L'information, le consentement et l'exercice des droits des personnes.
Au moment de la collecte des données, la personne concernée est informée de l'identité du responsable du traitement, des finalités du traitement, du caractère obligatoire ou facultatif des réponses à apporter, des conséquences éventuelles, à leur égard, d'un défaut de réponse, des destinataires des données, de l'existence et des modalités d'exercice de ses droits d'accès, de rectification et d'opposition au traitement de ses données. La commission rappelle que, lorsque les données sont recueillies par voie de questionnaires, ceux-ci doivent porter mention des prescriptions figurant aux 1°, 2°, 3° et 6° de l'article 32. Cette disposition vise les questionnaires au sens large et, notamment, les formulaires à compléter sur un site web.
Lorsque les données à caractère personnel n'ont pas été recueillies directement auprès des personnes concernées, les modalités d'information des personnes sont prévues par les dispositions de l'article 32-III de la loi.
Il doit également être prévu :
a) Le recueil du consentement exprès et spécifique de la personne concernée, dans les cas suivants :
- la prospection réalisée au moyen des dispositifs visés par l'article L. 34-5 du code des postes et des communications électroniques (système automatisé de communications électroniques au sens de l'article L. 32 du CPCE - SMS, MMS, automate d'appel, Bluetooth, etc. - télécopieur et courrier électronique). Toutefois, dans les conditions visées par l'article L. 34-5 du CPCE, le recueil du consentement n'est pas requis lorsque le courrier électronique concerne des produits ou services analogues ;
- la cession à des partenaires des adresses électroniques ou des numéros de téléphone utilisés à des fins de prospection directe au moyen des dispositifs précités visés par l'article L. 34-5 du CPCE ;
- la collecte ou la cession des données susceptibles de faire apparaître directement ou indirectement les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l'appartenance syndicale des personnes ou qui sont relatives à la vie sexuelle de celle-ci (par exemple, eu égard au type de documentation demandé, à la nature du produit acheté, du service ou de l'abonnement souscrit) ;
b) La possibilité de permettre à la personne concernée de s'opposer de manière simple et dénuée d'ambiguïté, au moment de la collecte de ses données (article 96 du décret du 20 octobre 2005 modifié), dans les cas suivants :
- la prospection par voie postale ou téléphonique avec intervention humaine ;
- la prospection directe réalisée au moyen d'un courrier électronique pour un produit ou service analogue, conformément aux dispositions de l'article L. 34-5 du CPCE ;
- la prospection entre professionnels (sauf en cas d'utilisation d'une adresse générique) lorsque l'objet du message est en rapport avec l'activité du professionnel ;
- la cession d'adresse postale et de numéros de téléphone utilisés à des fins de prospection avec intervention humaine ;
- la cession à des partenaires de données relatives à l'identité (à l'exclusion du code interne de traitement permettant l'identification du client) ainsi que les informations relatives à la situation familiale, économique et financière visées à l'article 3 (d), dès lors que les organismes destinataires s'engagent à ne les exploiter que pour s'adresser directement aux intéressés, pour des finalités exclusivement commerciales.
Les consommateurs qui ne souhaitent pas faire l'objet de prospection commerciale par voie téléphonique peuvent s'inscrire gratuitement sur la liste d'opposition au démarchage téléphonique prévue par les articles L. 223-1 et suivants du code de la consommation. Il est notamment interdit à un professionnel, directement ou par l'intermédiaire d'un tiers agissant pour son compte, de démarcher téléphoniquement un consommateur inscrit sur la liste d'opposition, sauf en cas de relations contractuelles préexistantes. La location ou la vente de fichiers contenant des données téléphoniques et comportant les coordonnées d'un ou de plusieurs consommateurs inscrits sur la liste est également interdite.
Le contrôle du respect de ces obligations est assuré par les services de la direction générale de la concurrence, de la consommation et de la répression des fraudes du ministère de l'économie, de l'industrie et du numérique.
Le consentement visé au a est une manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées pour certaines finalités. L'acceptation des conditions générales d'utilisation n'est donc pas une modalité suffisante du recueil du consentement des personnes. Une action positive et spécifique de l'utilisateur est requise (par exemple, une case à cocher dédiée, non précochée).
La participation à un jeu-concours ou une loterie ne peut être conditionnée à la réception de prospection directe de la part du responsable de traitement ou de ses partenaires, de même que l'achat d'un bien, le bénéfice d'une réduction ou la fourniture d'un service.
Dans le cas d'une collecte via un formulaire, le droit d'opposition ou le recueil du consentement préalable doit pouvoir s'exprimer par un moyen simple et spécifique, tel qu'une case à cocher. Les mentions d'information et les modes d'expression de l'opposition ou du recueil du consentement doivent être lisibles, en langage clair et figurer sur les formulaires de collecte.
Lorsque la collecte des données intervient par voie orale, l'intéressé est mis en mesure d'exercer son droit d'opposition ou de donner son consentement avant la collecte de ses données.
Après la collecte des données :
- la personne concernée a le droit de s'opposer, sans frais, à ce que ses données soient utilisées à des fins de prospection, notamment commerciale, par le responsable actuel du traitement ou celui d'un traitement ultérieur. Cette opposition peut intervenir à tout moment et n'a pas à être motivée ;
- les messages adressés à des fins de prospection directe, au moyen de dispositifs visés par l'article L. 34-5 du CPCE, doivent mentionner des coordonnées permettant de demander à ne plus recevoir de telles sollicitations.
Le responsable du traitement auprès duquel le droit d'opposition a été exercé informe sans délai de cette opposition tout autre responsable de traitement qu'il a rendu destinataire des données à caractère personnel qui font l'objet de l'opposition.
Conformément à l'article 39 de la loi, toute personne peut demander au responsable de traitement la communication, sous une forme accessible, des données à caractère personnel la concernant ainsi que toute information quant à l'origine de celles-ci. Le droit de rectification s'exerce dans les conditions prévues à l'article 40 de la loi.