Episode III : les premiers enseignements sur l’obligation de disposer d’un consentement valable

A titre liminaire, il convient de rappeler que la formation restreinte de la CNIL a condamné Google pour trois séries de manquements :

• aux obligations de transparence,
• d'information,
• et de disposer d'un consentement valable pour les traitements de personnalisation de la publicité mis en oeuvre.

Nous nous focaliserons ici uniquement sur l’un des motifs de sa décision, à savoir, celui relatif à l’obligation de disposer d’un consentement valable.

Rappelons que l’article 4 11. du RGPD définit le consentement comme « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement ».

Dans la décision commentée, la formation restreinte estime que le consentement recueilli n’est pas valable puisque, d’une part, ce dernier n’est pas éclairé et, d’autre part, qu’il n’a pas de caractère spécifique et univoque conformément à l’article 4 11. du RGPD et aux lignes directrices du Comité européen de la protection des données (CEPD).

En premier lieu, la formation restreinte estime que le consentement obtenu n’est pas éclairé, car les mentions d’information communiquées au titre de l’article 13 du RGPD ne sont pas aisément accessibles. En effet, elles sont disséminées dans plusieurs documents distincts, plusieurs actions sont nécessaires pour y avoir accès et il est difficile pour la personne concernée d’avoir une appréhension globale des traitements mis en oeuvre à son égard et de leurs portées.

Ainsi, la CNIL considère que le caractère éclairé du consentement est intimement lié au respect des obligations de transparence et d’informations prescrites par le RGPD, par conséquent, pour plus de détail sur ce sujet, nous vous renvoyons aux préconisations opérationnelles formulées dans notre précédent article.

En second lieu, la formation restreinte considère que le consentement obtenu n’a pas de caractère univoque, puisque les personnes concernées n'ont pas, par un acte positif clair, consenti au traitement les concernant.

Par Philippe Debry et Dan Scemama