Que signifie le consentement GDPR ?

Le mot "consentement" revient toujours dans les actualités et les discussions sur la protection de la vie privée, et il est facile de comprendre pourquoi. Tout le monde sait ce que signifie le consentement, du moins au sens courant du terme. Tout le monde devrait aimer l'idée du consentement dans la mesure où il est lié à l'autonomie et à la liberté individuelles. C'est cool de penser que vos données vous appartiennent et qu'elles ne doivent pas être utilisées contre votre volonté.

D'un autre côté, comme tout le monde comprend le consentement au quotidien, il est facile de commettre certaines erreurs courantes et de surestimer leurs implications juridiques. Ce blog répondra à deux questions courantes sur le consentement dans le cadre du GDPR et vous donnera une image plus claire de ce qu'est le consentement et de son fonctionnement.

1. Puis-je faire n'importe quoi tant que j'ai le consentement ?
2. Ai-je toujours besoin d'un consentement dans le cadre du GDPR ?
3. Qu'est-ce que le consentement explicite ?
4. Vos données vous appartiennent-elles toujours ?
5. Ai-je toujours besoin d'un consentement pour les cookies ?
6. Réflexions finales

Entrons dans le vif du sujet !

Puis-je faire n'importe quoi tant que j'ai le consentement ?

Non, vous ne pouvez rien faire. Il y a des choses que vous ne pouvez tout simplement pas faire, avec ou sans consentement. Le GDPR comprend une longue liste d'obligations pour le responsable du traitement des données. Le non-respect de ces règles constitue une violation, même si les personnes concernées consentent à tout ce que vous faites.

Par exemple, le principe de minimisation des données¹ signifie que vous ne pouvez traiter que les données dont vous avez besoin pour votre objectif, et pas plus. Par exemple, lorsque vous vous inscrivez à notre formidable lettre d'information sur la protection de la vie privée, nous ne pouvons pas vous demander de fournir votre adresse personnelle, car nous n'avons besoin de votre adresse électronique que pour vous envoyer des informations. La collecte de votre adresse personnelle à cette fin constituerait une violation du GDPR, même avec votre consentement.

De même, les données à caractère personnel doivent toujours être traitées de manière sécurisée². Un traitement non sécurisé constitue une violation même si l'utilisateur consent expressément à ce que ses données soient traitées de manière non sécurisée. Le GDPR ne se préoccupe tout simplement pas du consentement dans ce cas.

Conclusion : La conformité ne se limite pas à la collecte du consentement, et le consentement n'est pas un remède à la non-conformité.

Ai-je toujours besoin d'un consentement dans le cadre du GDPR ?

Non, ce n'est pas le cas. Vous pouvez légalement traiter des données sans consentement, mais vous aurez besoin d'une autre base juridique.

En vertu du principe de légalité, le traitement des données à caractère personnel nécessite toujours une base juridique. Le GDPR énumère six bases légales^3</a> (souvent appelées "motifs légaux") parmi lesquelles choisir, chacune ayant ses propres exigences et limitations. Chaque fois que vous traitez des données à caractère personnel, vous devez choisir l'un de ces fondements et vous y tenir. Le consentement est l'un de ces motifs, mais il est parfaitement légitime, dans certains cas, de s'appuyer sur une autre base juridique.

Supposons par exemple que vous gériez le site web d'un magasin de chaussures en ligne. Lorsqu'un client achète dans cette boutique, le vendeur a besoin des informations de facturation, de l'adresse de livraison, de la pointure du client et de quelques informations de contact pour s'assurer que la livraison se passe bien. Toutes ces informations sont des données à caractère personnel et leur traitement nécessite une base juridique.

Trois possibilités s'offrent à vous dans ce cas :

• vous pouvez recueillir le consentement de l'utilisateur avant la finalisation de l'achat ;
• vous pouvez vous appuyer sur "l'exécution d'un contrat" (dans ce cas, la vente) ;
• vous pouvez vous fonder sur "l'intérêt légitime du responsable du traitement" (en l'occurrence, l'intérêt du magasin à exercer son activité).

Si vous choisissez l'intérêt légitime ou l'exécution d'un contrat comme base juridique, vous n'avez pas besoin de demander le consentement. Dans ce cas, les trois options sont parfaitement conformes, et le choix entre elles consiste à peser le pour et le contre de chacune.

Soyons clairs : chaque base juridique est assortie d'exigences spécifiques. Cela signifie qu'aucune base juridique ne s'applique à tous les scénarios possibles. Par exemple, vous ne pouvez pas vous appuyer sur "l'exécution d'un contrat" pour envoyer du matériel promotionnel à vos clients, qui va au-delà de ce qui est strictement nécessaire à l'exécution du contrat. Et si vous choisissez l'"intérêt légitime" comme base juridique, vous devez mettre en balance votre intérêt et les droits de la personne concernée.

À l'instar des autres bases juridiques, le consentement est assorti d'exigences en vertu du GDPR : il doit être librement donné, informé, spécifique et non ambigu⁴, et il doit être possible de retirer son consentement à tout moment⁵. Si ces exigences ne peuvent être satisfaites, un autre fondement juridique est nécessaire⁶.

Un motif juridique doit donc être trouvé au cas par cas. Parfois, plusieurs motifs sont disponibles. Dans d'autres cas, un seul motif est disponible, voire aucun, ce qui signifie que les données ne peuvent pas être traitées.

Qu'est-ce que le consentement explicite ?

Le GDPR mentionne également un type de consentement "spécial" appelé consentement explicite.

Le consentement explicite est une exception à plusieurs règles concernant les données sensibles, la prise de décision automatisée et les transferts de données⁷. Le fait que le consentement soit explicite ou non n'a donc d'importance que dans des situations spécifiques, dont le traitement de données sensibles. Comme nous l'avons expliqué, ce scénario pourrait devenir assez fréquent dans un avenir proche.

Le consentement explicite doit satisfaire à toutes les exigences du consentement "normal" et être également explicite. Cette exigence supplémentaire est quelque peu floue⁸, mais en règle générale, on peut considérer que le consentement explicite est un consentement sans ambiguïté⁹.

Vos données vous appartiennent-elles toujours ?

Comme indiqué ci-dessus, dans certains cas, le GDPR autorise le traitement de données à caractère personnel sans le consentement d'une personne. Comment pouvons-nous alors affirmer en toute honnêteté que vos données vous appartiennent et que vous avez décidé de ce qui en sera fait ?

Voici ce qu'il en est. Le GDPR protège la vie privée, mais ce n'est pas son seul objectif. Il stipule que le droit à la protection des données n'est pas absolu et doit être mis en balance avec d'autres droits¹⁰. C'est cet équilibre que le GDPR s'efforce en fin de compte d'atteindre.

Dans de nombreux cas, il est impossible de s'appuyer sur le consentement, mais les données doivent être traitées. Par exemple, une entreprise qui négocie un contrat en ligne avec un client doit utiliser ses coordonnées, ce qui constitue un traitement de données à caractère personnel et nécessite une base juridique. Le consentement ne peut pas fonctionner car l'entreprise doit contacter le client pour recueillir son consentement - et elle doit traiter ses données pour ce faire. Dans ce cas, il est dans l'intérêt de tous d'autoriser le traitement des données sans consentement.

Le fait de ne pas utiliser le consentement ne signifie pas que la personne concernée ne bénéficie d'aucune protection. Tous les fondements juridiques sont assortis de leurs propres limites, qui confèrent une certaine protection aux personnes concernées. Parfois, le consentement offre moins de protection que d'autres motifs.

Par exemple, les employeurs ne peuvent pas traiter les données des employés sur la base du consentement¹¹ parce qu'ils sont en mesure de faire pression sur l'employé pour qu'il donne son consentement. Le GDPR interdit donc aux employeurs d'utiliser le consentement, mais il leur fournit également d'autres motifs de traitement des données. Ces motifs offrent à l'employé un certain degré de protection, ce qui vaut mieux que pas de protection du tout.

Ai-je toujours besoin d'un consentement pour les cookies ?

Comme nous l'avons mentionné, les cookies "non essentiels" nécessitent toujours un consentement en vertu de la directive "vie privée et communications électroniques". La directive "vie privée et communications électroniques" est plus ancienne que le GDPR, et il y a un certain chevauchement entre les deux. Elles s'appliquent toutes deux aux cookies, qui constituent toujours des données à caractère personnel.

Ce chevauchement est important dans la pratique. En vertu de la directive "vie privée et communications électroniques", les cookies "non essentiels" doivent toujours faire l'objet d'un consentement. Et en raison du GDPR, ce consentement doit être éclairé. C'est pourquoi les sites web qui utilisent des outils d'analyse basés sur les cookies, tels que Google Analytics, exigent des bannières de cookies qui fournissent certaines informations sur le traitement des cookies. Sans ces informations, le consentement n'est pas éclairé et n'est pas valable au sens du GDPR.

Réflexions finales

La protection des données à caractère personnel est importante. Le GDPR a fourni des lignes directrices et fixé les limites de ce qui est possible et de ce qui ne l'est pas. En tant qu'entreprise, vous devez respecter ces lois pour protéger la vie privée de vos clients. Il peut s'avérer difficile de s'y retrouver dans ces lois sur la protection de la vie privée, car il y a beaucoup de choses à comprendre et à prendre en compte, comme nous l'avons vu plus haut.

Le fait de disposer d'un cadre et de processus clairs réduit le risque de violation de données ou d'autres dangers pour votre entreprise. Cependant, suivre le principe de minimisation des données, en ne collectant que les informations strictement nécessaires au fonctionnement de votre entreprise, est un excellent premier pas.

Chez Simple Analytics, nous pensons qu'il n'est pas nécessaire de collecter des données personnelles ou d'installer des cookies pour obtenir des informations exploitables sur l'analyse de votre site web. Nous croyons en la création d'un web indépendant qui est convivial pour les visiteurs du site web tout en fournissant les informations dont vous avez besoin pour gérer votre entreprise. Si vous vous sentez concerné, n'hésitez pas à nous contacter.

¹ : Art. 5(1)(c) GDPR ² : Art. 5(1)(f) et 32 GDPR ³ : Article 6, paragraphe 1, du RGPD. 6(1) DU GDPR ⁴ : Art. 4(11) DU RGPD ⁵ : Article 7, paragraphe 3, du RGPD ⁵ : Article 4, paragraphe 11, du RGPD. 7.3 DU GDPR ⁶ : Par exemple : le consentement ne peut être donné librement dans le cadre d'une relation de travail, sauf exceptions très limitées. Voir les lignes directrices 05/2020 de l'EDPB sur le consentement en vertu du règlement 2016/679 ⁷ : Art. 9, paragraphe 2, point a), 22, paragraphe 2, point c), et 49, paragraphe 1, point a) du GDPR ⁸ : Les lignes directrices 05/2020 de l'EDPB sur le consentement, chapitre IV, nous donnent quelques indications, mais pas de véritable définition ⁹ : Il a également été avancé que le consentement explicite devrait être collecté séparément. Voir Kuner, Christopher et autres (eds), The EU General Data Protection Regulation (GDPR) : A Commentary (New York, 2020 ; Oxford University Press), p. 185 ¹⁰ : Considérant 47 ¹¹ : Lignes directrices de l'EDPB 05/2020 sur le consentement, par. 21 et suivants