C’est à cette question qu’a répondu la CJUE dans son arrêt C-61/19 du 11 Novembre 2020, à la suite d’une question préjudicielle posée par le Tribunal de Grande Instance de Bucarest (TGIB). Le TGIB a été saisi par Orange Roumanie à l’encontre de qui l’Autorité Nationale de Surveillance du Traitement des Données à Caractère Personnel (ANSPDCP), a prononcé une sanction pécuniaire, pour avoir collecté et conservé les copies des titres d’identité de ses clients sans leur consentement exprès.
La CJUE, au regard des dispositions de la directive 95/46 CE du 24 octobre 1995 et du RGPD, rappelle que, pour que le consentement à un traitement de données à caractère personnel soit valable, il faut qu’il soit libre, spécifique, éclairé et univoque. Par ailleurs, que le consentement d’un client ne peut être considéré comme valablement exprimé en cas de silence, de cases cochées par défaut ou d’inactivité. La troisième hypothèse correspond à celle de l’affaire Orange Roumanie. La CJUE rappelle alors qu’un contrat de fourniture de services de télécommunications contenant une cas pré-cochée renvoyant à une clause selon laquelle le client a consenti à la collecte et la conservation de son titre d’identité ne peut démontrer qu’il a valablement donné son consentement lorsque la case y afférente a été cochée par le responsable de traitement avant la signature du contrat.
Adama Hamed DIARRA