Consentement exprès au traitement des données sensibles et sanction de la CNIL

L’article 8 de la loi n° 78-17 du 6 janvier 1978 interdit en principe le traitement des données révélant notamment la vie sexuelle, sauf consentement exprès de la personne concernée. La formation restreinte précise que ce consentement doit être libre, informé et spécifique, et faire l’objet d’une interprétation stricte.

Le consentement exprès suppose une action positive permettant d’établir que la personne a compris le caractère sensible des données et les risques liés à leur divulgation ou à leur profilage. Une case dédiée, placée au lieu de la collecte et accompagnée d’une information spécifique, répond à cette exigence. En revanche, une case unique regroupant la majorité, l’acceptation des CGU et le traitement de l’orientation sexuelle ne permet pas d’établir un consentement exprès.

La saisie spontanée d’une orientation sexuelle dans un formulaire ne suffit pas davantage, l’utilisateur pouvant ne pas avoir conscience du caractère sensible de cette donnée. La mise en conformité intervenue après l’expiration du délai fixé par la mise en demeure demeure sans incidence sur la caractérisation du manquement, celui-ci étant constitué à cette échéance.

Sur le fondement de l’article 46 de la loi n° 78-17, la CNIL a prononcé une sanction pécuniaire de 10 000 euros. La gravité des données traitées et le volume de comptes concernés ont également justifié la publication de la décision.

⬇️Télécharger la décision version officielle

Un site de rencontre traitait des données relatives à l’orientation sexuelle sans recueillir, dans le délai imparti, un consentement exprès et spécifique. Une case unique regroupait la déclaration de majorité, l’acceptation des conditions générales et l’accord au traitement de ces données. Une case dédiée n’a été mise en place qu’après l’expiration du délai prorogé. La CNIL a prononcé une sanction de 10 000 euros et publié sa décision.

Une société exploitant un site de rencontre collectait notamment des données relatives à l’orientation sexuelle de ses utilisateurs. Après deux contrôles sur place, la CNIL l’a mise en demeure de recueillir un consentement exprès, fondé sur une information spécifique, pour le traitement de ces données sensibles.

La société a corrigé plusieurs manquements et obtenu un délai supplémentaire. Toutefois, elle utilisait encore une case unique regroupant la déclaration de majorité, l’acceptation des conditions générales et l’accord au traitement de l’orientation sexuelle. Elle a ensuite mis en place une case dédiée, mais après l’expiration du délai prorogé.

La formation restreinte a considéré que le consentement n’avait pas été valablement recueilli dans le délai imparti. Elle a prononcé une sanction pécuniaire de 10 000 euros et décidé de rendre la décision publique, compte tenu de la nature des données et du nombre de comptes concernés.

• Donnée révélant la vie sexuelle ou l’orientation sexuelle
• Consentement libre, informé et spécifique
• Action positive de la personne concernée
• Information spécifique sur le caractère sensible des données
• Case dédiée placée au lieu de la collecte
• Respect du délai fixé par la mise en demeure
• Prise en compte de la gravité et du volume de données traitées

• Procès-verbaux des contrôles sur place des 2 juillet et 2 octobre 2014
• Formulaire comportant une case unique pour trois informations distinctes
• Courrier de mise en demeure imposant un consentement exprès
• Courrier du 18 avril 2016 demandant une case à cocher distincte
• Éléments de conformité communiqués après l’expiration du délai prorogé

La société est sanctionnée pour ne pas avoir recueilli à temps un consentement exprès au traitement des données sensibles. Les responsables de traitements similaires doivent dissocier les consentements et informer clairement les personnes concernées avant la collecte.

• Sanction pécuniaire de 10 000 euros
• Publication de la décision pendant la période prévue
• Inopérance de la mise en conformité tardive
• Obligation de prévoir une case dédiée aux données sensibles
• Renforcement de la traçabilité du consentement recueilli

À faire

• Identifier les données révélant la vie sexuelle
• Présenter une information spécifique sur leur caractère sensible
• Prévoir une case distincte pour le consentement
• Placer cette case au lieu de la collecte
• Conserver la preuve de l’action positive de l’utilisateur

À éviter

• Regrouper plusieurs consentements dans une seule case
• Assimiler le renseignement spontané à un consentement exprès
• Fonder le consentement sur les seules CGU
• Attendre l’expiration d’une mise en demeure pour agir
• Présenter une information ambiguë sur le traitement effectué

Le consentement exprès aux données sensibles

Le traitement des données relatives à la vie sexuelle est interdit par l’article 8 de la loi n° 78-17 du 6 janvier 1978, sauf consentement exprès. Celui-ci doit être libre, informé et spécifique. Il suppose une action positive et une information permettant de comprendre le caractère sensible des données. Une case dédiée, située au lieu de la collecte, est adaptée. Le renseignement spontané de l’orientation sexuelle ne suffit pas.

La dissociation des consentements dans un formulaire

Une case unique réunissant la majorité, l’acceptation des CGU et le traitement de l’orientation sexuelle dilue l’information relative à la donnée sensible. Elle ne permet donc pas d’établir un consentement exprès. La formation restreinte exige une manifestation distincte et clairement rattachée au traitement des données sensibles.

La persistance du manquement après expiration du délai

La mise en conformité intervenue après l’expiration du délai prorogé est sans incidence sur le manquement, celui-ci étant cristallisé à cette échéance. Sur le fondement de l’article 46 de la loi n° 78-17, la persistance du manquement, la nature des données et le volume de comptes concernés ont justifié une sanction de 10 000 euros et la publication de la décision.

Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, Article 8 de la loi n° 78-17 du 6 janvier 1978, Article 46 de la loi n° 78-17 du 6 janvier 1978, Article L. 34-5 du code des postes et des communications électroniques