08 Déc « Vous n’aurez pas mon e-ID ! »
Le 8 juin 2018, un client d’un magasin de boissons en Flandres arrive à la caisse, chargé de plusieurs bouteilles d’alcool fort, pour un montant relativement élevé. Le vendeur lui propose la carte de fidélité du magasin permettant d’obtenir des réductions sur les achats, ce à quoi le client répond qu’il est intéressé à la recevoir. Le vendeur lui demande alors d’insérer sa carte d’identité électronique (e-ID) dans le système prévu à cet effet. Le client refuse d’insérer son e-ID mais explique qu’il est d’accord de communiquer les données nécessaires sur papier. Le vendeur lui répond qu’il n’est malheureusement pas possible de créer la carte de fidélité sans e-ID. Fin juin, le même client revient au magasin car il organise un barbecue avec un grand groupe d’amis. Le scénario se répète; impossible d’obtenir la carte de fidélité sans insérer son e-ID dans le lecteur. Dans la file de clients derrière lui, une personne lui souffle que la pratique est illégale.
Le client dépose plainte fin août 2018 auprès de l’Autorité de Protection des Données (l’« APD ») et le Service d’Inspection de l’APD est saisi de l’affaire. Le Service d’Inspection confirme qu’il n’existe pas d’alternative à l’e-ID pour la création de la carte de fidélité. Il constate aussi que les données de l’e-ID traitées sont très nombreuses : nom, prénoms, adresse, date de naissance, sexe, moment à partir duquel la personne est cliente et montant des achats. En outre, le code-barres de la carte d’identité électronique où est repris le numéro de registre national est lié aux données du client dans les systèmes du magasin.
L’APD rend une décision le 17 septembre 2019, aux termes de laquelle elle constate une violation des du principe de minimisation des données, principe en vertu duquel seules les données strictement nécessaires peuvent être traitées. L’APD considère que le traitement du numéro de registre national, du sexe et de la date de naissance ne sont pas pertinents pour la création d’une carte de fidélité.
L’APD souligne qu’en conditionnant la création d’une carte de fidélité à l’insertion de son e-ID dans le système proposé par le magasin, le client n’est pas réellement en mesure de refuser ou de retirer son consentement sans subir de préjudice. En effet, en l’absence d’alternative à la présentation de sa carte d’identité électronique, le client ne peut bénéficier des réductions. Il y a, en conséquence, une violation de la condition de liberté du consentement.
Enfin, cerise sur le gâteau, l’APD relève que la déclaration de confidentialité du magasin n’est pas suffisante et constate un manquement à l’obligation d’information.
Un appel est formé devant la Cour des Marchés qui réforme la décision de l’APD par un arrêt du 19 février 2020. La Cour considère qu’aucun traitement de ses données n’a eu lieu puisque le plaignant a refusé d’insérer son e-ID et que, dès lors, il ne démontre pas l’existence d’une violation réelle de ses données.
L’affaire ne s’arrête pas là. Le client n’en démord pas et interjette un pourvoi devant la Cour de cassation. Le 7 octobre 2021, la Cour de cassation censure l’arrêt de la Cour des marchés : la perte d’une prestation ou d’un service en cas de refus de consentement peut également priver l’utilisateur de la possibilité d’exercer une véritable liberté de choix et constituer un effet indésirable au sens du considérant 42 du RGPD, de sorte que le consentement n’est pas réputé avoir été donné librement.
L’on suppose toutefois que notre plaignant n’aura pas dû attendre l’issue de ce procès pour pouvoir obtenir sa carte de fidélité. En effet, suite à une modification entrée en vigueur le 23 décembre 2018, la loi du 19 juillet 1991 relative notamment aux cartes d’identité dispose désormais que l’e-ID « ne peut être lue ou utilisée qu’avec le consentement libre, spécifique et éclairé du titulaire de la carte d’identité électronique. Lorsqu’un avantage ou un service est proposé à un citoyen au moyen de sa carte d’identité électronique dans le cadre d’une application informatique, une alternative ne nécessitant pas le recours à la carte d’identité électronique, doit également être proposée à la personne concernée ».
Avocat CAIRN LEGAL
08_12_2021_Vous n’aurez pas mon EID