Nina Gosse (De Gaulle Fleurance & Associés) : “Le fondement de l’intérêt légitime n’est pas moins valide que le consentement”

Depuis le 25 mai, certains acteurs médias et publicitaires peuvent être tentés de se prévaloir de l’intérêt légitime et non du consentement pour les traitements de données personnelles collectées via leurs sites internet. C’est le cas du groupe Le Monde, premier grand éditeur à le faire explicitement en France. Sur quelle base juridique s’appuie-t-il ?

La notion d’intérêt légitime renvoie à l’article 6.1 du Règlement général sur la protection des données (RGPD). Cet article prévoit une liste de six fondements juridiques rendant licite un traitement de données personnelles. On retrouve parmi ces fondements, l’intérêt légitime de celui qui traite les données (“Le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers”), mais un traitement de données peut également être nécessaire à l’exécution d’un contrat, au respect d’une obligation légale ou encore être autorisé par le recueil préalable du consentement exprès de la “personne concernée” (c’est-à-dire la personne dont les données sont traitées).

Cette liste de fondements licites concerne les données personnelles dites “courantes” (comme les nom et prénom, l’adresse électronique, etc.). Pour les traitements de données dites “sensibles” (par exemple relatives à la santé ou aux opinions politiques de la personne), il convient, en outre, de respecter l’une des conditions prévues à l’article 9 du RGPD (voire à des dispositions subsidiaires prévues par le droit national, comme cela est le cas en France). La politique de confidentialité du Monde fait d’ailleurs bien référence à différents fondements juridiques pour ses traitements de données, et non pas seulement à l’intérêt légitime, ce qui est logique.

L’intérêt légitime est-il un nouveau concept à disposition des entreprises qui traitent les données des internautes ?

Non, cette notion d’intérêt légitime n’est pas nouvelle et figurait déjà à l’article 7 de la Directive antérieure de 1995 (abrogée par le RGPD), tout comme d’ailleurs les autres fondements prévus à l’article 6.1, qui restent sensiblement les mêmes. Il est important de souligner que le RGPD ne vient pas bouleverser la matière sur ce point. La nouveauté concernant l’intérêt légitime est essentiellement l’obligation qui est faite au responsable du traitement (celui qui en décide les finalités et moyens telle que la société éditrice du Monde) d’informer les personnes concernées de la base juridique du traitement de leurs données et, le cas échéant, d’expliciter cet intérêt légitime (articles 13 et 14 du RGPD).

 

“Les sociétés doivent être en mesure de justifier de manière précise et valable leurs intérêts légitimes, ce qui n’est pas toujours simple et peut les placer dans une situation d’insécurité juridique relative en cas de doute”

Quelle est la force juridique de l’intérêt légitime face à des dispositifs de consentement ?

Le fondement de l’intérêt légitime est très important et ne doit pas être vu, par principe, comme moins valide que le consentement. L’article 6 n’instaure aucune hiérarchie entre les différents fondementsqu’il prévoit. Toutefois, y recourir nécessite de se livrer à un exercice de mise en balance entre les intérêts du responsable du traitement et les droits et libertés de la personne concernée. C’est donc une “zone grise”, même si des lignes directrices et des exemples existent pour aider les acteurs à mieux cerner la notion (article 6 et considérants 47, 48 et 49 du RGPD ; Groupe de travail “Article 29”, Avis 06/2014 sur la notion d’intérêt légitime poursuivi par le responsable du traitement des données au sens de l’article 7 de la directive 95/46/CE). Les sociétés doivent donc être en mesure de justifier de manière précise et valable de leurs intérêts légitimes, ce qui n’est pas toujours simple et peut les placer dans une situation d’insécurité juridique relative en cas de doute.

Le Groupe Le Monde est le premier grand éditeur de presse en France à mettre en avant son intérêt légitime. Dans sa politique de confidentialité, il le justifie par le besoin d’assurer la pérennité économique de ses activités. Est-il fondé à prendre cette position ?

En réalité, la position du Monde ne me semble pas clairement être de se passer du recueil de tout consentement des internautes. En tous cas, cela ne ressort pas vraiment des explications disponibles sur son site. En effet, on constate deux choses : premièrement, que des opt-in distincts et non pré-cochés (“Oui, je souhaite recevoir les offres du Monde” et “Oui, je souhaite recevoir les offres des partenaires du Monde”) sont prévus sur son formulaire d’abonnement. Deuxième constat : un bandeau d’information sur les cookies s’affiche à la première connexion (bien qu’il disparaisse quand on clique sur “en savoir plus”) et la partie relative aux cookies au sein de la politique de confidentialité parle bien d’accord au dépôt de cookies : “L’enregistrement d’un cookie sur votre terminal de navigation est subordonné à votre volonté”.

Ici, le groupe Le Monde semble donc en apparence recueillir le consentement des internautes pour leur envoyer de la publicité, bien que le système actuel de recueil du consentement soit perfectible. D’ailleurs, lorsqu’il explique son intérêt légitime, il utilise notamment la phrase suivante : “En acceptant de recevoir des informations marketing et publicitaires de la part de nos publications et de nos partenaires, vous contribuez à maintenir la viabilité économique de notre activité d’éditeur de presse.” A la lecture de ces documents, le fondement de ce traitement ne semble donc pas être l’intérêt légitime. Est-ce, contrairement aux apparences, pour l’envoi de publicités ? Ou, est-ce, par exemple, pour fournir des services de mesure et d’analyse ? Ou communiquer commercialement seulement auprès de ses abonnés actifs ? Ce qui serait plus cohérent et fondé (contactée plusieurs fois par mind Media, M Publicité-RégieObs, la régie publicitaire du Groupe Le Monde, n’a pas été en mesure de nous répondre, ndlr).

“Sur le fond, le RGPD laisse une certaine marge de manœuvre au responsable du traitement pour “déterminer” la base juridique de chaque traitement des données”

Contrairement à d’autres éditeurs qui ont mis en place un système de recueil du consentement aux cookies via des dispositifs techniques spécifiques (les “consent management platform”), Le Monde recueille donc aussi le consentement, mais via un simple renvoi vers des mentions pédagogiques au sein de sa politique de confidentialité. En a-t-il le droit ?

Le Monde n’a en effet pas opté à ce jour pour un mécanisme de paramétrage des cookies directement disponible sur le site ou dans l’application, mais pour un renvoi aux paramètres du navigateur et à des outils de gestion en ligne en distinguant les différentes catégories de cookies. En France, ce moyen, s’il est moins “user-friendly”, est à ce jour reconnu comme valide par la CNIL et reste considéré comme une demande de consentement (on parle parfois de “soft opt-in”). En revanche, le fait que le bandeau disparaisse lorsque l’internaute clique sur le lien présent dans celui-ci et lui permettant d’obtenir plus d’information sur les cookies et leur paramétrage, n’est pas valide, mais c’est un autre sujet.

Il reste à savoir quels traitements de données sont visés lorsque le groupe Le Monde parle d’intérêt légitime lié à des raisons économiques (la viabilité de son business model). Il est donc difficile de se prononcer sur la pertinence de ces choix en l’état. Au passage, la question du maintien du modèle économique de nombreux médias fait l’objet de discussions intenses au niveau européen en raison des bouleversements que pourraient introduire une autre réglementation : le Règlement e-privacy en cours de négociation entre les Etats- Membres. Le sujet n’est donc pas clôt avec le RGPD…

Dans quelle mesure une entreprise doit-elle se poser la question du consentement et/ou de l’intérêt légitime pour le traitement de données personnelles ?

Sur le fond, le RGPD laisse une certaine marge de manœuvre au responsable du traitement pour “déterminer” la base juridique de chaque traitement des données. Toutefois, en matière marketing, le consentement de la personne est obligatoire pour deux grands types d’actions : pour le dépôt de certains cookies tels que les cookies publicitaires, ou pour adresser à cette personne des mails de prospection commerciale. Sur ce dernier point, il y a une exception légale : si, en substance, la personne est déjà cliente de l’entreprise et que les messages sont envoyés par la même personne morale et concernent des produits ou services similaires. Concernant la prospection commerciale, cette exception légale veut bien dire, a contrario, que lorsque les données concernent un client, vous pouvez le prospecter sur le fondement de votre intérêt légitime et non de son consentement, dès lors que l’entreprise l’informe et lui donne les moyens de s’y opposer. En France, la CNIL fait également une distinction entre prospection B-to-C (opt-in) et B-to-B (opt-out).

C’est ce que semble faire le Groupe Le Monde, qui invoque cette exception légale. Il a le droit de ne pas demander le consentement de ses abonnés actifs pour leur envoyer des mails de sa part, sur le fondement de son intérêt légitime – ce cas est différent de l’envoi d’un mail à un non abonné qui est un simple prospect. Mais là encore, on peut constater une incohérence, car sur le formulaire d’abonnement proposé, il y a un opt-in pour les envois du Monde. Cela me parait donc contradictoire : en remplissant ce formulaire, la personne va devenir cliente / abonnée, Il faudrait choisir, et opter soit pour un traitement fondé sur le consentement (opt-in), soit sur l’intérêt légitime (pas d’opt-in, ou opt-out), sauf information dont je ne dispose pas qui expliquerait le choix actuel bien entendu.

“Pour le dépôt de cookie publicitaire, la réglementation pertinente n’est pas le RGPD, mais la directive vie privée et communications électroniques, qui doit être remplacée par le nouveau règlement “e-privacy”

Et le fondement concernant le dépôt de cookies publicitaires ?

Sur ce point, la réglementation pertinente n’est, en réalité, pas le RGPD, mais la Directive vie privée et communications électroniques. Cette Directive doit être remplacée par le nouveau Règlement “e-privacy” précité qui devait initialement entrer en vigueur en même temps que le RGPD. Toutefois, en raison de l’impact majeur de ce texte (pas seulement en matière de cookies mais quasiment tout l’écosystème numérique), celui-ci est toujours en cours de discussion entre les Etats-membres et ne sera probablement pas adopté avant 2019. A mon sens, un acteur ne peut donc pas fonder le dépôt de cookies publicitaires sur un fondement autre que le consentement. Cela a d’ailleurs été récemment confirmé par la décision du Conseil d’Etat du 6 juin concernant le site internet Challenges, qui a depuis mis en place une solution de gestion des consentements relativement élaborée.

Quelle est la forme d’un contentieux concernant le RGPD et par qui peut-il être déclenché ?

La non-conformité d’un acteur traitant des données l’expose à plusieurs risques selon les cas, et notamment à un contentieux administratif (avec la CNIL) ou judiciaire. Toute personne dont les données sont traitées et qui y aurait un intérêt (ex. traitement illicite de ses données) peut saisir la CNIL voire, un juge. Depuis la Loi pour une République numérique de 2016, certaines associations peuvent, en outre, intenter des actions de groupe.

Avec l’adoption du projet de loi modifiant la loi française Informatique et libertés, cette action peut désormais non seulement avoir pour objectif de demander la cessation d’un manquement mais aussi d’obtenir des dommages-intérêts pour les personnes concernées. Des actions ont déjà été lancées, en France, l’association La Quadrature du Net a déposé une plainte auprès de la CNIL le 28 mai. Et dans d’autres pays, par exemple, par Max Schrems, le militant du respect de la vie privée , avec son ONG None of your business (NOYB). Reste à voir quelles seront leurs suites.