Le 4 mars 2020, l’avocat général SZPUNAR près de la Cour de Justice de l’Union européenne (CJUE) a rendu ses conclusions relatives aux questions préjudicielles posées par Tribunalul Bucureşti (tribunal de grande instance de Bucarest) concernant les conditions requises pour une manifestation de volonté spécifique, informée et librement exprimée.
Pour comprendre ces conclusions, il est essentiel de se rattacher aux faits de l’affaire en cause.
Le 28 mars 2018, l’autorité roumaine de protection des données a prononcé une sanction administrative à l’encontre d’Orange România pour avoir collecté et conservé des copies de documents d’identité de ses clients sans leur consentement.
En l’espèce, Orange România a conclu par écrit des contrats de fourniture de services de télécommunications mobiles avec des personnes physiques dans des locaux commerciaux. Les copies des documents d’identité des personnes concernées étaient annexées à ces contrats qui stipulaient que les clients avaient été informés et avaient donné leur consentement à la collecte et à la conservation de ces copies. L’insertion de croix dans des cases figurant dans les clauses contractuelles démontre leur consentement. Or, selon les constatations de l’Autorité nationale roumaine de protection des données, Orange România n’a pas apporté la preuve que, au moment de la conclusion des contrats, les clients concernés avaient pu exprimer un choix éclairé quant à la collecte et à la conservation des copies de leurs documents d’identité.
Orange România a introduit un recours devant la juridiction de renvoi pour contester l’amende qui lui a été infligée.
C’est dans ces conditions que le Tribunal de grande instance de Bucarest a, par ordonnance du 14 novembre 2018, déféré les deux questions préjudicielles suivantes :
- Au sens de l’article 2, sous h), de la [directive 95/46], quelles sont les conditions qui doivent être remplies pour que l’on puisse considérer qu’une manifestation de volonté est spécifique et informée ?
- Au sens de l’article 2, sous h), de la [directive 95/46], quelles sont les conditions qui doivent être remplies pour que l’on puisse considérer qu’une manifestation de volonté est librement exprimée ?
Pour répondre à ces questions, la CJUE doit prendre en compte le Règlement Général sur la Protection des Données personnelles (RGPD).
Dans ces conclusions, l’avocat général a d’abord reformulé les questions posées, celles-ci étant trop larges. Ainsi, la juridiction roumaine cherche à savoir si la personne concernée qui entend nouer une relation contractuelle relative à la fourniture de services de télécommunications avec une entreprise donne à celle‑ci son consentement « spécifique et informé » et « librement exprimé » dès lors qu’elle doit indiquer, par écrit, dans un contrat par ailleurs standardisé, qu’elle refuse de consentir à la collecte et à la conservation de la copie de ses documents d’identité.
Ensuite l’avocat général rappelle que le consentement sous la forme d’une case cochée par défaut ne saurait impliquer un consentement actif de la part de la personne concernée et que la charge de la preuve du consentement de la personne concernée au traitement des données à caractère personnel incombe au responsable du traitement.
L’avocat général fini par conclure que les clients d’Orange România ne donnent pas leur consentement libre, spécifique et informé dans les circonstances décrites par la juridiction de renvoi car, en cas de refus de conservation d’une copie de ses documents d’identité, le client est placé dans une situation dans laquelle il s’écarte manifestement d’une procédure normale de conclusion du contrat et peut avoir le sentiment que son refus n’est pas conforme aux procédures habituelles. De plus, le consentement n’est pas éclairé car il n’est pas clairement indiqué au client que son refus à la collecte et à la conservation de la copie de sa carte d’identité ne rend pas impossible la conclusion du contrat.
Ainsi, la personne concernée qui entend entrer dans une relation contractuelle portant sur la fourniture de services de télécommunications avec une entreprise ne donne pas à celle‑ci son « consentement », c’est‑à‑dire qu’elle ne manifeste pas sa volonté « spécifique et informée » et « librement exprimée » au sens de la directive 95/46 et du RGPD dès lors qu’elle doit indiquer, par écrit, dans un contrat par ailleurs standardisé, qu’elle refuse de consentir à la collecte et à la conservation des copies de ses documents d’identité.
