Droit en Poche - RGPD : la protection des données à caractère personnel - 5e - 28

Si le consentement doit être recueilli dans le « cadre d'une déclaration
écrite qui concerne d'autres questions, la demande de consentement
est présentée sous une forme qui la distingue clairement de
ces autres questions » (art. 7, 2). Le consentement au traitement
des données doit ainsi être distinct de l'acceptation d'un contrat.
Le CEPD précise clairement dans ses lignes directrices que l'acceptation
de conditions générales ne saurait être considérée comme
un acte positif clair exprimant un consentement à un traitement de
données à caractère personnel.
La personne concernée a le droit de retirer son consentement
à tout moment et il doit être aussi simple de retirer son consentement
que de le donner (art. 7, 3).
Le consentement a-t-il une durée de validité ? Le CEPD ne
prévoit pas de durée de validité du consentement mais il recommande
de le renouveler à intervalle approprié.
Recueillir le consentement des personnes concernées ne
peut pas avoir pour effet de rendre licite un traitement
qui serait par ailleurs disproportionné. Ainsi, l'autorité de
protection des données suédoise a condamné le 20 août 2019 une
école pour avoir mis en place un traitement de reconnaissance faciale
afin de contrôler la présence des élèves en classe, et ce alors
même que ce traitement avait reçu le consentement des étudiants
et des parents (School in Skellefteå). La CNIL a également rappelé
ce principe dans le cadre du projet d'expérimentation de reconnaissance
faciale à l'entrée de certains lycées à Nice (lettre de la CNIL
du 25/10/2019). L'autorité roumaine de protection des données a
par ailleurs sanctionné un employeur pour surveillance excessive
de ses collaborateurs quand bien même il avait collecté leur consentement
à être filmé, cette surveillance étant étendue aux espaces de
pause (ANSPDCP - S.C. Tip Top Food Industry S.R.L, 15-04-2021).
Enfin, la CNIL a rappelé les règles relatives à la collecte d'un
consentement pour le compte de tiers dans le cadre d'une
sanction prononcée à l'égard d'EDF en novembre 2022. En l'espèce,
EDF avait eu recours à un courtier en données pour collecter
des données de personnes physiques afin de leur adresser des
messages de prospection commerciale. En l'occurrence, la CNIL
a considéré que les mesures mises en place par EDF pour s'assurer
que ces courtiers avait valablement recueillis le consentement
des personnes démarchées étaient insuffisantes. Elle a notamment
retenu qu'EDF n'avait pas été en mesure de lui communiquer la
liste des partenaires destinataires des données, liste sur laquelle
EDF devait figurer et qui devait être portée à la connaissance des
personnes concernées au moment du recueil de leur consentement
(délibération SAN-2022-021 du 24-11-2022).
26
Droit en Poche - RGPD : la protection des données à caractère personnel - 5e

Table des matières de la publication Droit en Poche - RGPD : la protection des données à caractère personnel - 5e
