Actualité > À la une

À la une

[ 9 janvier 2017 ] Imprimer

Libertés fondamentales - droits de l'homme

Deux sites de rencontre sanctionnés pour défaut de consentement exprès

Mots-clefs : Loi informatique et Libertés, CNIL, Pouvoir de sanction, Sanction pécuniaire, Données sensibles, Traitement, Collecte, Interdiction, Dérogation, Condition, Consentement exprès

La collecte et le traitement de données sensibles, par principe interdits, peuvent être exceptionnellement autorisés à la condition de recueillir le consentement exprès de ceux qui les livrent, que la seule inscription à un site de rencontre sans qu’une case dédiée au recueil de telles données ne soit prévue ne permet pas de remplir.

Le 15 décembre 2016, la formation restreinte de la commission nationale de l’informatique et des libertés (CNIL), autorité administrative indépendante chargée notamment de contrôler le respect par les responsables de traitements de données personnelles de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (loi informatique et libertés), a sanctionné publiquement deux sociétés gérant des sites de rencontre en raison du traitement de données sensibles sans consentement exprès des utilisateurs. 

Rappelons tout d’abord que le Conseil d’État a reconnu à la formation restreinte de la CNIL la qualité de tribunal au sens de l’article 6 de la Convention européenne des droits de l’homme (CE, ord., 19 févr. 2008, n° 311974). Ainsi cette autorité a-t-elle, comme quelques autres autorités administratives indépendantes (AAI), un pouvoir juridictionnel que traduit son pouvoir de sanction, qu’elle détient depuis la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. Ce pouvoir connaît plusieurs déclinaisons, comme celle de prononcer une sanction pécuniaire d’un montant maximal de 150 000 euros et, en cas de récidive, de 300 000 euros. En outre, depuis la loi n° 2011-333 du 29 mars 2011 relative au défenseur des droits, autre AAI, la formation restreinte peut désormais rendre publiques les sanctions pécuniaires qu’elle prononce, en ordonnant l’insertion de sa décision dans la presse aux frais de l’organisme sanctionné, cette publication n’étant plus soumise à la condition de mauvaise foi de l’organisme concerné. 

A la suite de contrôles effectués en 2014 auprès des deux sociétés sanctionnées, la CNIL avait relevé plusieurs manquements notables à la loi informatique et libertés, notamment à son article 8 qui « (…) interdit de collecter ou de traiter des données à caractère personnel qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l’appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci », sauf à ce que « la finalité du traitement l’exige pour certaines catégories de données », à la condition que la personne concernée consente expressément à la collecte et au traitement de ces données dites « sensibles ». 

Or la formation restreinte de la CNIL a estimé que les deux sociétés contrôlées ne recueillaient pas le consentement exprès des inscrits au traitement de leurs données sensibles, essentiellement relatives à leur orientation sexuelle. En effet, les utilisateurs souhaitant s’inscrire sur ces deux sites devaient, en une seule fois, accepter les conditions générales d’utilisation, attester de leur majorité et consentir au traitement des données sensibles. Or la formation restreinte rappelle que la loi impose que les internautes aient conscience de la protection attachée à ces données particulières dont le traitement est normalement interdit, la seule inscription à un site de rencontre ne pouvant valoir accord exprès des personnes au traitement de telles données qui révèlent des éléments de leur intimité. 

Après plusieurs mises en demeure enjoignant aux deux sociétés de recueillir, par une case réservée, le consentement exprès des utilisateurs, jugées insuffisamment fructueuses par l’autorité, sa présidente a décidé d’engager des procédures de sanction à leur encontre. Les deux procédures ont abouti pour la même raison : le consentement des utilisateurs de ces sites au traitement de ces données était recueilli lors de leur inscription par l’intermédiaire d’une seule case à cocher relative à trois informations distinctes : la condition de majorité, l’acceptation des conditions générales d’utilisation (CGU) et le traitement des données sensibles, en l’occurrence sexuelles. C’est la fusion de ces différentes informations au sein d’une unique case à cocher qui privait de caractère exprès le consentement simplement spontané des utilisateurs au traitement de leurs données sensibles. En outre, cette case unique, en tant qu’elle ne vise que les données relatives à l’orientation sexuelle, ne permet pas non plus aux utilisateurs de consentir expressément à la collecte et au traitement des données relatives à leurs origines raciales ou ethniques ainsi qu’à leurs opinions religieuses, lesquelles peuvent être renseignées de manière facultative dans leurs profils. Concrètement, pour échapper à leur condamnation fondée sur la dilution de l’information portant sur les données sensibles et garantir le caractère exprès du consentement de leurs utilisateurs, les sociétés mises en cause auraient dû prévoir une case à cocher distincte, dédiée à la collecte de ce type de données et assortie d’une information spécifique fournie sur le caractère sensible de certaines des données délivrées, pour répondre à l’exigence d’un consentement exprès lequel étant, en tant qu’il déroge à l’interdiction de principe de traiter des données sensibles, d’interprétation stricte. 

En raison de la sensibilité des données et du nombre de personnes concernées par les sites en cause, la formation a décidé de rendre publiques les sanctions pécuniaires prononcées (10 000 et 20 000 euros), les sociétés ayant deux mois pour exercer un recours contre ces décisions devant le Conseil d’État.

CNIL, Délibérations de la formation restreinte du 15 décembre 2016, n° 2016-405 et n° 2016-406.

Références

■ Convention européenne des droits de l’homme

Article 6 

« Droit à un procès équitable.  1. Toute personne a droit à ce que sa cause soit entendue équitablement, publiquement et dans un délai raisonnable, par un tribunal indépendant et impartial, établi par la loi, qui décidera, soit des contestations sur ses droits et obligations de caractère civil, soit du bien-fondé de toute accusation en matière pénale dirigée contre elle. Le jugement doit être rendu publiquement, mais l'accès de la salle d'audience peut être interdit à la presse et au public pendant la totalité ou une partie du procès dans l'intérêt de la moralité, de l'ordre public ou de la sécurité nationale dans une société démocratique, lorsque les intérêts des mineurs ou la protection de la vie privée des parties au procès l'exigent, ou dans la mesure jugée strictement nécessaire par le tribunal, lorsque dans des circonstances spéciales la publicité serait de nature à porter atteinte aux intérêts de la justice.

2. Toute personne accusée d'une infraction est présumée innocente jusqu'à ce que sa culpabilité ait été légalement établie.

3. Tout accusé a droit notamment à:

a) être informé, dans le plus court délai, dans une langue qu'il comprend et d'une manière détaillée, de la nature et de la cause de l'accusation portée contre lui;

b) disposer du temps et des facilités nécessaires à la préparation de sa défense;

c) se défendre lui-même ou avoir l'assistance d'un défenseur de son choix et, s'il n'a pas les moyens de rémunérer un défenseur, pouvoir être assisté gratuitement par un avocat d'office, lorsque les intérêts de la justice l'exigent;

d) interroger ou faire interroger les témoins à charge et obtenir la convocation et l'interrogation des témoins à décharge dans les mêmes conditions que les témoins à charge;

e) se faire assister gratuitement d'un interprète, s'il ne comprend pas ou ne parle pas la langue employée à l'audience. »

■ CE, ord., 19 févr. 2008, n° 311974.

 

Auteur :M. H.


  • Rédaction

    Directeur de la publication-Président : Ketty de Falco

    Directrice des éditions : 
    Caroline Sordet
    N° CPPAP : 0122 W 91226

    Rédacteur en chef :
    Maëlle Harscouët de Keravel

    Rédacteur en chef adjoint :
    Elisabeth Autier

    Chefs de rubriques :

    Le Billet : 
    Elisabeth Autier

    Droit privé : 
    Sabrina Lavric, Maëlle Harscouët de Keravel, Merryl Hervieu, Caroline Lacroix, Chantal Mathieu

    Droit public :
    Christelle de Gaudemont

    Focus sur ... : 
    Marina Brillié-Champaux

    Le Saviez-vous  :
    Sylvia Fernandes

    Illustrations : utilisation de la banque d'images Getty images.

    Nous écrire :
    actu-etudiant@dalloz.fr