Le nouveau règlement données personnelles, applicable le 25 mai 2018, renforce considérablement le droit d’opposition justement en incitant le responsable du traitement à arrêter le traitement sans attendre de confirmation sur le bien fondé d’un “motif légitime”.
Et cela ne semble pas avoir été relevé jusqu’à maintenant, alors pourtant que la nouvelle disposition a potentiellement un impact important sur les procédures de gestion de nombreux processus informatiques impliquant des données personnelles, sur le web ou ailleurs.
Analyse.

Un droit d’opposition affaibli

L’article 38 de la loi 78-17 du 6 janvier 1978 dispose que :

Toute personne physique a le droit de s’opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l’objet d’un traitement.
Elle a le droit de s’opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment commerciale, par le responsable actuel du traitement ou celui d’un traitement ultérieur.
Les dispositions du premier alinéa ne s’appliquent pas lorsque le traitement répond à une obligation légale ou lorsque l’application de ces dispositions a été écartée par une disposition expresse de l’acte autorisant le traitement.

Une personne peut donc s’opposer en principe au traitement de ses données, hors des cas d’utilisation dans le cadre de fichiers gouvernementaux ou assimilés.
Elle doit toutefois présenter des motifs légitimes ou, a minima, démontrer en quoi ses données sont utilisées par le responsable du traitement à des fins de prospection commerciale, ce qui lui donne alors dans ce cas et de plein droit un « motif légitime ».

Le responsable du traitement reste donc fondé à ne pas obtempérer immédiatement s’il estime que les motifs de l’opposant sont insuffisants, et à attendre l’issue d’une discussion judiciaire, qui peut paraître bien longue, avant de se décider.

L’article 14 de la Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, reprend le même principe, en prévoyant que :

Les États membres reconnaissent à la personne concernée le droit :

a) au moins dans les cas visés à l’article 7 points e) et f), de s’opposer à tout moment, pour des raisons prépondérantes et légitimes tenant à sa situation particulière, à ce que des données la concernant fassent l’objet d’un traitement, sauf en cas de disposition contraire du droit national. En cas d’opposition justifiée, le traitement mis en oeuvre par le responsable du traitement ne peut plus porter sur ces données ;

b) de s’opposer, sur demande et gratuitement, au traitement des données à caractère personnel la concernant envisagé par le responsable du traitement à des fins de prospection
ou
d’être informée avant que des données à caractère personnel ne soient pour la première fois communiquées à des tiers ou utilisées pour le compte de tiers à des fins de prospection et de se voir expressément offrir le droit de s’opposer, gratuitement, à ladite communication ou utilisation.
Les États membres prennent les mesures nécessaires pour garantir que les personnes concernées ont connaissance de l’existence du droit visé au point b) premier alinéa.

En vertu de ces textes, toujours en vigueur, et indépendamment d’une jurisprudence plutôt accueillante en ce qui concerne les motifs invoqués par l’opposant, celui-ci est tenu de justifier la légitimité de ses motifs, ou de démontrer que le traitement incriminé poursuit bien un objectif de prospection commerciale.
Ces textes prévoient donc une sorte de légitimité pour un responsable de traitement à discuter les arguments de l’opposant préalablement à l’arrêt du traitement demandé par ce dernier.

Dans le même sens la loi Informatique et Libertés, tout en posant pourtant le principe d’un consentement préalable de la personne au traitement de ses données personnelles, dans son article 7, point 5°, laisse toujours cette possibilité, pour le responsable d’un traitement, de s’appuyer finalement sur sa seule conception de la légitimité pour s’abstenir d’obtenir le consentement préalable de la personne.

Article 7

Un traitement de données à caractère personnel doit avoir reçu le consentement de la personne concernée ou satisfaire à l’une des conditions suivantes  :
1° Le respect d’une obligation légale incombant au responsable du traitement ;
2° La sauvegarde de la vie de la personne concernée ;
3° L’exécution d’une mission de service public dont est investi le responsable ou le destinataire du traitement ;
4° L’exécution, soit d’un contrat auquel la personne concernée est partie, soit de mesures précontractuelles prises à la demande de celle-ci ;
5° La réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le destinataire, sous réserve de ne pas méconnaître l’intérêt ou les droits et libertés fondamentaux de la personne concernée.

Un droit d’opposition renforcé

Les articles 18§1 d) et 21§1 du règlement (UE) 2016/679 du Parlement européen et du conseil du 27 avril 2016 - applicable le 25 mai 2018 - relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données - reprend les mêmes principes mais en renforçant le droit d’opposition.

En ce qui concerne le consentement préalable, le règlement prévoit bien toujours la faculté pour le responsable du traitement de s’appuyer sur ce qu’il pense être des motifs légitimes pour s’abstenir d’obtenir un consentement préalable au traitement.

Article 6 paragraphe 1 :

1. Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :

a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;
b) le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci ;
c) le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis ;
d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne physique ;
e) le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ;
f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant.

Le point f) du premier alinéa ne s’applique pas au traitement effectué par les autorités publiques dans l’exécution de leurs missions.

L’innovation révolution

L’innovation apportée par le règlement réside en ce que, en cas d’exercice du droit d’opposition par une personne, le responsable du traitement devra en principe immédiatement faire droit à la demande, - sauf à ce qu’il « démontre » des motifs « légitimes et impérieux ».
La charge de la preuve pèsera donc sur lui.

Dans ce contexte le responsable du traitement engagera donc sa responsabilité si, refusant d’obtempérer rapidement, il échouait à faire la démonstration d’un motif à la fois « légitime » et « impérieux ».

Il est donc incité à faire droit sans délai à l’opposition et à discuter ensuite les « motifs légitimes », et non à faire l’inverse, comme c’est le cas sous le régime actuel.

C’est le sens des dispositions (en gras) qui suivent : (la « limitation » s’entendant, selon le règlement, du « marquage de données à caractère personnel conservées, en vue de limiter leur traitement futur ») :

Article 18

Droit à la limitation du traitement.

1. La personne concernée a le droit d’obtenir du responsable du traitement la limitation du traitement lorsque l’un des éléments suivants s’applique :
a) l’exactitude des données à caractère personnel est contestée par la personne concernée, pendant une durée permettant au responsable du traitement de vérifier l’exactitude des données à caractère personnel ;
b) le traitement est illicite et la personne concernée s’oppose à leur effacement et exige à la place la limitation de leur utilisation ;
c) le responsable du traitement n’a plus besoin des données à caractère personnel aux fins du traitement mais celles-ci sont encore nécessaires à la personne concernée pour la constatation, l’exercice ou la défense de droits en justice ;
d) la personne concernée s’est opposée au traitement en vertu de l’article 21, paragraphe 1, pendant la vérification portant sur le point de savoir si les motifs légitimes poursuivis par le responsable du traitement prévalent sur ceux de la personne concernée.
2. Lorsque le traitement a été limité en vertu du paragraphe 1, ces données à caractère personnel ne peuvent, à l’exception de la conservation, être traitées qu’avec le consentement de la personne concernée, ou pour la constatation, l’exercice ou la défense de droits en justice, ou pour la protection des droits d’une autre personne physique ou morale, ou encore pour des motifs importants d’intérêt public de l’Union ou d’un État membre.
3. Une personne concernée qui a obtenu la limitation du traitement en vertu du paragraphe 1 est informée par le responsable du traitement avant que la limitation du traitement ne soit levée.

Article 21

Droit d’opposition.

1. La personne concernée a le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant fondé sur l’article 6, paragraphe 1, point e) ou f), y compris un profilage fondé sur ces dispositions. Le responsable du traitement ne traite plus les données à caractère personnel, à moins qu’il ne démontre qu’il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l’exercice ou la défense de droits en justice.
2. Lorsque les données à caractère personnel sont traitées à des fins de prospection, la personne concernée a le droit de s’opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection, y compris au profilage dans la mesure où il est lié à une telle prospection.
3. Lorsque la personne concernée s’oppose au traitement à des fins de prospection, les données à caractère personnel ne sont plus traitées à ces fins.
4. Au plus tard au moment de la première communication avec la personne concernée, le droit visé aux paragraphes 1 et 2 est explicitement porté à l’attention de la personne concernée et est présenté clairement et séparément de toute autre information.
5. Dans le cadre de l’utilisation de services de la société de l’information, et nonobstant la directive 2002/58/CE, la personne concernée peut exercer son droit d’opposition à l’aide de procédés automatisés utilisant des spécifications techniques.
6. Lorsque des données à caractère personnel sont traitées à des fins de recherche scientifique ou historique ou à des fins statistiques en application de l’article 89, paragraphe 1, la personne concernée a le droit de s’opposer, pour des raisons tenant à sa situation particulière, au traitement de données à caractère personnel la concernant, à moins que le traitement ne soit nécessaire à l’exécution d’une mission d’intérêt public.

Le règlement crée donc une responsabilité nouvelle pour le responsable du traitement qui est tenu de faire droit à une opposition sans attendre, sauf à ce qu’il démontre des motifs légitimes et impérieux pour ne pas le faire..

Et cette démonstration peut être longue en particulier dans le cadre d’un procès, d’un débat en justice.

Dans ce cas le responsable, en application du nouveau règlement, ne sera plus fondé à attendre l’issue du procès avant de satisfaire la demande d’arrêt de traitement qui lui serait opposée.

Et s’il n’obtempérait pas sans délai l’opposant pourrait donc rechercher en urgence une mesure judiciaire d’interdiction, dans l’attente de l’issue du procès, sans même avoir à justifier de « motifs légitimes ».