La carte de fidélité des Arcades

Aux Arcades, le centre commercial qui sert de fil rouge à cette série, la direction lance une carte de fidélité. Le formulaire d'adhésion est déjà imprimé, posé sur un comptoir à l'entrée de la galerie.

Nom, prénom, adresse email : le porteur les donne sans hésiter, c'est ce qu'il faut pour créer la carte et suivre ses points. Date de naissance, « pour vous offrir une remise le mois de votre anniversaire » : ça se discute encore. Profession et tranche de revenus, « pour mieux vous connaître » : là, le formulaire dérape.

Et tout en bas, une case déjà cochée, en petits caractères, qui autorise le centre à transmettre le fichier à ses enseignes partenaires.

Deux questions se posent, et elles ne se répondent pas l'une l'autre. La première : le centre a-t-il le droit de collecter ces données ? La seconde : même s'il en a le droit, s'y prend-il correctement ? Le règlement les traite dans deux articles distincts, l'article 6 et l'article 5, et répondre à l'une ne dispense pas de l'autre.

Avoir le droit de traiter et traiter correctement sont deux exigences cumulatives. Satisfaire la première ne dispense jamais de la seconde.

Deux questions, jamais une seule

L'article 6 du RGPD énumère six bases légales. Un traitement de données à caractère personnel doit reposer sur au moins l'une d'entre elles, sans quoi il est illicite, quelle que soit la qualité de sa mise en œuvre.

L'article 5, lui, pose sept principes qui encadrent la façon de traiter : ce qu'on collecte, pourquoi, combien de temps, avec quelle exactitude, quelle sécurité, et avec quelle capacité à le démontrer.

Article 6
Ai-je le droit de traiter ces données ?

Six bases légales. Une à retenir par finalité, avant la collecte. Sans base, le traitement est illicite, même parfaitement sécurisé.

Article 5
Est-ce que je le fais correctement ?

Sept principes sur la collecte, la durée, la qualité, la sécurité et la preuve. Ils s'appliquent quelle que soit la base retenue.

Entre les deux, un élément commande tout le reste : la finalité. Pourquoi ces données sont-elles collectées, en une phrase précise et vérifiable. La finalité détermine la base légale possible, et c'est elle qui sert d'étalon aux principes de l'article 5 : on ne peut juger qu'une collecte est excessive ou qu'une durée est trop longue qu'au regard d'un objectif annoncé.

Ce billet suppose le vocabulaire posé : ce qu'est une donnée à caractère personnel, ce qu'est un traitement, ce que change la pseudonymisation. Tout cela est traité dans le billet sur le vocabulaire du RGPD. Quant à la place du règlement parmi les autres cadres, obligation légale d'un côté, normes volontaires de l'autre, elle est traitée dans le billet sur la conformité.

La finalité est le pivot. Une finalité floue rend impossible le choix d'une base légale, et prive les sept principes de leur point de comparaison.

Les six bases légales de l'article 6

Le directeur des Arcades ne choisit pas sa base légale comme il choisit un fournisseur. Elle découle des faits : ce qu'il veut faire, avec qui, et dans quel cadre. Créer une carte que le client a demandée, conserver un justificatif comptable ou analyser la fréquentation de la galerie ne relèvent pas du même fondement.

Aucune des six bases n'est supérieure aux autres. Le consentement, souvent perçu comme la voie royale, est en réalité la plus contraignante à tenir dans la durée.

Base (art. 6(1)) Ce qu'elle couvre, exemple aux Arcades Le piège classique
a) Consentement Envoyer la lettre d'information du centre au porteur qui l'a demandée Il se retire à tout moment, et le traitement s'arrête avec lui
b) Exécution du contrat Gérer la carte, le compteur de points et les avantages associés Couvre le nécessaire au contrat, pas ce qui est simplement utile au commerce
c) Obligation légale Conserver les pièces comptables liées à un remboursement Suppose une obligation prévue par le droit, pas une politique interne
d) Intérêts vitaux Transmettre des éléments aux secours après un malaise dans la galerie Réservée à des situations exceptionnelles touchant la vie ou l'intégrité physique
e) Mission d'intérêt public Un traitement confié par la puissance publique, hors du cas des Arcades Le fondement doit figurer dans le droit de l'Union ou d'un État membre, art. 6(3)
f) Intérêt légitime Analyser des données de passage agrégées pour ajuster les horaires du centre Exige une mise en balance documentée, et reste fermée aux autorités publiques dans leurs missions

Le calendrier surprend souvent. La base légale se choisit avant le traitement, pas après. L'article 13 impose en effet d'indiquer à la personne, au moment de la collecte, les finalités poursuivies et la base juridique retenue. Une base annoncée ne se remplace donc pas discrètement en cours de route.

Les lignes directrices 05/2020 du Comité européen de la protection des données sont explicites sur ce point : lorsque le consentement se révèle invalide ou qu'il est retiré, le responsable ne peut pas basculer vers une autre base pour poursuivre le même traitement. Le rattrapage a posteriori n'existe pas.

Reste le cas où l'on veut réutiliser des données déjà collectées pour autre chose. L'article 6(4) prévoit alors un examen de compatibilité entre la finalité initiale et la nouvelle : lien entre les deux, contexte de la collecte, nature des données, conséquences pour la personne, garanties existantes comme le chiffrement ou la pseudonymisation. Rien d'automatique, et surtout pas un simple ajout de ligne dans une politique de confidentialité.

Une base légale se choisit avant la collecte et s'annonce à la personne. Ce n'est pas une justification qu'on va chercher le jour où l'autorité pose la question.

Le consentement, et ce qui n'en est pas un

Revenons à la case déjà cochée au bas du formulaire des Arcades. Elle concentre à peu près tout ce que le règlement refuse.

L'article 4(11) définit le consentement comme une manifestation de volonté libre, spécifique, éclairée et univoque, par laquelle la personne accepte le traitement par une déclaration ou par un acte positif clair. Quatre adjectifs, quatre conditions cumulatives. Le considérant 32 ajoute que le silence, les cases cochées par défaut et l'inactivité ne constituent pas un consentement.

L'article 7 complète la mécanique. Le responsable doit être en mesure de démontrer que le consentement a été donné. La demande doit être présentée sous une forme qui la distingue clairement des autres questions quand elle figure dans une déclaration écrite plus large. Le retrait, lui, s'exerce aussi simplement que le recueil. Et lorsque l'exécution d'un service est subordonnée à un consentement portant sur un traitement qui n'est pas nécessaire à ce service, il y a lieu de tenir le plus grand compte de cette conditionnalité pour apprécier la liberté du consentement.

Traduit en formulaires réels, cela donne une liste de contre-exemples assez reconnaissables.

Ce qu'on voit sur le formulaire Pourquoi ce n'est pas un consentement valide Le critère qui manque
Case pré-cochée « J'accepte de recevoir des offres » Aucun acte positif de la personne, considérant 32 Univoque
« La poursuite de la navigation vaut acceptation » Continuer à naviguer n'est ni une déclaration ni un acte positif clair Univoque
Consentement noyé dans des conditions générales acceptées d'un bloc L'art. 7(2) veut une demande nettement distincte des autres questions Spécifique, éclairé
Une seule case pour la carte, la prospection et la publicité ciblée Chaque finalité distincte appelle son propre consentement Spécifique
Service inaccessible sans accepter un traitement non nécessaire La conditionnalité visée à l'art. 7(4) pèse sur l'appréciation Libre
Retrait possible uniquement par courrier recommandé L'art. 7(3) veut un retrait aussi simple que le recueil Libre

Sur la case pré-cochée, la Cour de justice de l'Union européenne s'est prononcée dans l'affaire C-673/17, arrêt du 1er octobre 2019 : une case cochée par défaut ne vaut pas consentement valable pour le dépôt de traceurs sur le terminal d'un utilisateur.

Une dernière condition passe souvent inaperçue. Le considérant 43 écarte le consentement comme fondement valable lorsqu'il existe un déséquilibre manifeste entre la personne et le responsable de traitement, en particulier lorsque ce dernier est une autorité publique. Le Comité européen de la protection des données étend le raisonnement à la relation de travail, où le salarié est rarement en position de refuser librement.

Le consentement est la base la plus visible et la plus fragile. Il se prouve, il se retire, et il ne rattrape jamais un traitement qui n'aurait pas dû démarrer.

L'intérêt légitime et son test en trois volets

L'analyse de la fréquentation des Arcades ne repose sur aucun contrat avec les visiteurs, et demander leur consentement à l'entrée du parking n'a pas grand sens. C'est le terrain de l'article 6(1)(f), l'intérêt légitime.

Le texte le formule comme une balance : le traitement est licite s'il est nécessaire aux fins des intérêts légitimes poursuivis par le responsable ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée. C'est la seule base dont la validité dépend d'un arbitrage, et non d'un fait vérifiable.

La formulation de l'article se décompose en trois questions, prises dans cet ordre.

  1. L'intérêt est-il légitime ? Réel, présent, formulé précisément, et licite au regard du droit applicable. « Améliorer notre connaissance client » n'est pas un intérêt, c'est une intention.
  2. Le traitement est-il nécessaire ? Existe-t-il un moyen moins intrusif d'atteindre le même résultat, avec moins de données, à une maille agrégée, sur une durée plus courte ?
  3. La balance penche-t-elle du bon côté ? On compare l'intérêt poursuivi aux droits et libertés des personnes, en tenant compte de leurs attentes raisonnables au regard de leur relation avec le responsable, comme l'indique le considérant 47.

Ce même considérant précise que la prospection peut relever d'un intérêt légitime. Il n'en fait pas un blanc-seing : l'article 21(2) donne à toute personne un droit d'opposition absolu en matière de prospection, sans motif à fournir, et l'article 21(1) ouvre un droit d'opposition pour raisons tenant à la situation particulière dès qu'un traitement se fonde sur l'intérêt légitime.

Deux limites encadrent encore cette base. L'article 13(1)(d) impose d'indiquer à la personne quels intérêts légitimes sont poursuivis, ce qui interdit la formule creuse. Et le dernier alinéa de l'article 6(1) écarte l'intérêt légitime pour les traitements effectués par les autorités publiques dans l'exécution de leurs missions.

Le règlement ne prescrit pas de format pour ce raisonnement. L'article 5(2), en revanche, demande de pouvoir démontrer la conformité : un test conduit mais jamais écrit ne se démontre pas.

L'intérêt légitime n'est pas la case par défaut de ce qui n'entre nulle part ailleurs. C'est la seule base qui oblige à écrire un raisonnement et à en assumer publiquement le résultat.

Les sept principes de l'article 5

Supposons maintenant le formulaire des Arcades nettoyé, la base légale bien identifiée pour chaque finalité. Le centre peut encore violer le règlement, et il le fera probablement par la conservation ou par l'excès de collecte.

L'article 5 pose six principes au paragraphe 1, et un septième au paragraphe 2 qui commande tous les autres.

Principe (art. 5) La question qu'il pose Le manquement typique
Licéité, loyauté, transparence (1a) Le traitement a-t-il une base, et la personne le comprend-elle en termes clairs ? Une information dispersée, générique, ou une collecte que la personne ne pouvait pas anticiper
Limitation des finalités (1b) Pour quoi ces données ont-elles été collectées, et l'usage d'aujourd'hui est-il compatible ? Réutiliser un fichier de gestion de commandes pour de la publicité ciblée
Minimisation (1c) Chaque champ est-il adéquat, pertinent et limité au nécessaire ? Le champ « profession » demandé par confort statistique
Exactitude (1d) Les données sont-elles justes, et corrigées quand elles cessent de l'être ? Un impayé rattaché au mauvais homonyme, jamais rectifié
Limitation de la conservation (1e) Combien de temps, et à partir de quel événement le compteur démarre-t-il ? La base « historique » qu'on ne purge jamais, par précaution
Intégrité et confidentialité (1f) Qui peut lire ces données, et que se passe-t-il si elles fuient ? Un export complet du fichier accessible à toute l'entreprise
Responsabilité (2) Suis-je en mesure de démontrer tout ce qui précède ? Des pratiques correctes, aucune trace, donc rien à opposer lors d'un contrôle

Trois d'entre eux méritent un mot de plus.

La minimisation rattrape des traitements par ailleurs correctement fondés. Les Arcades ont le droit de gérer une carte de fidélité sur la base du contrat d'adhésion. Cela ne leur donne aucun titre pour collecter la tranche de revenus du porteur, parce que ce champ n'est pas nécessaire à la finalité annoncée.

La limitation de la conservation exige que la durée soit rattachée à la finalité, avec un point de départ explicite. La CNIL décrit un cycle de vie en trois temps : la base active, où la donnée sert au quotidien, l'archivage intermédiaire, où elle n'est plus consultée que pour un motif précis et avec des accès restreints, puis la suppression ou l'archivage définitif. Sans ce découpage, la durée devient infinie par défaut.

L'intégrité et la confidentialité renvoient aux mesures techniques et organisationnelles de l'article 32, qui est le point de contact direct entre le règlement et le reste de cette série. C'est le terrain du chiffrement, du contrôle d'accès et de la journalisation.

Reste la responsabilité de l'article 5(2), qui transforme les six autres en obligations démontrables. Le règlement fournit les outils correspondants : les mesures appropriées de l'article 24, la protection des données dès la conception et par défaut de l'article 25, le registre des traitements de l'article 30, la sécurité de l'article 32, l'analyse d'impact de l'article 35. Concrètement, cela ressemble à une fiche par traitement, tenue à jour et opposable.

# Fiche de traitement, programme de fidélité des Arcades
finalite_principale: "gérer les cartes, le compteur de points et les avantages"
base_legale: "art. 6(1)(b), exécution du contrat d'adhésion"
donnees_collectees: ["nom", "prénom", "email", "historique de points"]
conservation: "3 ans après la dernière activité du porteur, puis archivage"
finalite_secondaire:
  objet: "prospection par email sur les opérations du centre"
  base_legale: "art. 6(1)(a), consentement recueilli séparément"
  preuve: "horodatage, formulaire affiché, version du texte, canal de retrait"
  information_art_13: "finalité, base juridique, durée, droits, destinataires"

Le schéma ci-dessous résume l'enchaînement complet, de la finalité à la preuve.

flowchart TD FIN["1. La finalité
déterminée, explicite et légitime"] BAS{"2. Une base légale
de l'article 6 ?"} KO["Traitement illicite
quelle que soit la sécurité mise en place"] PRI["3. Les principes de l'article 5"] MIN["Minimisation
uniquement les données nécessaires"] DUR["Limitation de la conservation
une durée rattachée à la finalité"] TRA["Transparence
information des personnes, art. 13"] SEC["Intégrité et confidentialité
mesures de sécurité, art. 32"] ACC["4. Responsabilité, art. 5(2)
être en mesure de le démontrer"] FIN --> BAS BAS -->|non| KO BAS -->|oui| PRI PRI --> MIN PRI --> DUR PRI --> TRA PRI --> SEC MIN --> ACC DUR --> ACC TRA --> ACC SEC --> ACC classDef etape fill:#b5651d,stroke:#8a4d16,color:#f5f2ec classDef choix fill:#d89253,stroke:#8a4d16,color:#1a1a1a classDef refus fill:#a0413e,stroke:#8a4d16,color:#f5f2ec classDef princ fill:#ede9e1,stroke:#b5651d,color:#1a1a1a class FIN,PRI,ACC etape class BAS choix class KO refus class MIN,DUR,TRA,SEC princ
Une base légale impeccable ne sauve pas un traitement qui collecte trop, conserve indéfiniment, ou se révèle incapable de prouver quoi que ce soit.

CNIL contre Google : les deux moitiés dans une seule sanction

Une décision publiée montre mieux qu'un raisonnement théorique pourquoi les articles 5 et 6 se lisent ensemble.

Le 21 janvier 2019, la formation restreinte de la CNIL a prononcé une sanction pécuniaire de 50 millions d'euros à l'encontre de la société Google LLC, par la délibération n° SAN-2019-001. La procédure faisait suite à des plaintes collectives déposées en mai 2018 par deux associations, dès les premiers jours d'application du règlement. Les traitements examinés étaient ceux mis en œuvre lors de la configuration d'un compte au moment de la première utilisation d'un téléphone sous Android.

Deux manquements ont été retenus, et ils recouvrent exactement les deux moitiés de ce billet.

Le premier porte sur la transparence et l'information. La formation restreinte a relevé que les informations essentielles étaient dispersées dans plusieurs documents, accessibles seulement au terme de plusieurs actions successives, et que certaines mentions attendues, notamment sur les finalités et sur les durées de conservation, restaient trop générales au regard de l'ampleur des traitements concernés.

Le second porte sur l'absence de base légale valable pour la personnalisation de la publicité. Le consentement invoqué a été jugé insuffisamment éclairé, du fait de cette même information diluée, mais aussi non spécifique et non univoque : il était recueilli globalement pour un ensemble de traitements hétérogènes, et l'option relative à la publicité personnalisée était présentée sous une forme pré-cochée.

Le montant a été motivé notamment par la gravité des manquements, leur caractère continu à la date de la décision, l'ampleur des traitements en cause et le nombre de personnes concernées. La sanction a ensuite été confirmée par le Conseil d'État en 2020.

Le point remarquable, pour cette série, est ce que le dossier ne contient pas. Aucune intrusion, aucune fuite, aucun rançongiciel. La sanction porte sur la manière dont l'information était présentée et sur la manière dont le consentement était recueilli. Les deux questions du début, posées ensemble, et deux réponses insuffisantes.

La sanction la plus emblématique des débuts du RGPD ne sanctionne pas une faille de sécurité. Elle sanctionne un formulaire et une politique de confidentialité.

Points clés

  • L'article 6 répond à « ai-je le droit de traiter » avec six bases légales, l'article 5 répond à « est-ce que je le fais correctement » avec sept principes. Les deux se lisent ensemble.
  • La base légale se choisit avant la collecte, s'annonce à la personne au titre de l'article 13, et ne se remplace pas en cours de route pour rattraper un problème.
  • Le consentement doit être libre, spécifique, éclairé et univoque, se prouver et se retirer aussi simplement qu'il a été donné. Case pré-cochée, acceptation en bloc et accès conditionné le fragilisent.
  • L'intérêt légitime suppose un test en trois volets, intérêt réel, nécessité, mise en balance, et il reste fermé aux autorités publiques dans l'exécution de leurs missions.
  • La responsabilité de l'article 5(2) transforme le reste en obligations démontrables : sans registre, sans fiche de traitement et sans trace du consentement, il n'y a rien à opposer lors d'un contrôle.

Dans la série

Palier 3 : Tenir la galerie. Domaine : Protection des données.

Pour aller plus loin