La collecte des données sensibles appliquée aux sites de rencontres

Le 24 juin 2015, la Commission Nationale Informatique et Libertés (ci-après CNIL) a mis en demeure huit sociétés gérant des sites de rencontres pour non respect de la réglementation relative à la collecte de données à caractère personnel, suite à des contrôles effectués auprès de 13 sites parmi lesquels « Meetic », « Attractive World », « Adopte un mec », « Easyflirt », « Rencontre obèse », « Destidyll », « Forcegay », « Mektoube », « Jdream », « Feujworld », « Marmite love », « Gauche rencontre », « Celibest ».

Cette actualité nous donne, d’abord, l’occasion de rappeler aux acteurs du commerce électronique qu’outre le fait que la collecte de données à caractère personnel doive faire l’objet d’une déclaration auprès de la CNIL par le responsable du traitement, le choix de la déclaration à effectuer dépend de l’organisme qui met en œuvre le fichier ou le traitement, de la finalité de ce fichier ou de ce traitement et des données personnelles utilisées.

Par ailleurs, parmi les données à caractère personnel utilisées, il existe une sous-distinction liée aux données sensibles.

Sont dites sensibles celles qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l’appartenance syndicale des personnes, ou sont relatives à la santé ou à la vie sexuelle de celles-ci.

La collecte et le traitement de ces données sensibles sont, par principe, interdits (article 8 de la loi du 6 janvier 1978).

Cependant, dans la mesure où la finalité du traitement l’exige, les traitements pour lesquels la personne concernée a donné son consentement exprès et les traitements justifiés par un intérêt public après autorisation de la CNIL ou décret en Conseil d’Etat ne sont pas soumis à cette interdiction.

C’est de cette exception qu’entendent profiter les sites de rencontres qui collectent ce type de données afin, notamment, de proposer à leurs utilisateurs les profils qu’ils recherchent ou auxquels ils s’identifient le plus.

Par cette série de mises en demeure, la CNIL a notamment précisé aux sites internet du secteur que le terme « consentement exprès de la personne concernée » associé à l’exception dont ils pourraient se prévaloir implique qu’il n’existe aucune ambiguïté quant au fait que l’utilisateur a eu conscience, en souscrivant à leurs plateformes, de la sensibilité de la donnée qu’il a dévoilée.

Le consentement ne peut donc être exprès que s’il est donné en toute connaissance de cause, c’est-à-dire après la délivrance par le site de rencontres d’une information adéquate sur l’usage qui sera fait des données personnelles de l’utilisateur.

Dès lors, le seul fait d’indiquer les données sensibles dans un champ prévu à cet effet ou par le biais d’un menu déroulant ne pourra être considéré comme un consentement exprès au sens de la loi informatique et libertés du 6 janvier 1978.

La CNIL conseille donc aux sites de rencontres d’utiliser une case à cocher indiquant, à titre d’exemple, que :

« Les informations relatives à vos convictions politiques, croyances et pratiques religieuses, orientations et pratiques sexuelles, collectées pour l’inscription à ce site de rencontres, constituent des informations sensibles. J’accepte que ces données soient traitées par le site XXX ».

 Ces recommandations d’ordre général ont vocation à être transposées à tous les opérateurs du commerce électronique collectant des données sensibles.

Pour rappel, en application des articles 226-19 et 226-24 du code pénal combinés, le fait pour une personne morale de collecter des données sensibles sans l’accord exprès des intéressés est puni d’une peine d’amende pouvant atteindre 1.500.000 euros.