1.

La présente demande de décision préjudicielle, introduite par le Tribunalul Bucureşti (tribunal de grande instance de Bucarest, Roumanie), trouve son origine dans un litige opposant un fournisseur de services de télécommunications à une autorité nationale de protection des données au sujet des obligations qui incombent à ce fournisseur dans le cadre de négociations contractuelles avec un client lorsqu’il s’agit de collecter et de conserver une copie de carte d’identité.

2.

En l’occurrence, la Cour aura l’occasion de préciser davantage la notion de « consentement de la personne concernée », qui, en tant qu’élément central du droit de l’Union en matière de protection des données, est en fin de compte ancré dans le droit fondamental à la protection des données. À cet égard, la Cour devrait également se pencher sur la question de la charge de la preuve quant au point de savoir si la personne concernée a ou non donné son consentement.

Le cadre juridique

Le droit de l’Union

La directive 95/46/CE

3.

L’article 2, sous h), de la directive 95/46/CE  ( 2 ) prévoit que « [a]ux fins de la présente directive, on entend par […] “consentement de la personne concernée”, toute manifestation de volonté, libre, spécifique et informée par laquelle la personne concernée accepte que des données à caractère personnel la concernant fassent l’objet d’un traitement ».

4.

Le chapitre II de cette directive définit les conditions générales de licéité des traitements de données à caractère personnel.

5.

L’article 6 de ladite directive, portant sur les principes relatifs à la qualité des données  ( 3 ), est libellé de la manière suivante :

6.

L’article 7 de la même directive portant sur les principes relatifs à la légitimation des traitements de données  ( 4 ) dispose :

Le règlement (UE) 2016/679

7.

Conformément à l’article 4, point 11, du règlement (UE) 2016/679  ( 5 ), « aux fins du présent règlement, on entend par […] “consentement” de la personne concernée, toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ».

8.

L’article 6, paragraphe 1, sous a) et b), de ce règlement est rédigé dans les termes suivants :

9.

L’article 7, paragraphe 1, dudit règlement énonce que « [d]ans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant ».

Le droit roumain

10.

La legea nr. 677/2001 pentru protecţia persoanelor cu privire la prelucrarea datelor cu caracter personal şi libera circulaţie a acestor date (loi no 677/2001 sur la protection des personnes à l’égard du traitement des données à caractère personnel et la libre circulation de ces données, ci‑après la « loi no 677/2001 »)  ( 6 ) vise à transposer les dispositions de la directive 95/46 en droit national.

11.

L’article 32 de cette loi se lit comme suit :

Les faits, la procédure et les questions préjudicielles

12.

Orange România SA fournit des services de télécommunications mobiles sur le marché roumain, soit sous le régime du prépaiement  ( 7 ), soit au moyen de la conclusion d’un contrat de fourniture de services  ( 8 ).

13.

Le 28 mars 2018, l’Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (Autorité nationale de surveillance du traitement des données à caractère personnel, ci‑après l’« autorité nationale ») a, sur le fondement de l’article 32 de la loi no 677/2001, lu en combinaison avec l’article 8 de cette loi, dressé un procès-verbal comportant une sanction administrative à l’encontre d’Orange România pour avoir collecté et conservé des copies de titres d’identité de ses clients sans le consentement exprès de ces derniers.

14.

À cet égard, l’autorité nationale a relevé qu’Orange România avait conclu par écrit des contrats de fourniture de services de télécommunications mobiles avec des personnes physiques dans les locaux commerciaux et que les copies de leurs titres d’identité étaient annexées à ces contrats. Ces contrats consignent notamment le fait que les clients ont été informés et ont donné leur accord à la collecte et à la conservation (par Orange România) de ces copies et que l’existence du consentement des clients avait été établie par l’insertion de croix dans des cases figurant dans les clauses contractuelles.

15.

Les clauses pertinentes des contrats en question sont rédigées de la manière suivante :

16.

Selon l’autorité nationale, Orange România n’a pas apporté la preuve que les clients avaient eu un choix informé quant à la collecte et à la conservation des copies de leurs titres d’identité.

17.

Orange România a introduit un recours devant la juridiction de renvoi pour contester l’amende du 28 mars 2018.

18.

Selon les constatations de la juridiction de renvoi, il existe, d’une part, des contrats dans lesquels le choix librement exprimé par le client en ce qui concerne la conservation d’une copie de son titre d’identité est indiqué par l’insertion d’une croix dans une case et, d’autre part, des cas de figure opposés, dans lesquels les clients ont refusé d’exprimer un tel accord. Il ressortirait des « procédures internes » de vente d’Orange România que, dans ces cas de figure, cette dernière a introduit les mentions nécessaires au regard du refus du client concernant la conservation d’une copie du titre d’identité en complétant un formulaire spécifique en ce sens et a ensuite procédé à la conclusion du contrat. Ainsi, malgré les indications figurant dans ses règles générales de vente, Orange România n’aurait pas refusé de conclure des contrats d’abonnement avec des clients, même lorsque ceux‑ci ont refusé de consentir à la conservation de la copie de leur carte d’identité.

19.

La juridiction de renvoi considère que, dans ces circonstances, il est particulièrement important que la Cour se prononce sur les critères permettant de déterminer si un consentement est « spécifique » et « informé » ainsi que, le cas échéant, sur la valeur probante de la signature de contrats tels que ceux en cause dans l’affaire au principal.

20.

Dans ces conditions, le Tribunalul Bucureşti (tribunal de grande instance de Bucarest) a, par ordonnance du 14 novembre 2018, parvenue à la Cour le 29 janvier 2019, déféré les questions suivantes à titre préjudiciel :

21.

Des observations écrites ont été déposées par les parties au principal, par les gouvernements roumain, italien, autrichien et portugais, ainsi que par la Commission européenne. Orange România, le gouvernement roumain et la Commission étaient représentés à l’audience qui s’est tenue le 11 décembre 2019.

Appréciation

22.

Dans la présente affaire, la Cour est invitée à préciser les conditions dans lesquelles le consentement au traitement de données à caractère personnel peut être considéré comme valable.

Remarques liminaires

Sur les instruments juridiques applicables

23.

Le règlement 2016/679, qui est applicable depuis le 25 mai 2018  ( 9 ), a abrogé la directive 95/46 avec effet à cette même date  ( 10 ).

24.

La décision de l’autorité nationale en cause au principal a été adoptée le 28 mars 2018, date qui précède celle de l’entrée en vigueur du règlement 2016/679. Toutefois, l’autorité nationale a non seulement infligé une amende à Orange România, mais a également exigé de celle‑ci qu’elle détruise les copies des titres d’identité en cause. Le litige au principal porte également sur cette injonction. Celle-ci produit ses effets pour l’avenir, raison pour laquelle ce règlement semble applicable ratione temporis.

25.

Partant, il y a lieu de répondre à la question posée en tenant compte à la fois de la directive 95/46 et du règlement 2016/679  ( 11 ). En outre, ce dernier devra être pris en compte dans l’analyse des dispositions de la directive 95/46  ( 12 ).

La délimitation de la portée des questions préjudicielles

26.

Les deux questions posées par la juridiction de renvoi sont formulées de manière trop générale et abstraite et doivent être adaptées de manière à les rattacher aux faits de l’affaire au principal, afin de guider la juridiction de renvoi et d’apporter une réponse utile aux questions. Pour ce faire, il me semble indispensable de rappeler brièvement les faits du litige au principal tels qu’ils résultent de la décision de renvoi et des indications fournies par les parties au litige, notamment lors de l’audience devant la Cour.

27.

L’Autorité nationale a sanctionné Orange România pour avoir collecté et conservé des copies de titres d’identité de ses clients sans le consentement de ceux‑ci. Elle a constaté que cette société avait conclu des contrats de fourniture de services de télécommunications mobiles et que les copies des titres d’identité y étaient annexées. Ces contrats auraient stipulé que les clients avaient été informés et avaient donné leur consentement à la collecte et à la conservation de ces copies, comme en témoignerait l’insertion de croix dans des cases figurant dans les clauses contractuelles. Or, selon les constatations de l’autorité nationale, Orange România n’a pas apporté la preuve que, au moment de la conclusion des contrats, les clients concernés avaient un choix informé quant à la collecte et à la conservation de ces copies.

28.

Lorsqu’un représentant d’Orange România porte à la connaissance d’une personne désireuse d’entrer dans une relation contractuelle avec cette société les stipulations d’un contrat spécifique, il utilise, généralement sur ordinateur, un modèle de contrat contenant une case à cocher relative à la conservation d’une copie de titre d’identité. Le client semble informé que cette case ne doit pas nécessairement être cochée. Si le client ne consent pas à la collecte et à la conservation de la copie de son titre d’identité, il doit le signaler, sur le contrat et en écriture manuscrite. Cette dernière obligation d’écriture manuscrite semble résulter des règles internes de vente d’Orange România. Le client est également informé de la possibilité d’opposer un refus, mais seulement oralement et non par écrit.

29.

Dans ce contexte, je comprends que, par ses deux questions qu’il convient d’examiner ensemble, la juridiction de renvoi cherche à savoir si la personne concernée qui entend nouer une relation contractuelle relative à la fourniture de services de télécommunications avec une entreprise donne à celle‑ci son consentement « spécifique et informé » et « librement exprimé » au sens de l’article 2, sous h), de la directive 95/46 et de l’article 4, point 11, du règlement 2016/679 dès lors qu’elle doit indiquer, par écrit, dans un contrat par ailleurs standardisé, qu’elle refuse de consentir à la collecte et à la conservation de la copie de ses titres d’identité.

30.

À cet égard, la juridiction de renvoi semble devoir être éclairée sur la charge et le niveau de la preuve incombant à cette entreprise.

Le consentement comme condition préalable au traitement des données à caractère personnel

31.

La présente affaire concerne le traitement de données à caractère personnel lors de la conclusion d’un contrat de fourniture de services de télécommunications.

32.

Tout traitement de données à caractère personnel doit, d’une part, être conforme  ( 13 ) aux principes relatifs à la qualité des données énoncés à l’article 6 de la directive 95/46 ou à l’article 5 du règlement 2016/679 et, d’autre part, répondre à l’un des principes relatifs à la légitimation des traitements de données énumérés à l’article 7 de cette directive ou à l’article 6 de ce règlement  ( 14 ). Comme le souligne la Commission, les six principes énoncés à l’article 7 de la directive 95/46 sont en fait l’expression d’un principe plus large, établi à l’article 6, paragraphe 1, sous a), de cette directive, qui prévoit que les données à caractère personnel doivent être traitées loyalement et licitement.

33.

L’article 7 de la directive 95/46 établit une liste exhaustive des cas dans lesquels le traitement de données à caractère personnel peut être considéré comme licite  ( 15 ). Le traitement des données à caractère personnel ne peut avoir lieu que si au moins un des six principes relatifs à la légitimation du traitement des données s’applique. L’existence du consentement indubitable de la personne concernée constitue l’un de ces principes.

Sur la notion de « consentement »

34.

Le consentement de la personne concernée est, quant à lui, défini à l’article 2, sous h), de la directive 95/46 comme toute manifestation de volonté, libre, spécifique et informée par laquelle la personne concernée accepte que des données à caractère personnel la concernant fassent l’objet d’un traitement.

35.

Cette formulation correspond en grande partie  ( 16 ) à celle de l’article 4, point 11, du règlement 2016/679, selon lequel, par le consentement de la personne concernée, on entend toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement  ( 17 ).

36.

L’exigence du consentement de la personne concernée est une caractéristique essentielle du droit de l’Union en matière de protection des données  ( 18 ). Elle figure dans la charte des droits fondamentaux de l’Union européenne dont l’article 8 énonce que les données doivent être traitées loyalement, à des fins déterminées et sur la base du consentement de la personne concernée ou en vertu d’un autre fondement légitime prévu par la loi. Dans un contexte plus large, la notion de « consentement » permet à la personne concernée de décider elle‑même de la légitimité des restrictions apportées à son droit à la protection des données à caractère personnel  ( 19 ).

37.

Le principe directeur à la base du droit de l’Union en matière de protection des données est celui d’une décision autodéterminée d’un individu capable de faire des choix quant à l’utilisation et au traitement de ses données  ( 20 ). C’est l’exigence du consentement qui lui permet d’opérer ce choix et qui le protège par ailleurs dans des situations par nature asymétriques  ( 21 ). Ce n’est que lorsque le consentement est libre, spécifique et informé qu’il satisfait aux exigences de la directive 95/46 et du règlement 2016/679.

38.

Il convient, à ce stade, de formuler trois brèves remarques supplémentaires en ce qui concerne la différence qui semble exister dans la formulation de ces dispositions.

39.

Premièrement, l’article 4, point 11, du règlement 2016/679, contrairement à l’article 2, sous h), de la directive 95/46, fait référence à une manifestation « univoque ». Je dirais que la raison en est assez simple : l’article 7, sous a), de cette directive portant sur les principes de légitimation du traitement des données, évoqués précédemment, requiert que la personne concernée donne son consentement « indubitablement », tandis que la disposition correspondante du règlement 2016/679 – article 6, paragraphe 1, sous a) – ne contient pas cette précision. En d’autres termes, cette exigence d’une manifestation univoque a tout simplement été déplacée dans la disposition plus générale du règlement 2016/679.

40.

Deuxièmement, l’article 4, point 11, du règlement 2016/679 précise que la personne concernée se manifeste « par une déclaration ou par un acte positif clair ». En effet, cette précision est nouvelle dans ledit règlement et ne se reflète pas sémantiquement dans la directive 95/46.

41.

Troisièmement, en ce qui concerne le caractère « informé » du consentement de la personne concernée, la version française de la directive 95/46 diffère de celle du règlement 2016/679. Alors que l’article 2, sous h), de cette directive fait référence à une « manifestation de volonté […] informée », l’article 4, point 11, de ce règlement évoque une « manifestation de volonté […] éclairée ».

42.

Je dirais que ce changement de libellé prête plus à confusion qu’il ne nous éclaire, car, pour autant que je puisse en juger, la version française est la seule ou, à tout le moins, l’une des très rares versions linguistiques à opérer cette distinction. Un certain nombre de versions linguistiques, parmi lesquelles, incidemment, les autres langues latines, utilisent tout simplement, à cet égard, les termes qui sont exactement les mêmes  ( 22 ), tandis que d’autres versions linguistiques peuvent légèrement diverger sur ce point, mais restent en deçà de la différence de la version française  ( 23 ).

43.

Je reviendrai ci‑après sur la notion de consentement « informé ».

Consentement libre

44.

L’exigence d’une « manifestation » de volonté de la personne concernée évoque clairement un comportement non pas passif mais actif  ( 24 ) et implique que la personne concernée jouisse d’un degré élevé d’autonomie lorsqu’elle choisit ou non de donner son consentement  ( 25 ). En ce qui concerne le cas particulier d’une loterie en ligne sur un site Internet, la Cour a jugé qu’un consentement donné au moyen d’une case cochée par défaut n’impliquait pas un comportement actif de la part de l’utilisateur du site Internet  ( 26 ).

45.

Je soutiens qu’une telle conclusion est également valable lorsque l’on recourt au raisonnement par analogie : le consentement sous la forme d’une case cochée par défaut ne saurait impliquer un consentement actif de la part de la personne ayant affaire à un document physique qu’elle signe finalement. En effet, dans ce dernier cas de figure, on ne sait pas si ce texte rédigé à l’avance a été lu et assimilé. La situation n’est pas exempte de doutes. Le texte peut ou non avoir été lu. Le « lecteur » peut avoir omis de le faire par pure négligence, ce qui rend impossible de déterminer clairement si le consentement a été donné librement  ( 27 ).

Consentement informé

46.

Il ne doit y avoir le moindre doute que la personne concernée a été suffisamment informée  ( 28 ).

47.

La personne concernée doit être informée de toutes les circonstances entourant le traitement des données et ses conséquences. Elle doit notamment avoir connaissance du type de données à traiter, de la durée et des modalités de ce traitement ainsi que de la finalité spécifique qu’il poursuit. Elle doit également connaître celui qui traite les données et savoir si les données ont pour but d’être communiquées à des tiers. Il est essentiel qu’elle soit informée des conséquences d’un refus de consentement : le consentement au traitement des données est‑il ou non une condition de la conclusion du contrat  ( 29 ) ?

La charge de la preuve

48.

Cela nous amène à nous interroger sur la personne à laquelle il incombe de démontrer que la personne concernée était en mesure de donner son consentement sur la base des critères qui viennent d’être établis.

49.

L’article 7, paragraphe 1, du règlement 2016/679 est clair et ne laisse aucune place au doute : lorsque le traitement repose sur le consentement, il appartient au responsable du traitement de démontrer que la personne concernée a consenti au traitement de ses données  ( 30 ). Cette disposition est l’expression du principe de responsabilité, consacré à l’article 5, paragraphe 2, de ce règlement. Je soutiendrais que la finalité de cette disposition implique une interprétation large en ce sens que le responsable du traitement doit non seulement prouver que la personne concernée a donné son consentement, mais doit également démontrer que toutes les conditions de validité sont réunies  ( 31 ).

50.

Certains auteurs remettent en cause le fait que l’article 7, paragraphe 1, du règlement 2016/679 traite de la charge de la preuve, en rappelant la genèse législative de ce règlement  ( 32 ). Ils affirment que, si la Commission et le Parlement ont tous deux proposé une formulation faisant explicitement référence à la « charge de la preuve », cette formulation ne se reflète pas dans le texte adopté ni, par conséquent, dans le droit en vigueur.

51.

Cette affirmation appelle une analyse plus poussée.

52.

En effet, la proposition initiale de la Commission  ( 33 ) fait référence à la « charge de la preuve » qui incombe au responsable du traitement. Dans le même ordre d’idées, le Parlement européen n’a pas contesté cette formulation en première lecture  ( 34 ). C’est le Conseil de l’Union européenne  ( 35 ) qui a remplacé l’expression « charge de la preuve » par les termes « est en mesure de démontrer » en ce qui concerne le responsable du traitement. Le texte final a ensuite été adopté sous cette forme.

53.

Je n’accorderai pas une trop grande importance à ce changement de formulation  ( 36 ). Dans aucun considérant de sa position, le Conseil n’a exposé les raisons du changement de libellé proposé  ( 37 ). Cela donne à penser que cette institution a simplement cherché à modifier le libellé de la disposition en question, sans en changer le sens. Dans cette optique, les termes « est en mesure de démontrer » décrivent en fait de manière plus accessible ce que l’on entend par « charge de la preuve »  ( 38 ).

54.

Nous pouvons donc présumer avec certitude que l’article 7, paragraphe 1, du règlement 2016/679 fait peser la charge de la preuve du consentement de la personne concernée par le traitement des données à caractère personnel sur le responsable du traitement  ( 39 ). Le moindre doute concernant le consentement de la personne concernée doit être éliminé par des preuves à fournir par le responsable du traitement  ( 40 ). La charge de prouver que la personne concernée a été en mesure de donner son consentement libre, spécifique et informé incombe entièrement à l’entité qui effectue le traitement.

55.

La situation juridique visée par la directive 95/46 n’est pas différente à cet égard.

56.

Même si la directive 95/46 ne contenait pas de disposition distincte comparable à l’article 7 du règlement 2016/679 sur les conditions du consentement, on pouvait y retrouver la plupart des conditions énoncées dans cette disposition. Bien que la règle de la charge de la preuve ne soit pas expressément prévue dans cette directive, elle découle au moins indirectement de sa formulation  ( 41 ) selon laquelle « la personne concernée a indubitablement donné son consentement »  ( 42 ).

Sur la situation d’Orange România

57.

À présent, je souhaiterais appliquer les critères exposés précédemment à la présente affaire.

58.

À titre liminaire, je tiens à préciser que la question de savoir si Orange România peut ou non exiger de ses clients qu’ils consentent à la collecte et à la conservation de copies de leurs titres d’identité ne relève pas de la présente affaire étant donné que, pour cette entreprise, il ne s’agit pas d’une condition préalable à la conclusion de contrat. En d’autres termes, la présente affaire ne porte pas sur l’interprétation de l’article 7, sous b), de la directive 95/46 et de l’article 6, paragraphe 1, sous b), du règlement 2016/679. Cela dit, il me semble légitime qu’une entreprise demande à ses clients de fournir certaines données à caractère personnel et notamment de prouver leur identité aux fins de la conclusion du contrat. Toutefois, exiger d’un client qu’il consente à la collecte et à la conservation de copies de ses titres d’identité semble aller au-delà de ce qui est nécessaire à l’exécution du contrat.

59.

Sur la base des informations dont je dispose, il me semble que les clients d’Orange România ne donnent pas leur consentement libre, spécifique et informé dans les circonstances décrites par la juridiction de renvoi.

60.

Premièrement, il n’y a pas de consentement librement exprimé. Obliger un client à déclarer par écrit qu’il ne consent pas à la collecte et à la conservation de la copie de sa carte d’identité ne permet pas de donner un consentement libre en ce sens que le client est placé dans une situation dans laquelle il s’écarte manifestement d’une procédure normale qui conduit à la conclusion du contrat. Les clients ne doivent pas, à cet égard, avoir le sentiment que leur refus de consentir à la collecte et à la conservation de copies de leurs titres d’identité n’est pas conforme aux procédures habituelles. Je tiens à rappeler, sur ce point, que la Cour a mis l’accent sur un comportement actif de la part de la personne concernée en vue de manifester son consentement  ( 43 ). Une action positive de la personne concernée est donc requise pour donner son consentement. Or, c’est la situation inverse qui semble se produire dans le présent cas : une action positive est nécessaire pour refuser le consentement. Pour en revenir une fois de plus à l’arrêt Planet49  ( 44 ), si le fait de décocher une case cochée par défaut sur un site Internet est considéré comme une charge trop lourde pour un client, on ne peut a fortiori raisonnablement attendre de celui‑ci qu’il refuse de donner son consentement sous forme manuscrite.

61.

Deuxièmement, il n’y a pas de consentement informé. Il n’est pas clairement indiqué au client que le refus à la collecte et à la conservation de la copie de sa carte d’identité ne rend pas impossible la conclusion du contrat. Le client n’opère pas son choix de manière éclairée s’il n’a pas connaissance des conséquences de son refus.

62.

Troisièmement – et seulement à titre hypothétique –, rien n’indique qu’Orange România ait réussi à démontrer que ses clients avaient consenti au traitement de leurs données personnelles. À cet égard, un manque évident de clarté dans les procédures internes ne facilite certainement pas la preuve que le consentement a été donné par le client. Ce manque de clarté et les instructions contradictoires données au personnel de vente ne peuvent évidemment pas se faire au détriment du client, en l’occurrence la personne concernée.

Conclusion

63.

Eu égard à l’ensemble des considérations qui précèdent, je propose à la Cour de répondre comme suit aux questions posées par le Tribunalul Bucureşti (tribunal de grande instance de Bucarest, Roumanie) :