Opinion of Advocate General Szpunar in Orange Romania

• Jurisdiction: European Union
• ECLI: ECLI:EU:C:2020:158
• Date: 04 March 2020
• Celex Number: 62019CC0061
• Court: Court of Justice (European Union)

Édition provisoire

CONCLUSIONS DE L’AVOCAT GÉNÉRAL

M. MACIEJ SZPUNAR

présentées le 4 mars 2020(1)

Affaire C‑61/19

Orange România SA

contre

Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP)

[Demande de décision préjudicielle introduite par le Tribunalul Bucureşti (tribunal de grande instance de Bucarest, Roumanie)]

« Renvoi préjudiciel – Directive 95/46/CE – Règlement (UE) 2016/679 – Protection des personnes à l’égard du traitement des données à caractère personnel et la libre circulation de ces données – Services de télécommunications mobiles – Notion de consentement de la personne concernée – Manifestation de volonté spécifique et informée – Déclaration de consentement par le biais d’une case à cocher – Charge de la preuve »

1. La présente demande de décision préjudicielle, introduite par le Tribunalul Bucureşti (tribunal de grande instance de Bucarest, Roumanie), trouve son origine dans un litige opposant un fournisseur de services de télécommunications à une autorité nationale de protection des données au sujet des obligations qui incombent à ce fournisseur dans le cadre de négociations contractuelles avec un client lorsqu’il s’agit de collecter et de conserver une copie de carte d’identité.

2. En l’occurrence, la Cour aura l’occasion de préciser davantage la notion de « consentement » de la personne concernée, qui, en tant qu’élément central du droit de l’Union en matière de protection des données, est en fin de compte ancré dans le droit fondamental à la protection des données. À cet égard, la Cour devrait également se pencher sur la question de la charge de la preuve quant au point de savoir si la personne concernée a ou non donné son consentement.

Le cadre juridique

Le droit de l’Union

La directive 95/46/CE

3. L’article 2, sous h), de la directive 95/46/CE (2) prévoit que, aux fins de la présente directive, « on entend par “consentement de la personne concernée”, toute manifestation de volonté, libre, spécifique et informée par laquelle la personne concernée accepte que des données à caractère personnel la concernant fassent l’objet d’un traitement ».

4. Le chapitre II de cette directive définit les conditions générales de licéité des traitements de données à caractère personnel.

5. L’article 6 de ladite directive, portant sur les « principes relatifs à la qualité des données » (3), est libellé de la manière suivante :

« 1. Les États membres prévoient que les données à caractère personnel doivent être :

a) traitées loyalement et licitement ;

b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement de manière incompatible avec ces finalités. Un traitement ultérieur à des fins historiques, statistiques ou scientifiques n’est pas réputé incompatible pour autant que les États membres prévoient des garanties appropriées ;

c) adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement ;

[…]

2. Il incombe au responsable du traitement d’assurer le respect du paragraphe 1. »

6. L’article 7 de la même directive porte sur les « principes relatifs à la légitimation des traitements de données » (4). D’après cette disposition, « [l]es États membres prévoient que le traitement de données à caractère personnel ne peut être effectué que si :

a) la personne concernée a indubitablement donné son consentement

ou

b) il est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle‑ci ;

[…] »

Le règlement (UE) 2016/679

7. Conformément à l’article 4, point 11, du règlement (UE) 2016/679 (5), aux fins du présent règlement, « on entend par “consentement” de la personne concernée, toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ».

8. L’article 6, paragraphe 1, sous a) et b), de ce règlement est rédigé dans les termes suivants :

« Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :

a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;

b) le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle‑ci. »

9. L’article 7, paragraphe 1, dudit règlement énonce que « [d]ans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant ».

Le droit roumain

10. La legea nr. 677/2001 pentru protecţia persoanelor cu privire la prelucrarea datelor cu caracter personal şi libera circulaţie a acestor date (loi nº 677/2001 sur la protection des personnes à l’égard du traitement des données à caractère personnel et la libre circulation de ces données) (ci‑après la « loi 677/2001 ») (6) vise à transposer les dispositions de la directive 95/46 en droit national.

11. L’article 32 de cette loi se lit comme suit :

« Le traitement de données à caractère personnel effectué par un responsable de traitement ou par une personne habilitée par ce dernier en violation des article 4 à 10 ou en méconnaissance des droits prévus aux article 12 à 15 ou à l’article 17, constitue une infraction administrative, si elle n’est pas commise dans des conditions constitutives d’une infraction pénale, et est punie d’une amende de [1 000] RON à [25 000] RON. »

Les faits, la procédure et les questions préjudicielles

12. Orange România SA fournit des services de télécommunications mobiles sur le marché roumain, soit sous le régime du prépaiement (7), soit au moyen de la conclusion d’un contrat de fourniture de service (8).

13. Le 28 mars 2018, l’Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (Autorité nationale de surveillance du traitement des données à caractère personnel) (ci‑après l’« Autorité nationale ») a, sur le fondement de l’article 32 de la loi 677/2001, lu en combinaison avec l’article 8 de cette loi, dressé un procès-verbal comportant une sanction administrative à l’encontre d’Orange România pour avoir collecté et conservé des copies de titres d’identité de ses clients sans le consentement exprès de ces derniers.

14. À cet égard, l’Autorité nationale a relevé qu’Orange România avait conclu par écrit des contrats de fourniture de services de télécommunications mobiles avec des personnes physiques dans les locaux commerciaux et que les copies de leurs titres d’identité étaient annexées à ces contrats. Ces contrats consignent notamment le fait que les clients ont été informés et ont donné leur accord à la collecte et à la conservation (par Orange România) de ces copies et que l’existence du consentement des clients avait été établie par l’insertion de croix dans des cases figurant dans les clauses contractuelles.

15. Les clauses pertinentes des contrats en question sont rédigées de la manière suivante :

« Le client déclare ce qui suit :

i) il a été informé avant la conclusion du contrat du plan tarifaire choisi, des tarifs applicables, de la durée minimale du contrat, des conditions dans lesquelles celui‑ci prend fin, des conditions d’accès aux services et d’utilisation de ceux‑ci, y compris en ce qui concerne les zones de couverture des services, conformément aux dispositions de l’article 11 de la décision ANCOM [Autorité nationale de gestion et de régulation des communications] nº 158/2015 et aux dispositions de l’ordonnance gouvernementale d’urgence nº 34/2014, et du droit de résiliation unilatérale qui peut être exercé conformément à l’article 1.17 des conditions générales pour l’utilisation des services d’Orange ;

ii) Orange România a mis à la disposition du client toutes les informations nécessaires pour qu’il puisse exprimer un consentement non vicié, exprès, libre et spécifique en ce qui concerne la conclusion du contrat et l’engagement exprès afférent à celui‑ci, y compris l’ensemble de la documentation contractuelle – les conditions générales pour l’utilisation des services d’Orange et la brochure sur les tarifs et services ;

iii) il a été informé et a donné son consentement en ce qui concerne :

le traitement des données à caractère personnel aux fins prévues à l’article 1.15 des conditions générales pour l’utilisation des services d’Orange ;

la conservation [par Orange] de copies des actes contenant des données à caractère personnel à des fins d’identification ;

l’accord pour le traitement de données à caractère personnel (numéro de contact, courrier électronique) à des fins de marketing direct ;

l’accord pour le traitement de données à caractère personnel (numéro de contact, courrier électronique) aux fins de la réalisation d’études de marché ;

après lecture, je donne mon accord exprès à la conservation de copies des actes contenant des données à caractère personnel sur l’état de santé ;

ne pas inclure les données mentionnées à l’article 1.15, paragraphe 10, des conditions générales pour l’utilisation des services d’Orange dans les services d’information sur les abonnés et les annuaires. »

16. Selon l’Autorité nationale, Orange România n’a pas apporté la preuve que les clients avaient eu un choix informé quant à la collecte et à la conservation des copies de leurs titres d’identité.

17. Orange România a introduit un recours devant la juridiction de renvoi pour contester l’amende du 28 mars 2018.

18. Selon les constatations de la juridiction de renvoi, il existe, d’une part, des contrats dans lesquels le choix librement exprimé par le client en ce qui concerne la conservation d’une copie de son...