La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l’économie et des finances d’une demande d’avis concernant un projet de décret relatif à la confidentialité des correspondances électroniques ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu l’article L. 32-3-IV du Code des postes et des communications électroniques ;
Vu loi n° 2016-1321 du 7 octobre 2016 pour une République numérique ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 11-4-a) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. François PELLEGRINI, commissaire, en son rapport, et Mme
Nacima BELKACEM
, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
La Commission nationale de l’informatique et des libertés a été saisie pour avis d’un projet de décret relatif à la confidentialité des correspondances électroniques privées précisant le délai de périodicité du recueil du consentement prévu à l’article L. 32-3-IV du Code des postes et des communications électroniques (CPCE), modifié par l’article 68 loi pour une République numérique promulguée le 7 octobre 2016.
Le ministère de l’économie et des finances fait application de la procédure prévue au a) du 4° de l’article 11 de la loi du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés qui dispose que la CNIL est consultée sur tout projet de loi ou de décret ou toute disposition de projet de loi ou de décret relatifs à la protection des données à caractère personnel ou au traitement de telles données.
Les articles L. 32-3-I et L. 32-3-II du CPCE prévoient que les opérateurs et les fournisseurs de services de communication au public en ligne sont tenus au secret des correspondances, ce qui recouvre le contenu de la correspondance, l’identité des correspondants ainsi que, le cas échéant, l’intitulé du message et les documents joints à la correspondance.
Sous réserve d’obtenir le consentement des personnes concernées, l’article L. 32-3-IV du CPCE prévoit la possibilité de lever le secret des correspondances dans trois cas de traitements automatisés d’analyse : à des fins publicitaires, statistiques ou d’amélioration du service apporté à l’utilisateur. L’article précité précise que le consentement de l'utilisateur, qui doit être exprès et spécifique à chaque traitement, est recueilli à une périodicité fixée par voie réglementaire, qui ne peut être supérieure à un an. Les modifications ainsi apportées au CPCE complètent les mesures transposant la directive 2002/58/CE modifiée concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques ) et plus particulièrement son article 5.1.
Si la périodicité susvisée n’appelle pas de remarque particulière, la Commission s’interroge toutefois sur les modalités pratiques de recueil du consentement de l’utilisateur, sur l’effectivité de ce recueil et sur les
conséquences qui en résultent pour l'exercice des droits et libertés mentionnés à l'article 1er
En premier lieu, la Commission rappelle que l’article 11-2 de la loi du 6 janvier 1978 dispose que la CNIL
veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi
notamment pour s’assurer de la licéité de la collecte des données personnelles, de la limitation des finalités de traitements autorisés et du recueil du consentement des personnes concernées. À cet égard, la CNIL accueille favorablement les modifications de l’article L. 32-3 du CPCE issues de l’article 68 de la loi pour une République numérique, dans la mesure où les dispositions précitées lui permettent de vérifier que les conditions de licéité des traitements de données à caractère personnel visés par l’article L. 32-3 du CPCE sont réunies, à savoir que le consentement de la personne concernée est valablement recueilli.
En deuxième lieu, la Commission rappelle que la notion de correspondance privée implique

Par ailleurs, la Commission rappelle la définition du consentement telle que prévue par la directive 95/46/CE du 24 octobre 1995, et par le règlement européen 2016/679 du 27 avril 2016. Au terme du h du 2° de l’article 2 de la directive de 1995, le consentement est défini comme
toute manifestation de volonté, libre, spécifique et informée par laquelle la personne concernée accepte que des données à caractère personnel la concernant fassent l'objet d'un traitement
par une déclaration ou par un acte positif clair
Dès lors, le projet de décret appelle les remarques suivantes.
Un consentement informé et spécifique
L’article L. 32-3-IV du Code des postes et des communications électroniques que le consentement de la personne concernée doit être
spécifique à chaque traitement
La Commission rappelle que le consentement ne pourrait être considéré comme spécifique et fourni en connaissance de cause que si une information claire et complète est délivrée à la personne concernée. Cela nécessite en particulier que cette dernière soit préalablement informée, non seulement de la réalisation d’un traitement d’analyse de ses correspondances, mais aussi de ses finalités, de la durée de conservation des données collectées, de leurs destinataires, des droits dont elle dispose et des moyens pour les exercer. La personne concernée doit par ailleurs être mise en mesure de consentir spécifiquement à chaque finalité. Par exemple, l’acceptation du traitement à des fins d’analyse statistique doit être distincte de celle donnée pour le traitement répondant à une finalité publicitaire. Le consentement ne peut pas non plus résulter de l’acceptation globale des conditions générales d’utilisation (ou CGU) des services fournis par les fournisseurs de service de communication au public en ligne.
Un consentement exprès
Le projet de décret soulève également des problématiques quant aux modalités de recueil du consentement, notamment en ce qui concerne sa forme ( exprès ) et la périodicité de ce recueil.
La Commission rappelle que le caractère exprès du consentement signifie qu’il doit résulter d’un acte positif, explicite et univoque de la part de la personne concernée. En d’autres termes, le consentement de la personne concernée ne peut résulter de son silence ou de son inaction une fois cette dernière informée de la réalisation d’un ou de plusieurs traitements de données à caractère personnel la concernant. Par exemple, le consentement ne peut être considéré comme exprès s’il est exprimé par une case pré-cochée.
Sur la périodicité de recueil du consentement, la Commission estime que ce renouvellement ne saurait être automatique et implicite au regard des conditions de licéité du consentement préalablement exposées. Dès lors, le consentement doit résulter d’une nouvelle notification adressée par le responsable du traitement à la personne concernée pour l’informer de nouveau quant à l’étendue et au périmètre du traitement, lorsque le délai périodique de recueil arrive à échéance. Pour simplifier le renouvellement du consentement, la Commission estime qu’il pourrait être bénéfique, à la fois pour les responsable de traitement et les personnes concernées, de prévoir un délai de prévenance , sous réserve qu’il permette de répondre aux conditions de licéité du consentement.
Un consentement libre, préalable et révocable
La Commission rappelle que le consentement ne peut être contraint et que son obtention ne peut conditionner l’accès à l’espace de correspondance privée ou plus généralement au service proposé par le responsable du traitement.
Par ailleurs, dans la perspective du règlement européen 2016/679 du 27 avril 2016 (article 7-3), la CNIL rappelle que la personne concernée doit pouvoir retirer à tout moment son consentement. Ce retrait ne saurait alors se manifester par une interruption du service de correspondance mais par l’arrêt du traitement, qu’il s’agisse d’une analyse à des fins statistiques, d’amélioration du service ou à des fins publicitaires.
Enfin, le projet de décret prévoit que, pour les traitements déjà réalisés au moment de sa publication, le consentement devra être recueilli au plus tard six mois après ladite publication. Or, si la CNIL rappelle que le consentement doit être recueilli préalablement à la réalisation du traitement, elle admet qu’un délai transitoire soit accordé aux responsables de traitement pour la mise en place technique des nouvelles obligations relevant du présent décret et relatives au recueil du consentement..
La Présidente
I. FALQUE-PIERROTIN