Vous installez un logiciel gratuit. Vous cliquez rapidement sur les interminables conditions générales d'utilisation, sans les lire. Peu après, des fenêtres publicitaires polluent votre écran, la page d’accueil de votre navigateur a d’ailleurs été modifiée, etc. Une récente décision du Conseil d’État apporte d'importantes précisions face à ce genre de situation.

La société TUTO4PC propose des logiciels gratuits. Lorsque l’utilisateur accepte en un clic leurs conditions générales d’utilisation ou de fonctionnement, les surprises s’enchaînent :

1. Installation du moteur de recherche de la société sur le système de l'utilisateur
2. Envoi de publicités récurrentes, adaptées en fonction du suivi de ses connexions
3. Cession de données personnelles à des tiers

En 2011, de pareilles joyeusetés avaient fait hurler le blogueur Seb Sauvage, accusant la société de « carotter l'ordinateur des internautes avec des spywares et piller leur vie privée pour gagner de l'argent » (notre actualité). Illico, cette noble société lui adressait une sèche mise en demeure via cabinet d’avocats, histoire de défendre sa belle réputation contre ces viles diffamations.

Cependant, l’utilisateur des logiciels TUTO4PC n’a-t-il pas donné son plein accord préalable ? En acceptant les conditions générales d’utilisation, ne peut-il pas s’en prendre finalement qu’à lui-même ? Pas si sûr ! La CNIL avait en effet quelque peu tiqué sur ce mode opératoire. Après un double contrôle au siège de la société en mai et août 2012, elle la mettait en demeure en octobre de la même année de :

1. « Recueillir le consentement spécifique des personnes physiques concernées avant de traiter leurs coordonnées à des fins de prospection directe électronique »
2. « Cesser d'inscrire ou de lire des informations dans l'équipement terminal de communications électroniques d'un internaute sans avoir obtenu préalablement l'accord de celui-ci »
3. « Cesser de collecter et de traiter des données à caractère personnel (ex. : des adresses IP et des identifiants uniques) à l'insu des personnes concernées et de manière déloyale » 

Consentement sur toutes les CGU et validation des adwares ?

De telles restrictions, touchant l'une des artères de ses activités, ont évidemment contrarié TUTO4PC. En mai 2013, elle a demandé l’annulation de cette procédure devant le Conseil d’État, ciblant notamment ce fameux « consentement explicite » qu’elle aurait à exiger des utilisateurs. Et on le comprend : il est tellement plus confortable de prévoir l’installation de ces logiciels publicitaires en les noyant dans l’océan des conditions générales, que seuls quelques illuminés prennent le temps de lire !

Mais l'estomac de TUTO4PC n'a pas été accessible à la raison du Conseil d’État. Le 11 mars dernier, la haute juridiction administrative a jugé que « le consentement spécifique exigé par les dispositions de l'article L. 34 - 5 du Code des postes et communications électroniques (CPCE) ne peut résulter que du consentement exprès de l'utilisateur, donné en toute connaissance de cause et après une information adéquate sur l'usage qui sera fait de ses données personnelles ».

En clair ? Cet article du CPCE interdit la prospection directe sur les systèmes « utilisant les coordonnées d'une personne physique, abonné ou utilisateur, qui n'a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen ». Surtout, le texte définit ce fameux consentement par « toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à fin de prospection directe ».

Un consentement sur les CGU ne vaut pas consentement spécifique

Le mot important à se tatouer sur la rétine est « consentement spécifique », puisque selon l’analyse du juge administratif, un consentement donné pour l’ensemble des CGU « ne saurait être regardé comme valant consentement spécifique ». Le Conseil a rejetté du coup cette requête contre la décision de la CNIL.

Les sociétés de ce genre seraient donc bien inspirées de décrocher un tel consentement pour chaque traitement. C’est en tout cas l’analyse faite par une juriste, dans un billet publié sur Juriscom.net commentant cette décision : « Cet arrêt souligne bien que les trois caractéristiques du consentement (libre, spécifique et informé) sont cumulatives et que, si une information relative aux finalités du traitement est bien le préalable à toute manifestation de volonté, elle ne permet pas, à elle seule, de conférer au consentement un caractère spécifique, donc de s’assurer de sa validité, commente l’avocate Anita Delaage. La collecte d’un consentement distinct pour chaque finalité, par exemple au moyen de plusieurs cases à cocher, doit donc être privilégiée par les entreprises souhaitant faire de la prospection commerciale via email. »