Orange Romania SA v Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP).

• Jurisdiction: European Union
• Date: 11 November 2020
• Court: Court of Justice (European Union)

ARRÊT DE LA COUR (deuxième chambre)

11 novembre 2020 ( *1 )

« Renvoi préjudiciel – Directive 95/46/CE – Article 2, sous h), et article 7, sous a) – Règlement (UE) 2016/679 – Article 4, point 11, et article 6, paragraphe 1, sous a) – Traitement des données à caractère personnel et protection de la vie privée – Collecte et conservation des copies de titres d’identité par un fournisseur de services de télécommunications mobiles – Notion de “consentement” de la personne concernée – Manifestation de volonté libre, spécifique et informée – Déclaration de consentement au moyen d’une case à cocher – Signature du contrat par la personne concernée – Charge de la preuve »

Dans l’affaire C‑61/19,

ayant pour objet une demande de décision préjudicielle au titre de l’article 267 TFUE, introduite par le Tribunalul Bucureşti (tribunal de grande instance de Bucarest, Roumanie), par décision du 14 novembre 2018, parvenue à la Cour le 29 janvier 2019, dans la procédure

Orange România SA

contre

Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP),

LA COUR (deuxième chambre),

composée de M. A. Arabadjiev, président de chambre, MM. T. von Danwitz (rapporteur) et P. G. Xuereb, juges,

avocat général : M. M. Szpunar,

greffier : M. D. Dittert, chef d’unité,

vu la procédure écrite et à la suite de l’audience du 11 décembre 2019,

considérant les observations présentées :

– pour Orange România SA, par Mes D.-D. Dascălu, A.-M. Iordache et I. Buga, avocaţi,

– pour l’Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), par Mmes A. G. Opre et I. Ilie, en qualité d’agents,

– pour le gouvernement roumain, initialement par Mmes E. Gane, O.-C. Ichim et L. Liţu ainsi que par M. C.-R. Canţăr, puis par Mmes E. Gane, O.-C. Ichim et L. Liţu, en qualité d’agents,

– pour le gouvernement italien, par Mme G. Palmieri, en qualité d’agent, assistée de M. Russo, avvocato dello Stato,

– pour le gouvernement autrichien, initialement par Mme J. Schmoll et M. G. Hesse, puis par Mme J. Schmoll, en qualité d’agents,

– pour le gouvernement portugais, par M. L. Inez Fernandes ainsi que par Mmes P. Barros da Costa, L. Medeiros et I. Oliveira, en qualité d’agents,

– pour la Commission européenne, par MM. H. Kranenborg et D. Nardi ainsi que par Mme L. Nicolae, en qualité d’agents,

ayant entendu l’avocat général en ses conclusions à l’audience du 4 mars 2020,

rend le présent

Arrêt

1 La demande de décision préjudicielle porte sur l’interprétation de l’article 2, sous h), de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31), ainsi que de l’article 4, point 11, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1).

2 Cette demande a été introduite dans le cadre d’un litige opposant Orange România SA à l’Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) (Autorité nationale de surveillance du traitement des données à caractère personnel, Roumanie), au sujet d’un recours tendant à l’annulation d’une décision par laquelle cette dernière a infligé à Orange România une amende pour avoir collecté et conservé des copies de titres d’identité de ses clients sans leur consentement valable et lui a imposé de détruire ces copies.

Le cadre juridique

Le droit de l’Union

La directive 95/46

3 Le considérant 38 de la directive 95/46 énonce que « le traitement loyal des données suppose que les personnes concernées puissent connaître l’existence des traitements et bénéficier, lorsque des données sont collectées auprès d’elles, d’une information effective et complète au regard des circonstances de cette collecte ».

4 L’article 2, sous h), de cette directive prévoit que, aux fins de celle-ci, on entend par : « “consentement de la personne concernée” : toute manifestation de volonté, libre, spécifique et informée par laquelle la personne concernée accepte que des données à caractère personnel la concernant fassent l’objet d’un traitement. »

5 L’article 6 de ladite directive dispose : « 1. Les États membres prévoient que les données à caractère personnel doivent être : a) traitées loyalement et licitement ; [...] 2. Il incombe au responsable du traitement d’assurer le respect du paragraphe 1. »

6 Aux termes de l’article 7, sous a), de la même directive : « Les États membres prévoient que le traitement de données à caractère personnel ne peut être effectué que si : a) la personne concernée a indubitablement donné son consentement [...] »

7 L’article 10 de cette directive est ainsi libellé : « Les États membres prévoient que le responsable du traitement ou son représentant doit fournir à la personne auprès de laquelle il collecte des données la concernant au moins les informations énumérées ci–dessous, sauf si la personne en est déjà informée : a) l’identité du responsable du traitement et, le cas échéant, de son représentant ; b) les finalités du traitement auquel les données sont destinées ; c) toute information supplémentaire telle que : – les destinataires ou les catégories de destinataires des données, – le fait de savoir si la réponse aux questions est obligatoire ou facultative ainsi que les conséquences éventuelles d’un défaut de réponse, – l’existence d’un droit d’accès aux données la concernant et de rectification de ces données, dans la mesure où, compte tenu des circonstances particulières dans lesquelles les données sont collectées, ces informations supplémentaires sont nécessaires pour assurer à l’égard de la personne concernée un traitement loyal des données. »

Le règlement 2016/679

8 Les considérants 32 et 42 du règlement 2016/679 énoncent : « (32) Le consentement devrait être donné par un acte positif clair par lequel la personne concernée manifeste de façon libre, spécifique, éclairée et univoque son accord au traitement des données à caractère personnel la concernant, par exemple au moyen d’une déclaration écrite, y compris par voie électronique, ou d’une déclaration orale. Cela pourrait se faire notamment en cochant une case lors de la consultation d’un site internet, en optant pour certains paramètres techniques pour des services de la société de l’information ou au moyen d’une autre déclaration ou d’un autre comportement indiquant clairement dans ce contexte que la personne concernée accepte le traitement proposé de ses données à caractère personnel. Il ne saurait dès lors y avoir de consentement en cas de silence, de cases cochées par défaut ou d’inactivité. Le consentement donné devrait valoir pour toutes les activités de traitement ayant la ou les mêmes finalités. Lorsque le traitement a plusieurs finalités, le consentement devrait être donné pour l’ensemble d’entre elles. Si le consentement de la personne concernée est donné à la suite d’une demande introduite par voie électronique, cette demande doit être claire et concise et ne doit pas inutilement perturber l’utilisation du service pour lequel il est accordé. [...] (42) Lorsque le traitement est fondé sur le consentement de la personne concernée, le responsable du traitement devrait être en mesure de prouver que ladite personne a consenti à l’opération de traitement. En particulier, dans le cadre d’une déclaration écrite relative à une autre question, des garanties devraient exister afin de garantir que la personne concernée est consciente du consentement donné et de sa portée. Conformément à la directive 93/13/CEE du Conseil [du 5 avril 1993, concernant les clauses abusives dans les contrats conclus avec les consommateurs (JO 1993, L 95, p. 29)], une déclaration de consentement rédigée préalablement par le responsable du traitement devrait être fournie sous une forme compréhensible et aisément accessible, et formulée en des termes clairs et simples, et elle ne devrait contenir aucune clause abusive. Pour que le consentement soit éclairé, la personne concernée devrait connaître au moins l’identité du responsable du traitement et les finalités du traitement auquel sont destinées les données à caractère personnel. Le consentement ne devrait pas être considéré comme ayant été donné librement si la personne concernée ne dispose pas d’une véritable liberté de choix ou n’est pas en mesure de refuser ou de retirer son consentement sans subir de préjudice. »

9 L’article 4, point 11, dudit règlement prévoit : « “consentement” de la personne concernée, toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ».

10 L’article 5 du même règlement dispose : « 1. Les données à caractère personnel doivent être : a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) ; [...] 2. Le responsable du traitement est responsable...