« Nous avons mis à jour nos conditions » : le déroulé écrit

Mythe · « En poursuivant votre navigation, vous acceptez » : c'est écrit partout, donc c'est valable.

Le mythe : « continuer, c'est consentir » La page officielle de l'Union décrit le geste attendu, et ce n'est pas celui-là : marquer expressément son accord, par exemple en signant un formulaire ou en répondant « oui » à une demande claire. Une phrase qui transforme ton usage normal du service en accord ne crée pas un consentement : elle essaie de se passer d'en obtenir un.

« Lorsqu'une entreprise ou organisation demande votre consentement, vous devez expressément marquer votre accord, par exemple en signant un formulaire de consentement ou en répondant «oui» (au lieu de «non») à une demande de consentement figurant de manière claire sur une page web. »

Traduit en clair : un accord se donne par un geste exprès, en réponse à une demande claire. Ton simple passage dans l'appli n'est pas ce geste.

Mythe · La case était cochée, mais je pouvais la décocher : donc c'est un vrai choix, donc ça compte.

Le mythe : « pouvoir dire non, c'est avoir dit oui » La page officielle de l'Union prend exactement cet exemple pour dire l'inverse : il ne suffit pas de pouvoir s'opposer, il faut marquer expressément son accord. La logique de la case précochée inverse la charge du geste : c'est toi qui dois agir pour refuser, alors que le droit exige que ce soit toi qui agisses pour accepter.

« Il ne suffit pas de s'opposer au traitement de vos données, par exemple en cochant une case indiquant que vous ne souhaitez pas recevoir des courriels publicitaires. Vous devez expressément marquer votre accord et accepter que vos données à caractère personnel soient conservées et/ou réutilisées à cette fin. »

Traduit en clair : le geste attendu est un oui exprès, pas un non manqué. Une case cochée à ta place n'est le geste de personne.

Mythe · C'est dans les conditions que j'ai validées à l'inscription : signé, c'est signé.

Le mythe : « c'est dans le contrat, donc ça tient » Le paragraphe qui encadre la forme du consentement se termine par une phrase que peu de gens lisent : aucune partie d'une telle déclaration qui constitue une violation du règlement n'est contraignante. Un document de quarante-sept pages ne blinde pas une demande de consentement mal formée : il l'enterre, et l'enterrer est précisément le problème.

« Aucune partie de cette déclaration qui constitue une violation du présent règlement n'est contraignante. »

Traduit en clair : signer un document ne rend pas valable ce qui, dedans, viole le règlement. La signature n'est pas un vernis magique.

Mythe · Un service privé fait ce qu'il veut chez lui : s'ils coupent, c'est leur droit, je n'ai qu'à accepter.

Le mythe : « c'est privé, donc c'est permis » Le règlement s'applique précisément aux services privés, et il a prévu ce cas de figure mot pour mot : la subordination du service à un consentement qui n'est pas nécessaire à son exécution pèse de tout son poids contre le caractère libre de l'accord. Céder n'efface pas ce déséquilibre : il le documente.

« il y a lieu de tenir le plus grand compte de la question de savoir, entre autres, si l'exécution d'un contrat, y compris la fourniture d'un service, est subordonnée au consentement au traitement de données à caractère personnel qui n'est pas nécessaire à l'exécution dudit contrat. »

Traduit en clair : le chantage au service est exactement ce que le texte demande d'examiner en premier quand on se demande si un accord était libre.

Mythe · S'ils me coupent l'accès, je perds aussi mes anciennes courses : autant accepter, je verrai plus tard.

Le mythe : « j'accepte provisoirement, ça ne compte pas vraiment » Un consentement enregistré est un consentement qui produit ses effets, et personne ne viendra te demander si tu le pensais. Ce que le droit t'offre face au dilemme n'est pas l'accord du bout des lèvres : c'est un accord dont la liberté se juge, le plus grand compte étant tenu de la pression exercée. Garde la preuve de la menace au lieu de céder en silence.

« 4. Au moment de déterminer si le consentement est donné librement, il y a lieu de tenir le plus grand compte de la question de savoir, entre autres, si l'exécution d'un contrat, y compris la fourniture d'un service, est subordonnée au consentement au traitement de données à caractère personnel qui n'est pas nécessaire à l'exécution dudit contrat. »

Traduit en clair : un oui arraché reste un oui enregistré. La bonne pièce à produire, c'est la menace de coupure, pas ta résignation.

Mythe · Un retrait, ça se motive : je prépare deux paragraphes d'explications pour le service juridique.

Le mythe : « il faut une bonne raison pour retirer » La première phrase du paragraphe est complète en huit mots : le droit de retirer son consentement à tout moment. Pas de motif, pas d'examen, pas de dossier. La page officielle de l'Union le confirme : tu contactes le responsable du traitement et tu retires ton autorisation, à tout moment. Le reste est de la mise en scène.

« Si vous avez déjà autorisé une entreprise ou organisation à utiliser vos données à caractère personnel, vous pouvez contacter le responsable du traitement des données (la personne ou l'organe traitant vos données à caractère personnel) et retirer cette autorisation à tout moment. Une fois l'autorisation retirée, l'entreprise ou l'organisation ne peut plus utiliser vos données à caractère personnel. »

Traduit en clair : tu contactes, tu retires, c'est terminé. Une fois le retrait posé, l'utilisation s'arrête.

Mythe · Une fois mon retrait posé, tout ce qu'ils ont fait avec mes données depuis trois ans devient illégal rétroactivement.

Le mythe : « le retrait efface le passé » Le texte pose la limite dans la phrase qui suit le droit : le retrait ne compromet pas la licéité du traitement fondé sur le consentement effectué AVANT ce retrait. Ton retrait coupe l'avenir, pas le passé. Connaître cette limite t'évite de réclamer l'impossible, et rend crédible tout le reste de ta demande.

« Le retrait du consentement ne compromet pas la licéité du traitement fondé sur le consentement effectué avant ce retrait. »

Traduit en clair : ce qu'ils ont fait pendant que ton accord était valable reste couvert par cet accord. Le retrait vaut pour la suite.

Mythe · S'ils affirment que j'ai accepté, c'est à moi de démontrer le contraire, et je ne peux pas prouver un néant.

Le mythe : « c'est à moi de prouver que je n'ai pas dit oui » Le règlement a réglé la question dans le premier paragraphe de l'article sur le consentement, et dans le sens inverse : le responsable du traitement est en mesure de démontrer que la personne a consenti. La charge est structurellement chez eux, parce qu'eux seuls tiennent les registres. Tu n'as rien à prouver : tu as une démonstration à exiger.

« Dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant. »

Traduit en clair : celui qui se prévaut de ton accord doit pouvoir le démontrer. Le doute ne travaille pas contre toi.

Mythe · J'ai cliqué un jour sur un bouton bleu, donc j'ai perdu : me plaindre ne servirait à rien.

Le mythe : « j'ai cliqué, donc c'est plié » Tout ce dossier, la fenêtre à bouton unique, la case précochée, la menace de coupure, le recommandé exigé, se dépose tel quel devant l'autorité de protection des données de ton pays. La page officielle de l'Union dit la marche : plainte directe auprès de ton autorité nationale, examen, et réponse dans un délai de trois mois. Un clic contesté n'est pas un verdict : c'est l'objet même de la plainte.

« Si vous estimez que vos droits en matière de protection des données n'ont pas été respectés, vous pouvez déposer plainte directement auprès de votre autorité nationale chargée de la protection des données, qui examinera votre plainte et vous répondra dans un délai de trois mois. »

Traduit en clair : estimer que tes droits ont été ignorés suffit à ouvrir la plainte, chez toi, avec une réponse due sous trois mois.