Quand le consentement à un traitement de données doit-il être exprès ?

La loi prévoit que, lorsque le consentement de la personne concernée est requis, ce consentement n’est valable que si la volonté est exprimée librement, qu’elle porte sur un ou plusieurs traitements déterminés et qu’elle intervient après que la personne a été dûment informée. Le consentement doit ensuite être exprès dans trois situations précises: lorsqu’il s’agit d’un traitement de données sensibles, lorsqu’il s’agit d’un profilage à risque élevé effectué par une personne privée, et lorsqu’il s’agit d’un profilage effectué par un organe fédéral.^[1]

• Vérifier d’abord si le traitement repose sur un consentement requis; dans ce cas, la volonté doit être libre, viser un ou plusieurs traitements déterminés et être donnée après une information suffisante.
• Vérifier ensuite si le traitement concerne des données sensibles: dans cette hypothèse, le consentement doit être exprès.
• Vérifier s’il s’agit d’un profilage à risque élevé effectué par une personne privée: dans cette hypothèse également, le consentement doit être exprès.
• Vérifier enfin s’il s’agit d’un profilage effectué par un organe fédéral: là aussi, le consentement doit être exprès.

^[1]

Ces exigences s’inscrivent dans les principes généraux applicables au traitement des données personnelles: tout traitement doit être licite, conforme à la bonne foi et à la proportionnalité, et les données ne peuvent être collectées que pour des finalités déterminées et reconnaissables pour la personne concernée. Dans la pratique, il faut donc contrôler à la fois la validité du consentement lorsqu’il est requis et la nature du traitement envisagé, afin de déterminer si la forme expresse est imposée par la loi.^[1]

Cette réponse résume le texte légal cité tel qu’il est publié sur Fedlex. Il faut vérifier la disposition actuellement en vigueur et toute modification ultérieure avant d’agir.^[1]