La géolocalisation à des fins publicitaires

II. LE RECUEIL DU CONSENTEMENT

La loi impose que le consentement de l'utilisateur soit recueilli par le responsable de traitement qui recueille des données à caractère personnel (A), les modalités du recueil du consentement qui n'étaient pas forcément des plus claires ont été explicitées par le G29 ou encore la CNIL (B). Néanmoins, tout comme le droit à l'information, le droit de consentir explicitement à un tel traitement n'est pas forcément laissé à l'utilisateur (C).

A. L'EXIGENCE D'UN CONSENTEMENT

107. La nécessité d'un consentement - La loi impose le recueil préalable du consentement des personnes concernées par le traitement à son article 7. Elle dispose qu'« un traitement de données à caractère personnel doit avoir reçu le consentement de la personne concernée » mais énonce cinq tempéraments :

« 1° Le respect d'une obligation légale incombant au responsable du traitement ;

2° La sauvegarde de la vie de la personne concernée ;

3° L'exécution d'une mission de service public dont est investie le responsable ou le destinataire du traitement ;

4° L'exécution, soit d'un contrat auquel la personne concernée est partie, soit de mesures précontractuelles prises à la demande de celle-ci ;

5° La réalisation de l'intérêt légitime poursuivi par le responsable du traitement ou par le destinataire, sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux de la personne concernée ».

108. Le recueil du consentement - Néanmoins, l'interprétation de ces exceptions doit être réalisée de manière très stricte, en particulier concernant l'interprétation du point 5. Il est regrettable que la loi soit restée muette quant à la manière de prouver l'acquisition de l'autorisation du traitement qui recouvre de nombreuses réalités : écrit, cases à cocher, e-mail de validation. Toutefois, au sein de sa délibération^52(*) portant création d'une norme simplifiée concernant les traitements automatisés de données à caractère personnel, relatifs à la gestion de clients et de prospects, la CNIL dispose que l'acceptation des conditions générales d'utilisation n'est pas une modalité suffisante au recueil du consentement des personnes.

109. Les caractéristiques du consentement - La directive n°95/46/CE dispose que le consentement doit être « libre, spécifique, et informé » cette définition n'a pas été reprise dans la loi n°78-17 mais a été de nombreuses fois reprise par la CNIL dans ses recommandations. Cela signifie que le consentement doit résulter d'un libre choix de l'utilisation, qu'il doit porter sur un dispositif précis associé à une finalité déterminée, que l'information doit être préalablement énoncée et que la finalité doit être précisée ainsi que la possibilité de s'y opposer ultérieurement.

110. La validité du consentement - La validité du consentement est liée à la qualité de l'information reçue, elle doit être rédigée en des termes simples et compréhensibles du grand public tout en étant suffisamment précise. Par exemple, si le dispositif mis en place a pour finalité de créer des profils d'utilisateurs afin d'adresser des publicités ciblées, l'information devra reprendre l'ensemble de ces termes et non se limiter au simple terme de « publicité ». Si l'information est insuffisante, alors le consentement ne sera pas valable.

111. L'encadrement de la prospection - Le Code pénal au sein de l'article 226-18-1 dispose que « le fait de procéder à un traitement de données à caractère personnel concernant une personne physique malgré l'opposition de cette personne, lorsque ce traitement répond à des fins de prospection, notamment commerciale, ou lorsque cette opposition est fondée sur des motifs légitimes, est puni de cinq ans d'emprisonnement et de 300.000 € d'amende». Dans le cadre de la publicité géo-adaptée le consentement libre et éclairé de la personne concernée est donc particulièrement de mise. L'utilisateur du terminal mobile doit avoir expressément accepté que ses données de géolocalisation soient recueillies à des fins de démarchage publicitaire, sans quoi le traitement est illicite.

* ⁵² Délibération n° 2012-209 portant création d'une norme simplifiée concernant les traitements automatisés de données à caractère personnel relatifs à la gestion de clients et de prospects, 21 juin 2012