[ 9 janvier 2017 ]

Libertés fondamentales - droits de l'homme

Deux sites de rencontre sanctionnés pour défaut de consentement exprès

Mots-clefs : Loi informatique et Libertés, CNIL, Pouvoir de sanction, Sanction pécuniaire, Données sensibles, Traitement, Collecte, Interdiction, Dérogation, Condition, Consentement exprès

Le 15 décembre 2016, la formation restreinte de la commission nationale de l’informatique et des libertés (CNIL), autorité administrative indépendante chargée notamment de contrôler le respect par les responsables de traitements de données personnelles de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (loi informatique et libertés), a sanctionné publiquement deux sociétés gérant des sites de rencontre en raison du traitement de données sensibles sans consentement exprès des utilisateurs. 

Rappelons tout d’abord que le Conseil d’État a reconnu à la formation restreinte de la CNIL la qualité de tribunal au sens de l’article 6 de la Convention européenne des droits de l’homme (CE, ord., 19 févr. 2008, n° 311974). Ainsi cette autorité a-t-elle, comme quelques autres autorités administratives indépendantes (AAI), un pouvoir juridictionnel que traduit son pouvoir de sanction, qu’elle détient depuis la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. Ce pouvoir connaît plusieurs déclinaisons, comme celle de prononcer une sanction pécuniaire d’un montant maximal de 150 000 euros et, en cas de récidive, de 300 000 euros. En outre, depuis la loi n° 2011-333 du 29 mars 2011 relative au défenseur des droits, autre AAI, la formation restreinte peut désormais rendre publiques les sanctions pécuniaires qu’elle prononce, en ordonnant l’insertion de sa décision dans la presse aux frais de l’organisme sanctionné, cette publication n’étant plus soumise à la condition de mauvaise foi de l’organisme concerné. 

A la suite de contrôles effectués en 2014 auprès des deux sociétés sanctionnées, la CNIL avait relevé plusieurs manquements notables à la loi informatique et libertés, notamment à son article 8 qui « (…) interdit de collecter ou de traiter des données à caractère personnel qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l’appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci », sauf à ce que « la finalité du traitement l’exige pour certaines catégories de données », à la condition que la personne concernée consente expressément à la collecte et au traitement de ces données dites « sensibles ». 

Or la formation restreinte de la CNIL a estimé que les deux sociétés contrôlées ne recueillaient pas le consentement exprès des inscrits au traitement de leurs données sensibles, essentiellement relatives à leur orientation sexuelle. En effet, les utilisateurs souhaitant s’inscrire sur ces deux sites devaient, en une seule fois, accepter les conditions générales d’utilisation, attester de leur majorité et consentir au traitement des données sensibles. Or la formation restreinte rappelle que la loi impose que les internautes aient conscience de la protection attachée à ces données particulières dont le traitement est normalement interdit, la seule inscription à un site de rencontre ne pouvant valoir accord exprès des personnes au traitement de telles données qui révèlent des éléments de leur intimité. 

Après plusieurs mises en demeure enjoignant aux deux sociétés de recueillir, par une case réservée, le consentement exprès des utilisateurs, jugées insuffisamment fructueuses par l’autorité, sa présidente a décidé d’engager des procédures de sanction à leur encontre. Les deux procédures ont abouti pour la même raison : le consentement des utilisateurs de ces sites au traitement de ces données était recueilli lors de leur inscription par l’intermédiaire d’une seule case à cocher relative à trois informations distinctes : la condition de majorité, l’acceptation des conditions générales d’utilisation (CGU) et le traitement des données sensibles, en l’occurrence sexuelles. C’est la fusion de ces différentes informations au sein d’une unique case à cocher qui privait de caractère exprès le consentement simplement spontané des utilisateurs au traitement de leurs données sensibles. En outre, cette case unique, en tant qu’elle ne vise que les données relatives à l’orientation sexuelle, ne permet pas non plus aux utilisateurs de consentir expressément à la collecte et au traitement des données relatives à leurs origines raciales ou ethniques ainsi qu’à leurs opinions religieuses, lesquelles peuvent être renseignées de manière facultative dans leurs profils. Concrètement, pour échapper à leur condamnation fondée sur la dilution de l’information portant sur les données sensibles et garantir le caractère exprès du consentement de leurs utilisateurs, les sociétés mises en cause auraient dû prévoir une case à cocher distincte, dédiée à la collecte de ce type de données et assortie d’une information spécifique fournie sur le caractère sensible de certaines des données délivrées, pour répondre à l’exigence d’un consentement exprès lequel étant, en tant qu’il déroge à l’interdiction de principe de traiter des données sensibles, d’interprétation stricte. 

En raison de la sensibilité des données et du nombre de personnes concernées par les sites en cause, la formation a décidé de rendre publiques les sanctions pécuniaires prononcées (10 000 et 20 000 euros), les sociétés ayant deux mois pour exercer un recours contre ces décisions devant le Conseil d’État.

CNIL, Délibérations de la formation restreinte du 15 décembre 2016, n° 2016-405 et n° 2016-406.