Par une décision du 27 octobre 2022, la Cour de justice de l’Union européenne rappelle et précise le régime relatif à l’utilisation des données à caractère personnel des abonnés dans des annuaires publics, ainsi que les mesures nécessaires au respect de l’exercice de leur droit à l’effacement des données.
La société PROXIMUS est un fournisseur d’annuaires téléphoniques et de services de renseignements téléphoniques. La société TELENET est un opérateur téléphonique qui communique les coordonnées (nom, adresse, numéro de téléphone) de ses abonnés à des fournisseurs d’annuaires téléphoniques, tels que PROXIMUS, à l’exception de ceux qui s’y sont opposés.
Un abonné de TELENET a demandé à PROXIMUS de ne plus apparaître ni dans ses annuaires ni dans ceux des tiers à qui sont communiquées les coordonnées. Or, lors d’une nouvelle communication des données du plaignant non indiquées comme confidentielles à PROXIMUS par TELENET, et suite à leur traitement automatisé par cette dernière, l’abonné figurait de nouveau dans des annuaires publics.
L’autorité belge de protection des données a, suite à la plainte de l’abonné, condamné PROXIMUS à une amende ainsi qu’à prendre les mesures effectives et appropriées pour assurer l’exercice du droit à l’effacement des données de l’abonné, et notamment auprès des tiers à qui ces données étaient communiquées.
Face à l’absence de régime spécifique prévu en cas de souhait de l’abonné de ne plus figurer dans un annuaire téléphonique public, le Cour d’appel de Bruxelles a sursis à statuer et a interrogé la Cour de justice de l’Union européenne sur l’application « automatique et sans restriction » des dispositions du RGPD dans ce contexte spécifique.
La Cour de Justice rappelle et précise le régime relatif à l’obtention et au retrait du consentement de l’abonné quant à l’utilisation de ses données à caractère personnel dans un annuaire téléphonique public, et notamment :
- Le consentement de l’abonné doit nécessairement être recueilli par l’opérateur ou l’un de ses fournisseurs d’annuaires pour publier ses données à caractère personnel dans un annuaire public, mais ne nécessite pas d’être réitéré pour leur utilisation dans des annuaires similaires ;
- Le consentement doit être conforme aux exigences du RGPD, à savoir constituer une manifestation de volonté « libre, spécifique, éclairée et univoque » (Article 4 point 11 du RGPD) ;
- Il n’est toutefois pas nécessaire que la personne concernée connaisse au jour de son consentement l’ensemble des fournisseurs d’annuaires susceptibles de traiter ses données ;
- La demande d’un abonné de ne plus apparaître dans les annuaires publics constitue un recours à son « droit à l’effacement » qui doit être effectivement mis en œuvre (Article 17 du RGPD).
Le fait qu’un seul consentement soit suffisant pour des traitements effectués par diverses entités soulevait ensuite des questions relatives au traitement effectif de la demande d’exercice du droit à l’effacement, adressée par l’abonné à une seule entité, en sa qualité de responsable de traitement.
La Cour de Justice précise ainsi les mesures devant être prises par le fournisseur d’annuaire contacté par l’abonné, en sa qualité de responsable de traitement (PROXIMUS en l’espèce), qui exprime sa volonté de ne plus figurer dans les annuaires téléphoniques, et notamment :
- Mettre à jour sa propre base de données pour prendre en compte le retrait du consentement de l’abonné à figurer dans des annuaires téléphoniques ;
- Informer l’opérateur de service téléphonique de l’abonné de ce retrait ;
- Informer les fournisseurs d’annuaires auxquels les données ont été transmises du retrait du consentement de l’abonné ;
- Prendre toute mesure raisonnable pour informer le moteur de recherche de cette demande d’effacement de ses données.
En précisant le rôle et les mesures devant être prises par le responsable de traitement dans cette situation spécifique, la Cour de Justice assure l’effectivité du traitement de la demande d’effacement des données de l’abonné en faisant peser d’importantes responsabilités sur l’opérateur ou le fournisseur d’annuaires téléphoniques contacté.
Cour de justice de l’Union européenne, 27 octobre 2022, C-129/21, Proximus NV c/ Gegevensbeschermingsautoriteit. Alixia TRAINEAU, avocate collaboratrice
Comments