Consentement exprès au traitement des données sensibles : les exigences de la CNIL

L’article 8 de la loi n° 78-17 du 6 janvier 1978 interdit en principe la collecte et le traitement des données révélant notamment la vie sexuelle, les origines raciales ou ethniques et les opinions religieuses. Une exception est admise lorsque la personne concernée a donné un consentement exprès, lequel doit être libre, informé et spécifique.

La formation restreinte de la CNIL retient qu’un consentement exprès suppose une action positive, accomplie en connaissance du caractère sensible des données et de leurs conséquences possibles. Une case à cocher dédiée, placée au moment de la collecte et accompagnée d’une information spécifique, satisfait cette exigence.

En revanche, une case unique regroupant la condition de majorité, l’acceptation des conditions générales et le traitement de l’orientation sexuelle dilue l’information et ne permet pas de caractériser un consentement exprès. La seule mention de l’orientation sexuelle ne couvre pas davantage les autres données sensibles pouvant être renseignées dans le profil. Le renseignement spontané de ces données ne vaut pas consentement exprès.

Le manquement s’apprécie à l’expiration du délai fixé par la mise en demeure, sans incidence des corrections engagées ultérieurement ou des pratiques d’autres opérateurs. La persistance du manquement, la nature des données et le volume de comptes concernés justifient une sanction pécuniaire de 20 000 euros ainsi que la publication de la décision.

⬇️Télécharger la décision version officielle

La CNIL a constaté que le consentement au traitement de données sensibles était recueilli au moyen d’une case unique regroupant plusieurs finalités, tandis que d’autres données pouvaient être renseignées sans consentement dédié. Malgré un délai supplémentaire et la présentation d’une nouvelle case en phase de test, la formation restreinte a retenu un manquement persistant à l’article 8 de la loi du 6 janvier 1978 et prononcé une sanction de 20 000 euros avec publication.

La société X exploitait un site de rencontre et traitait les données personnelles de ses utilisateurs, notamment des informations relatives à l’orientation sexuelle, aux origines raciales ou ethniques et aux opinions religieuses.

Après plusieurs contrôles, la CNIL l’a mise en demeure de recueillir le consentement exprès des personnes concernées au traitement de leurs données sensibles. La société a bénéficié d’un délai supplémentaire et a transmis différents éléments de mise en conformité.

La CNIL a toutefois constaté que le consentement était recueilli au moyen d’une seule case regroupant la condition de majorité, l’acceptation des conditions générales et le traitement de l’orientation sexuelle. Les autres données sensibles pouvaient être renseignées sans case dédiée. La société a ensuite présenté une nouvelle case en phase de test et invoqué les pratiques d’autres opérateurs.

La formation restreinte a retenu un manquement persistant à l’article 8 de la loi du 6 janvier 1978 et a prononcé une sanction de 20 000 euros, assortie de la publication de la décision.

• Données révélant notamment la vie sexuelle, les origines ou les opinions religieuses.
• Consentement libre, informé et spécifique de la personne concernée.
• Action positive manifestant l’assentiment au traitement.
• Information claire sur le caractère sensible des données.
• Case à cocher dédiée placée au moment de la collecte.
• Consentement couvrant l’ensemble des catégories de données sensibles collectées.
• Respect des exigences avant l’expiration du délai de mise en demeure.

• Procès-verbaux des contrôles sur place des 3 et 4 novembre 2014.
• Procès-verbal du contrôle en ligne du 11 mai 2015.
• Formulaire comportant une case unique pour trois informations distinctes.
• Profils permettant de renseigner d’autres données sensibles sans case dédiée.
• Nouvelle case dédiée présentée seulement en phase de test.
• Courriers et échanges précisant les exigences de la mise en demeure.

La société est sanctionnée pour ne pas avoir recueilli un consentement exprès conforme avant l’expiration du délai imparti. Les responsables de traitements doivent distinguer l’information et le consentement relatifs aux données sensibles de toute autre acceptation.

• Sanction pécuniaire de 20 000 euros pour la société.
• Publication de la délibération pendant un an avant anonymisation.
• Invalidité du consentement recueilli par case unique.
• Nécessité d’une case dédiée couvrant toutes les données sensibles.
• Absence d’effet exonératoire des pratiques des concurrents.

À faire

• Identifier toutes les catégories de données sensibles collectées.
• Informer distinctement sur leur caractère sensible.
• Prévoir une case à cocher dédiée.
• Recueillir une action positive avant le traitement.
• Contrôler la conformité avant l’échéance impartie.

À éviter

• Regrouper le consentement avec l’acceptation des conditions générales.
• Associer le consentement à la condition de majorité.
• Limiter la case à la seule orientation sexuelle.
• Assimiler le renseignement spontané à un consentement exprès.
• Se prévaloir des pratiques d’autres opérateurs.

Le consentement exprès aux données sensibles

Le consentement exigé par l’article 8 de la loi du 6 janvier 1978 doit être libre, informé et spécifique. Il suppose une action positive manifestant l’assentiment de la personne en connaissance du caractère sensible des données et des conséquences possibles de leur divulgation. Le renseignement spontané de données sensibles ne suffit pas.

La case à cocher dédiée au traitement

Une case à cocher dédiée, placée au moment de la collecte et accompagnée d’une information spécifique sur le caractère sensible des données, répond à l’exigence de consentement exprès. Une case unique regroupant majorité, acceptation des conditions générales et traitement de données sensibles dilue l’information et ne permet pas de recueillir un consentement valable.

La caractérisation du manquement à l’expiration du délai

Le manquement se cristallise à l’expiration du délai fixé par la mise en demeure, y compris lorsqu’il a été prorogé. Une case mise en phase de test après cette échéance est sans incidence. Les pratiques d’autres opérateurs ne peuvent exonérer le responsable de traitement de ses propres obligations.

Article 8 de la loi n° 78-17 du 6 janvier 1978, Articles 45 et suivants de la loi n° 78-17 du 6 janvier 1978