Opt-in/Opt-out : Ne pas s’opposer, est-ce consentir ?

La question se pose fréquemment, et particulièrement sur internet, de la matérialisation du consentement d’une personne ? Qu’il s’agisse de souscrire à un service, un abonnement ou d’accepter le traitement de ses données personnelles, le consentement de la personne intéressée doit être collecté. Mais comment ?

En matière de collecte de consentement, 2 méthodes se distinguent.

Consentement sur Internet : comment ça marche ?

D’une part, « l’Opt-in », la méthode active, pour laquelle la personne va répondre par l’affirmative à une question ou une affirmation qui lui est soumise. Par exemple « Je reconnais avoir lu et accepter les conditions générales de ventes », « Je souhaite recevoir des informations promotionnelles », « J’accepte l’usage de mes données personnelles pour recevoir des publicités ciblées ».

D’autre part, « l’Opt-out », la méthode passive, dans laquelle le consentement est considéré acquis tant que la personne n’a pas manifesté une volonté contraire. Les phrases qui lui sont soumises sont alors l’exact inverse, « Je refuse de recevoir des informations promotionnelles », etc.

Si la méthode de l’Opt-out peut être utilisée sous certaines conditions en matière publicitaire, elle est insuffisante lorsqu’il s’agit, pour un professionnel, de démontrer qu’il a recueilli le consentement d’une personne pour le traitement de ses données à caractère personnel.

Une décision de la Cour de justice de l’Union européenne du 27 octobre 2022* est venue le rappeler dans une affaire opposant un ressortissant belge à un opérateur téléphonique.

Dans cette affaire, après avoir constaté que l’opérateur transmettait régulièrement les données de ses abonnés à un service tiers pour l’établissement d’annuaires, un abonné se manifeste auprès du service en question pour s’opposer à l’utilisation de ses données dans ce cadre.

Constatant que sa volonté n’était pas respectée, il se tourne vers les tribunaux pour engager la responsabilité de l’opérateur, ainsi que celle de l’éditeur d’annuaires.

Ces derniers vont chercher à se protéger en rappelant que l’abonné ne s’est initialement pas opposé au traitement de ses données à caractère personnel par le biais d’une option d’Opt-out mise à sa disposition. Pour eux, il a donc tacitement donné son accord pour le traitement de ses données.

Cependant, la Cour rappelle que pour que le consentement soit valablement exprimé en la matière, le recours à l’Opt-out ne suffit pas. Il faut qu’il soit manifesté de façon « libre, spécifique, éclairée et univoque », ce qui nécessite donc « un acte positif clair ». L’Opt-in est donc de mise !

Arrêt de la Cour de justice de l’Union européenne du 27 octobre 2022, affaire C-129/21