RGPD – Consentement

Le traitement des données personnelles est généralement interdit, sauf s’il est expressément autorisé par la loi ou si la personne concernée a consenti au traitement. Bien que constituant l’une des bases légales de traitement des données personnelles les plus connues, le consentement n’est qu’une des six bases mentionnées dans le Règlement Général sur la Protection des Données (RGPD). Les autres sont : le contrat, les obligations légales, les intérêts vitaux de la personne concernée, l’intérêt public et l’intérêt légitime comme indiqué à l’Article 6(1) du RGPD.

Les exigences de base pour l’efficacité d’un consentement légal valide sont définies à l’article 7 et précisées plus loin dans le considérant 32 du RGPD. Le consentement doit être donné librement, de manière spécifique, éclairée et non équivoque. Pour obtenir un consentement librement donné, il doit être donné sur une base volontaire. L’élément « libre » implique un véritable choix pour la personne concernée. Tout élément de pression inappropriée ou d’influence qui pourrait affecter le résultat de ce choix rend le consentement invalide. Ce faisant, le texte légal prend en compte un certain déséquilibre entre le responsable du traitement et la personne concernée. Par exemple, dans une relation employeur-employé : L’employé peut s’inquiéter que son refus de consentir puisse avoir de graves conséquences négatives sur sa relation d’emploi, ainsi le consentement ne peut constituer une base légale pour le traitement que dans quelques circonstances exceptionnelles. De plus, une soi-disant « interdiction de couplage » ou « interdiction de coupler ou lier » s’applique. Ainsi, l’exécution d’un contrat ne peut pas être conditionnée par le consentement à traiter d’autres données personnelles, qui ne sont pas nécessaires à l’exécution de ce contrat.

Pour que le consentement soit éclairé et spécifique, la personne concernée doit au moins être informée de l’identité du responsable du traitement, du type de données qui sera traité, de la manière dont elles seront utilisées et de l’objectif des opérations de traitement en tant que garantie contre la dérive de fonction. La personne concernée doit également être informée de son droit de retirer son consentement à tout moment. Le retrait doit être aussi facile que donner le consentement. Le cas échéant, le responsable du traitement doit également informer de l’utilisation des données pour la prise de décision automatisée, des risques possibles des transferts de données en raison de l’absence de décision d’adéquation ou d’autres garanties appropriées.

Le consentement doit être lié à un ou plusieurs objectifs spécifiés qui doivent ensuite être suffisamment expliqués. Si le consentement devait légitimer le traitement de catégories spéciales de données personnelles, l’information pour la personne concernée doit y faire expressément référence.
Il doit toujours y avoir une distinction claire entre les informations nécessaires pour le consentement éclairé et les informations sur d’autres questions contractuelles.

Enfin, le consentement doit être sans ambiguïté, ce qui signifie qu’il nécessite soit une déclaration, soit un acte positif clair. Le consentement ne peut pas être implicite et doit toujours être donné par le biais d’une adhésion, d’une déclaration ou d’une action active, afin qu’il n’y ait aucune confusion sur le fait que la personne concernée a consenti au traitement particulier. Cela dit, il n’y a pas d’exigence de forme pour le consentement, même si le consentement écrit est recommandé en raison de la responsabilité du responsable du traitement. Il peut donc également être donné sous forme électronique. À cet égard, le consentement des enfants et des adolescents en rapport avec les services de la société de l’information constitue un cas particulier. Pour ceux qui ont moins de 16 ans, un consentement ou une autorisation supplémentaire du titulaire de la responsabilité parentale est requis. La limite d’âge est soumise à une clause de flexibilité. Les États membres peuvent prévoir un âge inférieur par loi nationale, à condition que cet âge ne soit pas inférieur à 13 ans. Lorsqu’une offre de service n’est explicitement pas destinée aux enfants, elle est libérée de cette règle. Cependant, cela ne s’applique pas aux offres qui s’adressent à la fois aux enfants et aux adultes.

Comme on peut le voir, le consentement n’est pas une solution miracle lorsqu’il s’agit du traitement des données personnelles. Surtout si l’on considère que les autorités européennes de protection des données ont clairement indiqué « que si un responsable du traitement choisit de se fonder sur le consentement pour une partie du traitement, il doit être prêt à respecter ce choix et à arrêter cette partie du traitement si une personne retire son consentement. » Interprété strictement, cela signifie que le responsable du traitement n’est pas autorisé à passer de la base légale du consentement à l’intérêt légitime une fois que la personne concernée retire son consentement. Cela s’applique même si un intérêt légitime valable existait initialement. Par conséquent, le consentement devrait toujours être choisi comme dernière option pour le traitement des données personnelles.