais/GPL459j2?em=droit%20%C3%A0%20l%27effacement

Par • internet-et-droit • • Tags: , , , ,

RGPD : la question du consentement

Comme chacun sait, le 25 mai 2018, est une date butoir non seulement pour tous les acteurs du numérique, mais aussi et plus largement pour toutes les entreprises, leur mise en conformité au nouveau grand texte européen en matière de données personnelles devant être assurée d’ici là.

Le règlement général sur la protection des données (« RGPD », ou « GDPR » en anglais), à cette échéance, sera applicable dans tous les États membres de l’Union européenne. Et s’il est des notions essentielles au sein du texte, c’est bien celle du consentement.

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de vie privée en passant par le formulaire !

Le droit européen des données personnelles a été longtemps régi par la directive 95/46/CE.

Adoptée en 2016, l’entrée en vigueur de la nouvelle réglementation européenne le 25 mai 2018 a permis d’adapter le droit de l’union aux changements induits par l’explosion de l’informatique et d’Internet.

Afin de garantir l’effectivité des dispositions prévues par ce règlement, toutes les entreprises qui collectent des données personnelles de personnes résidant dans l’Union européenne, sont soumises à la réglementation indépendamment de leur localisation.

Les entreprises se doivent de respecter un certain nombre de principes fondamentaux pour la protection des données, tels que la transparence, la limitation de la finalité, la minimisation des données, l’exactitude et l’intégrité des données, ainsi que la sécurité des données. L’un de ces principes est le consentement, qui est défini comme une indication claire et positive de la volonté de la personne concernée de donner son accord pour le traitement de ses données personnelles.

Le consentement demeure l’une des six bases juridiques permettant de traiter des données à caractère personnel, telles qu’énumérées à l’article 6 du RGPD. Lorsque le responsable de traitement sollicite le consentement, il a l’obligation d’évaluer si celui-ci satisfera à toutes les conditions d’obtention d’un consentement valable. S’il a été obtenu dans le plein respect du RGPD, le consentement est un outil qui confère aux personnes concernées un contrôle sur le traitement éventuel de leurs données à caractère personnel. Dans le cas contraire, le contrôle de la personne concernée devient illusoire et le consentement ne constituera pas une base valable pour le traitement des données, rendant de ce fait l’activité de traitement illicite.

Afin d’aider les responsables de traitement dans le recueil du consentement, le comité européen à la protection des données a élaboré un guide composé de lignes directrices qui permet de saisir les réflexes à adopter lors du recours au consentement comme base légale.

Par conséquent, toute entreprise qui traite des données personnelles de résidents de l’Union européenne devra donc prendre pleinement conscience de la portée des dispositions afférentes au consentement. Il conviendra dans un premier temps d’aborder les obligations liées à la nature même du consentement requis (I) et les obligations relatives à sa valeur (II). Enfin, seront traités les cas particuliers tels que le consentement du mineur (III).

I. Les conditions relatives à la nature du consentement requis

Lorsque la base légale du traitement retenue est le consentement, le RGPD impose que ce dernier soit libre, spécifique, éclairé et univoque.

A) L’obligation d’un consentement libre et éclairé

Auparavant inscrite dans la loi Informatique et Libertés, la notion de consentement a été renforcée par les dispositions du RGPD afin de permettre aux personnes concernées d’exercer un contrôle réel et effectif sur le traitement de leurs données.

Définit par l’article 4 du règlement, le consentement s’apparente à « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ».

L’article 7 du RGPD précise les conditions applicables au consentement.

Pour être valide, le consentement doit être accompagné d’un certain nombre d’informations communiquées à la personne avant qu’elle ne consente. Au-delà des obligations de transparence prévues aux articles 12, le responsable du traitement se doit fournir la liste d’informations mentionnée à l’article 13 afin de recueillir le consentement éclairé des personnes concernées. Il s’agit de l’identité du responsable du traitement, des finalités poursuivies, des catégories de données collectées, de l’existence d’un droit de retrait du consentement.

Le consentement est considéré comme « libre » lorsque l’utilisateur l’a donné sans pression ni influence extérieure. En outre, le caractère libre du consentement se matérialise par la possibilité de refuser et de le retirer à tout moment. Ce droit de retrait doit pouvoir être exercé dès que la personne concernée le souhaite et aussi simplement que lorsqu’elle a consenti. Le responsable du traitement doit donc mettre en place un moyen simple et efficace pour que l’utilisateur puisse retirer son consentement

Le règlement général sur la protection des données parle du consentement, comme d’une « manifestation de volonté libre […] ». Tout en reprenant le terme, déjà soutenu au sein des textes antérieurs, le législateur a cependant fait le choix d’un encadrement concis, au regard de ce principe.

Ainsi, le texte prévoit que la personne concernée dispose du droit de retirer son consentement quand elle le souhaite, aussi simplement qu’elle l’a accordé, et doit être informée de cette possibilité. Ce retrait ne remet pas en cause, pour autant, la licéité du traitement fondé sur le consentement précédemment donné, pour la période allant jusqu’au dit retrait.

Besoin de l’aide d’un avocat pour un problème de contrefaçon ?

Téléphonez – nous au : 01 43 37 75 63

ou contactez – nous en cliquant sur le lien

Par ailleurs, cette liberté signifie également que la personne ne doit pas être contrainte « d’abandonner » son consentement, notamment sous le joug du préjudice éventuel qui pourrait découler de son refus : « le consentement est présumé ne pas avoir été donné librement en cas de déséquilibre […] si la personne concernée ne dispose pas d’une véritable liberté de choix ou n’est pas en mesure de refuser ou de retirer son consentement sans subir de préjudice » .

Le texte précise également que « le consentement est présumé ne pas avoir été donné librement si un consentement distinct ne peut pas être donné à différentes opérations de traitement des données à caractère personnel ».

Autrement dit, le retrait du consentement ne doit pas engendrer de frais pour la personne concernée ou encore avoir pour conséquence d’amoindrir le service fourni. Un déséquilibre des rapports de force peut également avoir lieu dans le cadre des relations de travail. Il est en effet peu probable que la personne concernée soit en mesure de refuser de donner son consentement à son employeur concernant le traitement de ses données sans craindre ou encourir des conséquences négatives suite à ce refus.

Par ailleurs, le considérant 43 du RGPD précise qu’un consentement distinct doit être obtenu pour chacune des finalités envisagées « le consentement est présumé ne pas avoir été donné librement si un consentement distinct ne peut pas être donné à différentes opérations de traitement des données à caractère personnel ». Dès lors qu’un traitement comporte plusieurs finalités, les personnes doivent pouvoir consentir indépendamment pour l’une ou l’autre de ces finalités. Elles doivent pouvoir choisir librement les finalités pour lesquelles elles consentent au traitement de leurs données.

Pour rappel, dans une décision du 21 janvier 2019, la Commission nationale de l’informatique et des libertés (CNIL) a prononcé une amende de 50 millions d’euros à l’encontre de Google, pour violation des dispositions du Règlement général sur la protection des données (RGPD).

Dans un premier temps, la formation restreinte de la CNIL a estimé qu’il y avait une violation continue des obligations de transparence et d’information (article 12 du RGPD) lors de la collecte des données personnelles (article 13 et 14 du RGPD) et que les droits des personnes n’était pas assez clair (article 15 à 22 du RGPD).

Elle relève également que des informations essentielles (finalité, durée de conservation ou catégories de données) étaient anormalement disséminées dans de multiples espaces où il était nécessaire d’activer des boutons ou onglets pour prendre connaissance des informations complémentaires.

De plus, la CNIL a remarqué que les informations fournies n’étaient pas suffisamment claires ou compréhensibles par rapport aux aspects massifs et intrusifs des différents traitements réalisés par l’entreprise et que les finalités étaient trop génériques et vagues.

Dans un second temps, la CNIL est venue sanctionner l’absence de base légale pour les traitements de personnalisation de la publicité. La société américaine indiquait se fonder sur le contentement des utilisateurs, or les agents de la Commission ont estimé que celui-ci n’était pas éclairé, spécifié et univoque. En effet, dans le prolongement de ce qui a été exposé précédemment, les informations permettant de justifier du consentement ont été réparties sur plusieurs espaces et documents en plus de présenter des cases précochées au moment de la collecte.

B) L’obligation d’un consentement explicite

Le terme explicite se rapporte à la façon dont le consentement est exprimé par la personne concernée. Il implique que la personne concernée doit formuler une déclaration de consentement exprès.

Le consentement peut se matérialiser de diverses façons. Le considérant 32 du RGPD  nous apporte quelques précisions, ainsi « Le consentement devrait être donné par un acte positif clair par lequel la personne concernée manifeste de façon libre, spécifique, éclairée et univoque son accord au traitement des données à caractère personnel la concernant, par exemple au moyen d’une déclaration écrite, y compris par voie électronique, ou d’une déclaration orale […] Il ne saurait dès lors y avoir de consentement en cas de silence, de cases cochées par défaut ou d’inactivité ».

Le consentement peut être recueilli au moyen d’une déclaration écrite ou orale (enregistrée), y compris par voie électronique. Ainsi, un consentement tacite n’est pas valable, et le recueil du consentement nécessite une formalisation. Le consentement ne peut donc pas être obtenu par défaut ou par inaction de l’utilisateur. A ce titre, il convient de bien différencier la case cochée par défaut, de la case à cocher, qui constitue en soi l’expression d’un consentement exprès au sens du texte susvisé. Le RGPD n’autorise pas non plus le recours à des options de refus nécessitant une action de la personne concernée pour signaler son refus (par exemple des « cases de refus »).

L’article 4 du Règlement, déjà cité, fait allusion au caractère « express » du consentement, en ce que celui-ci doit découler d’une décision « par laquelle une personne concernée accepte, par une déclaration ou par un acte positif clair » le traitement de ses données.

Cette formulation constitue une différence clef entre les « anciens textes » et celui à paraître, puisque la directive 95/46 omet toute mention en ce sens. A contrario, le RGPD souligne expressément « qu’il ne saurait dès lors y avoir de consentement en cas de silence, de cases cochées par défaut ou d’inactivité.

Attention, il convient de bien différencier la case cochée par défaut, de la case à cocher, qui constitue en soi l’expression d’un consentement express au sens du texte susvisé.

De même, l’acceptation d’un contrat ou de conditions générales ne rend pas compte d’un tel consentement éclairé, tandis qu’un accord donné par voie écrite, orale ou électronique vaudra acceptation, tant que le sens d’une telle action n’est pas ambiguë.

Si la pratique du « double opt-in » est avancée par le G29 dans ses conclusions, elle demeure non seulement facultative, mais paraît également inefficace à certains égards : « ce double opt-in […] est lourd à mettre en place. Il est bien évidemment redouté notamment par les professionnels du marketing qui savent que la collecte d’un consentement impliquant deux actions positives d’un prospect ou d’un client est très illusoire », la plupart des utilisateurs étant peu enclins à communiquer deux fois leur consentement.

A l’occasion d’un arrêt du 1er octobre 2021, la CJUE statue sur la notion de consentement explicite, et rappelle que le recueil du consentement doit être explicite avant tout traitement des données personnelles, ainsi le consentement doit être donné activement et expressément au site web par les utilisateurs. En l’espèce, la CJUE considère que le consentement recueilli n’est pas explicite, car la case était cochée par défaut, et l’utilisateur devait décocher cette case pour refuser de donner son consentement. Par ailleurs, la CJUE dispose dans cet arrêt que le consentement doit être spécifique ce qui n’est pas le cas en l’espèce, car le bouton de participation au jeu promotionnel « ne suffit pas pour considérer que l’utilisateur a valablement donné son consentement au placement de cookies. »

Enfin, il convient de rappeler que le consentement de la personne est systématiquement requis pour certains traitements, encadrés par des dispositions légales spécifiques. L’article 5 de la directive ePrivacy impose ainsi le recours au consentement avant le dépôt de cookies sur le terminal de l’utilisateur. Il en va de même dans le cadre de la prospection électronique (L34-5 du code des postes et télécommunications).

II. Les conditions relatives à la valeur du consentement requis

La valeur du consentement récolté dépendra principalement de deux facteurs : son fondement (A), qui caractérise sa nécessité, et sa matérialisation, nécessaire au responsable de traitement en matière de preuve (B).

 A) L’importance du fondement du traitement

Il paraît évident que tous les développements précédents, relatifs au consentement des personnes, s’appliquent avant-même la récolte des données personnelles en question.

Pour autant, il convient de distinguer les différentes situations sur la base desquelles le consentement est requis.

En effet, si l’article 6 du RGPD prévoit le régime général des dispositions relatives au consentement, l’article 7, en son paragraphe 4, dénote d’un régime particulier en ce que « au moment de déterminer si le consentement est donné librement, il y a lieu de tenir le plus grand compte de savoir, entre autres, si l’exécution d’un contrat, y compris la fourniture d’un service, est subordonnée au consentement au traitement de données à caractère personnel qui n’est pas nécessaire à l’exécution dudit contrat » .

Ainsi, et comme le rappelle assez justement le G29, « si le traitement n’est pas nécessaire à l’exécution du contrat, cette exécution ne peut être conditionnée par le consentement au traitement ».

Selon le G29, les deux bases juridiques que sont le consentement et l’exécution d’un contrat ne doivent pas être amalgamées et fusionnées : la conclusion d’un contrat ne doit pas être conditionné à l’acceptation d’un traitement de données « non nécessaires » à l’exécution d’un contrat.

À l’évidence, un traitement rendu obligatoire pour la bonne exécution d’un contrat n’implique donc pas le recueil du consentement quant à un tel traitement.

Il est essentiel de garder à l’esprit, par ailleurs, que le fondement de la licéité du traitement ne peut être modifié après que les données ont été recueillies et traitées. De fait, si un problème se pose quant à la conformité du traitement, il est impossible, pour le responsable de traitement , de basculer sur un autre régime pour justifier le traitement en question.

B) La charge de la preuve

La preuve, au regard de telles exigences, est primordiale. C’est le premier paragraphe de l’article 7 du RGPD qui en précise l’aménagement, en rappelant que « dans le cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant ».

L’article 7 du RGPD requiert que le consentement soit démontrable, ce qui implique deux conditions.
Tout d’abord, il est nécessaire d’identifier de manière certaine la personne qui donne son consentement. Ensuite, il est important de conserver ce consentement sous une forme qui puisse prouver son existence. Si une personne donne son consentement en se connectant à un compte en ligne avec un code d’accès qui lui est propre, comme c’est le cas sur un espace de banque en ligne par exemple, la première condition peut être considérée comme remplie. Cependant, cette situation est relativement rare, car de nombreux consentements sont demandés sans que l’identité de la personne ne soit vérifiée

Suivant ces dispositions, la charge de la preuve incombe donc au responsable de traitement, qui devra démontrer par des arguments convaincants le respect du consentement des personnes concernées par le traitement.

Cette dernière précision fait notamment écho aux traitements obligatoires pour la bonne exécution des contrats, où la preuve devra être jugée comme « suffisante ».

Pour autant, le texte ne donne pas plus d’indications concernant la forme de la preuve. Des avis sont cependant fournis par des institutions nationales, à l’image de l’autorité de protection des données du Royaume-Uni, l’« ICO » (« Information Commissionner’s Office ») , qui conseille de conserver toute trace relative aux personnes concernées, à la date et aux méthodes de consentement, etc.

D’un côté, cette souplesse pourrait inquiéter au sujet des éventuelles dérives relatives à la collecte et la réutilisation de ces données ; pour autant, est-il pertinent de cloisonner ce type de preuve, au risque d’une rigidité certaine du texte ?

Quoi qu’il en soit, ces dispositions sont encore à l’étude, et il conviendra d’en observer la pratique pour en comprendre réellement l’étendue.

La CNIL préconise que le responsable de traitement tienne un registre des consentements. Elle rappelle également qu’une fois le traitement terminé, la preuve du consentement ne doit pas être conservée plus longtemps que le temps nécessaire à l’exercice ou à la défense de ses droits en justice par le responsable de traitement. Enfin, il convient de noter que le RGPD ne fixe pas de durée de validité du consentement. Cette durée dépendra du contexte, de la portée du consentement initial.

III. Les cas particuliers

A. Les conditions applicables au consentement des enfants

En vertu de l’article 8 du RGPD, dans le cas où le consentement est donné par un mineur, il doit être donné avec l’autorisation des détenteurs de l’autorité parentale, sauf si le droit national prévoit que l’enfant est en mesure de donner un consentement valable sans autorisation parentale.

En France, l’âge de la majorité numérique est fixé à 15 ans. Conformément à l’article 45 de la loi informatique et libertés, les enfants de 15 ans ou plus peuvent donc consentir eux-mêmes au traitement de leurs données fondé sur le consentement dans le cadre des services de la société d’information. En-dessous de 15 ans, la loi « Informatique et Libertés » impose le recueil du consentement conjoint de l’enfant et du titulaire de l’autorité parentale.

Les raisons de cette protection sont précisées au considérant 38 du RGPD « Les enfants méritent une protection spécifique en ce qui concerne leurs données à caractère personnel parce qu’ils peuvent être moins conscients des risques, des conséquences et des garanties concernées et de leurs droits liés au traitement des données à caractère personnel […] »

Il est cependant regrettable de constater qu’aucune mesure de contrôle de l’âge n’est actuellement déployée par les plateformes. Il est néanmoins possible de noter qu’une proposition de loi visant à instaurer une majorité numérique et à lutter contre la haine en ligne a été déposée le 17 janvier 2023 à l’Assemblée nationale. Elle tend à compléter la loi du 21 juin 2004 pour la confiance dans l’économie numérique (LCEN) afin contraindre les réseaux sociaux de refuser l’inscription à leurs services des enfants de moins de 15 ans, sauf si les parents ont donné leur accord. Pour se faire, ces plateformes devront mettre en place une solution technique permettant de vérifier l’âge de leurs utilisateurs et l’autorisation des parents.

Il est important de noter que les âges de majorité numérique peuvent varier d’un pays à l’autre en Europe, et que certains pays peuvent également avoir des règles spécifiques pour certaines activités en ligne (par exemple, les réseaux sociaux ou les jeux en ligne) qui peuvent avoir leur propre âge minimum pour le consentement. En Allemagne cette majorité est fixée à l’âge de 16 ans tandis qu’en Belgique ou au Portugal elle est atteinte dès l’âge de 13 ans.

Enfin, les enfants ont le droit de retirer leur consentement à tout moment. Les responsables du traitement doivent donc veiller à ce que les enfants soient informés de leur droit de retirer leur consentement et à ce qu’il soit facilement d’exerçable.

B. Le consentement au traitement de données sensibles

Le RGPD catégorise certaines données personnelles comme étant sensibles. Définit à l’article 9 du règlement, ces données sont celles qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, les données de santé ou encore les données biométriques. En raison de leur caractère « sensible » et des risques que leur traitement entraîne pour la vie privée ou pour les droits des personnes, ces données ne peuvent être traitées qu’avec des garanties supplémentaires.

Le consentement donné en matière de données sensibles doit être encore plus explicite que celui donné pour les données à caractère personnel. Le consentement explicite est requis dans certaines situations où un risque sérieux lié à la protection des données survient, et où un niveau élevé de contrôle sur les données à caractère personnel par la personne concernée est de ce fait jugé approprié.

Une manière évidente de s’assurer que le consentement est explicite serait de confirmer expressément le consentement dans une déclaration écrite. Le cas échéant, le responsable du traitement pourrait s’assurer que la déclaration écrite est signée par la personne concernée afin de prévenir tout doute potentiel et toute absence potentielle de preuve à l’avenir. Il est également possible d’obtenir un consentement explicite moyennant une conversation téléphonique, à condition que les informations relatives au choix soient loyales, compréhensibles et claires et qu’elle demande une confirmation spécifique de la part de la personne concernée.

Il est important de noter que le consentement n’est pas toujours la base légale utilisée pour le traitement des données sensibles.

Le traitement des données sensibles sans recourir au consentement peut être autorisé pour des raisons de santé publique. Il peut, par exemple, s’avérer nécessaire de collecter et de traiter des données sensibles pour lutter contre la propagation d’une maladie contagieuse (circonstances que nous avons rencontré lors de la crise du Coronavirus). Dans ce cas, la collecte et le traitement de ces données peuvent être autorisés par des lois ou des réglementations nationales ou européennes, même si l’utilisateur n’a pas donné son consentement explicite.

De même, dans le cadre de la lutte contre le terrorisme ou la criminalité, il peut être nécessaire de collecter et de traiter des données sensibles pour prévenir ou détecter des infractions graves. Dans ce cas également, la législation peut autoriser le traitement de ces données sensibles, même en l’absence de consentement explicite de l’utilisateur.

Pour une version plus détaillée sur le RGDP et le consentement, cliquez sur les mots RGDP et consentement

SOURCES :
http://www.privacy-regulation.eu/fr/r43.htm
https://cnpd.public.lu/content/dam/cnpd/fr/actualites/national/2017/10/séances-information–gdpr/gdpr-info-sessions-fr-11h05-consentement.pdf
https://www.cnil.fr/fr/reglement-europeen/lignes-directrices
http://www.privacy-regulation.eu/fr/r32.htm
https://fr.mailjet.com/rgpd/consentement/
http://www.privacy-regulation.eu/fr/7.htm
https://ico.org.uk/media/about-the-ico/consultations/2013551/draft-gdpr-consent-guidance-for-consultation-201703.pdf
Délibération, 21 janvier 2019, SAN-2019-001
https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000038032552/
CJUE, 1er octobre 2019, C-673/17
https://curia.europa.eu/juris/document/document.jsf;jsessionid=CA644C7436D43DA19729CD95998C7383?text=&docid=218462&pageIndex=0&doclang=FR&mode=lst&dir=&occ=first&part=1&cid=6352664
https://asso-generationnumerique.fr/enquetes/
F. Mattatia « RGPD et droit des données personnelles », 5° édition – Edition EYROLLES – 2021
Comité Européen à la protection des données – Guide lignes directrices – 2020 : https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_fr
CNIL – Capacité des mineurs en ligne : https://www.cnil.fr/fr/recommandation-1-encadrer-la-capacite-dagir-des-mineurs-en-ligne

Par • internet-et-droit • • Tags: , , ,

1 2 3 4 5 >»

# Nos catégories juridiques

# Poser une question en ligne

Si vous avez une question précise à poser au cabinet d’avocats, dont vous ne trouvez pas la réponse sur le site, posez votre question en ligne.
La question sera alors payante et le montant est de 150 euros TTC. Paiement sécurisé par Paypal ou Crédit Mutuel »

# Nos articles avocat Paris

© Murielle Cahen Cabinet d’avocats Paris 2026
Powered by WordPress • Themify WordPress Themes