La CJUE donne des précisions sur les modalités de retrait du consentement à figurer dans des annuaires téléphoniques

La Cour de Justice de l’Union Européenne (CJUE) s’est prononcée sur des questions posées par la Cour des Marchés dans le cadre d’un dossier concernant Proximus qui avait conduit à une décision de la Chambre Contentieuse de l’APD sur les modalités de retrait du consentement à figurer dans des annuaires téléphoniques. La CJUE a rejoint l’interprétation de l’APD dans ce dossier, en concluant que l’abonné peut dans ce but s’adresser à un seul fournisseur d’annuaires, et que celui-ci doit prendre des mesures appropriées pour informer les autres responsables du traitement (qui lui ont fourni les données de l’abonné ou auxquels il a transmis ces données) de la demande de la personne de ne plus figurer dans des annuaires.    

Historique de l’affaire

En 2019, l’APD reçoit une plainte de la part d’un abonné à un service de télécommunications (Telenet). Le plaignant avait contacté Proximus afin que ses coordonnées ne figurent plus publiquement dans des services de renseignements téléphoniques et dans des annuaires gérés par Proximus, ainsi que dans d’autres annuaires auxquels Proximus avait fourni ses données. Il demandait à Proximus de communiquer ce souhait de ne plus voir figurer ses coordonnées dans leurs annuaires à ces fournisseurs d’annuaires tiers.

Bien que Proximus avait dans un premier temps donné suite à la demande de l’abonné, une mise à jour de ses annuaires sur base des données reçues par l’opérateur Telenet (qui n’était pas informé de la demande de l’abonné de ne plus figurer dans de tels annuaires) a eu pour conséquence que les données de l’abonné étaient à nouveau publiquement disponibles. L’APD avait alors sanctionné Proximus.

Questions soulevées et argumentation de l’APD

La directive dite « e-privacy » prévoit qu’il suffit qu’un abonné donne une seule fois son consentement en vue de l’utilisation de ses données dans un annuaire téléphonique, pour que d’autres fournisseurs d’annuaires puissent traiter ces mêmes données à cette même fin. Cela soulève des questions juridiques quand l’abonné souhaite retirer son consentement. Comment qualifier précisément la demande de l’abonné ? L’abonné doit-il adresser sa demande à son opérateur, au(x) fournisseur(s) d’annuaires ou à chacun d’eux ? Ensuite, le fournisseur est-il tenu de transmettre cette demande de suppression à des tiers (tels que l’opérateur de l’abonné, d’autres fournisseurs d’annuaires ou encore les moteurs de recherche)? C’est sur ces questions que la CJUE s’est prononcée.

L’APD a défendu l’argument selon lequel l’abonné pouvait en effet s’adresser au fournisseur d’annuaires (Proximus dans le cas d’espèce), même si celui-ci n’est pas son opérateur, et qu’il pouvait être exigé de Proximus de prendre des mesures organisationnelles et techniques raisonnables afin de transmettre ce retrait de consentement à apparaitre dans un annuaire aux autres fournisseurs d’annuaires auxquels l’entreprise avait transmis les données de l’abonné.  

L’arrêt de la CJUE

L’arrêt de la Cour a jugé que «lorsque différents responsables du traitement se fondent sur le consentement unique de la personne concernée, il suffit que celle-ci s’adresse à l’un quelconque des responsables pour retirer son consentement.» Elle rejoint ainsi l’interprétation de l’APD. Plus spécifiquement, la Cour de Justice a estimé :

• qu’un consentement était requis afin que les données personnelles d’un abonné de services de télécommunications figurent dans des annuaires téléphoniques/services de renseignements téléphoniques accessibles au public;
• qu’un abonné demandant la suppression de ses données des annuaires constitue un « droit à l’effacement » dans le sens du RGPD ;
• qu’il peut être exigé que le responsable du traitement prenne les mesures techniques et organisationnelles appropriées pour informer les tiers (à savoir l’opérateur de télécommunications de l’abonné, et les autres fournisseurs d’annuaires auxquels il a transmis les données de l’abonné) du retrait du consentement de l’abonné ;
• qu’il peut être demandé à un fournisseur d’annuaires de prendre des mesures raisonnables afin d’informer les moteurs de recherche de la demande d’effacement des données de l’abonné.

A l’aide des réponses fournies par l’arrêt de la CJUE, la Cour des Marchés pourra désormais se prononcer quant à l’appel déposé par Proximus contre la décision 42/2020 de l’APD.

Le communiqué de presse de la CJUE peut être lu ici.
L’arrêt de la CJUE peut être lu ici.
La Décision 42/2020 de l’APD peut être lue ici.

L'arret du 6 sepembre 2023 de la Cour des marchés est disponible ici.