Mauvaise information de l’utilisateur = sanction

Lorsqu’une personne utilise des services en ligne, son activité est associée à des identifiants en ligne (adresses IP, cookies…). Ces données personnelles peuvent servir aux divers professionnels qui les récoltent et les traitent à créer des profils et à identifier les personnes, notamment pour leur proposer des biens et des services adaptés à leurs besoins et envies.

Afin d’encadrer cette pratique, qui peut s’avérer particulièrement intrusive, tout professionnel doit informer clairement l’utilisateur du traitement de ses données personnelles, et recueillir son consentement à cette fin.

Le respect de ces obligations est contrôlé par la Commission nationale de l’informatique et des libertés (CNIL).

C’est dans ce cadre qu’elle vient de rappeler à l’ordre une société, propriétaire d’un moteur de recherche, qui traite les données personnelles des utilisateurs de ses applications dans le but de leur proposer des annonces publicitaires personnalisées.

Suite à la plainte de plusieurs associations de consommateurs, la CNIL a analysé la création d’un compte affilié au moteur de recherche dans le cadre d’un système d’exploitation déterminé, et constaté, à cette occasion, que le moteur de recherche ne respectait pas ses obligations en matière de protection des données personnelles.

D’abord, note la CNIL, la société ne fournit pas à l’utilisateur qui crée un compte une information suffisamment claire et lisible sur les finalités, les durées de conservation et l’étendue du traitement de ses données personnelles, qui s’avère par ailleurs particulièrement intrusif.

Les bribes d’informations qu’il délivre à ce sujet sont trop vagues pour que l’utilisateur comprenne l’ampleur du traitement réalisé, et leur contenu est éparpillé sur plusieurs pages difficiles d’accès, ce qui entrave considérablement leur lisibilité.

Ensuite, le consentement de l’utilisateur au traitement de ses données personnelles est recueilli par le remplissage d’une case déjà pré cochée : ce qui ne garantit pas, selon la CNIL, le caractère libre de l’assentiment donné par le consommateur, qui est donc invalide.

Deux points confirmés par le juge : parce que l’information relative au traitement des données personnelles n’est pas suffisamment claire et lisible lors de la création d’un compte affilié au moteur de recherche concerné, la société qui en est propriétaire doit être condamnée à une amende.

Source : Arrêt du Conseil d’Etat, 10ème et 9ème chambres réunies, du 19 juin 2020, n° 430810

Traitement des données personnelles : attention à l’information de l’utilisateur ! © Copyright WebLex – 2020