La loi sur la protection des données fixe les principes (information, finalité, proportionnalité, etc.) à respecter lors du traitement de données personnelles (qu’il s’agisse d’une simple collecte ou d’une exploitation plus sophistiquée). Une violation de ces principes ou un traitement contre la volonté de la personne concernée cause une atteinte à la personnalité de la personne de cette dernière. Une telle atteinte est illicite, à moins d’être «guérie» par un motif justificatif: la loi, le consentement ou un intérêt prépondérant.
Lorsque la loi impose le traitement de données, il n’est pas nécessaire de chercher une justification ailleurs. Si l’on pense aux assurances sociales ou aux impôts, on comprend très vite qu’il faut pouvoir traiter les données requises, sans avoir besoin de l’accord de la personne concernée. La notion de motif prépondérant est plus délicate. Cet intérêt public ou privé au traitement de données doit être mis en balance avec l’intérêt de la personne concernée à ne pas voir ses données traitées en violation des principes posées par la loi sur la protection des données. L’intérêt prépondérant n’est pas admis facilement mais peut, dans certain cas, justifier une atteinte. Ce sera surtout le cas lorsque l’atteinte est faible alors que l’intérêt privé ou public est très important.
Un consentement libre et éclairé
Reste donc le consentement. A première vue, c’est la solution la plus facile et nous consentons chaque jour à quantité de traitements… parfois même sans nous en rendre compte. Le consentement est souvent récolté par le biais de conditions générales ou de politiques de confidentialité. Consentement à la collecte de données, consentement au transfert à un tiers, consentement au traitement des données à l’étranger, consentement à l’envoi de messages publicitaires, etc.
Pour être valable le consentement doit en premier être éclairé. Il ne suffit pas de donner une information, encore faut-il que celle-ci soit compréhensible et permette à la personne concernée de se faire une idée claire de ce qu’elle va accepter. Le traitement de données visé doit donc être décrit, y compris son but, dans un langage compréhensible. Le consentement doit ensuite être libre: la personne ne doit pas être contrainte, mais elle doit aussi être dans une position qui lui permette de refuser. Dans le cas d’un employé, le rapport hiérarchique fait que l’on admettra assez rarement que le consentement puisse être libre. L’absence d’alternative pour une prestation nécessaire ira dans le même sens. Plus le consommateur est captif, moins il est libre de refuser (et donc aussi de consentir).
Dans certaines situations extrêmes, la personne concernée pourrait même exprimer un accord, mais cela ne sera pas un consentement valable. Elle sera en quelque sorte protégée d’elle-même, par exemple dans le cas où ce qu’elle accepte est tellement disproportionné par rapport au bénéfice qu’elle peut en retirer. On pourrait imaginer comme non valable le consentement au traitement et à la communication à des tiers de données médicales dans le but de pouvoir participer à une loterie.
La forme du consentement
En général, le consentement n’est pas soumis à une forme particulière et il peut résulter d’actes concluants (la visite d’un site web en sachant qu’il utilise des cookies, l’entrée dans un magasin qui a un dispositif de vidéosurveillance visible, etc.). Il doit cependant être explicite lorsque les données concernées sont des données sensibles (race, origine, religion, etc.). S’agissant de l’envoi de messages publicitaires, l’attention doit avoir été attirée préalablement sur la possibilité de s’opposer gratuitement et facilement à l’envoi.
L’information sur la base de laquelle le consentement sera donnée peut être transmise par le biais de conditions générales. Le législateur sachant que celles-ci ne sont que rarement lues, il a prévu des limites à ce qu’elles peuvent contenir ou plus précisément à ce qui peut être valablement opposé à celui qui est sensé les lire. Des clauses insolites (inattendues) ou abusives (disproportionnées) sont illégales et ne peuvent pas être appliquées, même si la personne a consenti. De telles clauses pourraient en revanche être parfaitement valables si elles sont l’objet d’un contrat discuté et négocié entre les parties, car on admettra alors que chacun savait à quoi il s’engageait.
Le consentement est donc un moyen plutôt facile de justifier une atteinte à la sphère privée. Comme nous l’avons vu, le consentement a toutefois certaines limites. Une information suffisante et compréhensible doit être donnée et dans certaines situations le consentement ne pourra jamais être valable. Il faudra alors se tourner vers un autre motif justificatif, comme la loi ou l’intérêt prépondérant.
Laisser un commentaire