Consentement dans un formulaire en ligne : ce que prévoit la LPD

Un studio de Pilates à Fribourg met son inscription aux cours en ligne : nom, e-mail, téléphone, le cours choisi, une question sur d’éventuelles douleurs au dos. Tout en bas, comme sous beaucoup de formulaires, une case : « J’ai lu la déclaration de protection des données et je l’accepte. » Sans la cocher, impossible d’envoyer le formulaire.

La gérante a repris cette case d’un autre site. Est-elle nécessaire, que produit-elle, couvre-t-elle la question sur les douleurs ? Elle ne le sait pas. Elle n’est pas la seule : la case est si répandue qu’elle ressemble à une obligation. La loi fédérale sur la protection des données (LPD) voit les choses de manière plus nuancée.

Information et consentement : deux choses distinctes

La LPD distingue deux opérations que les formulaires fondent souvent en une seule case.

L’information est une obligation de l’entreprise. Qui collecte des données personnelles en informe la personne concernée de manière adéquate (art. 19, al. 1, LPD). Au minimum : l’identité et les coordonnées du responsable, la finalité du traitement et, le cas échéant, les destinataires (art. 19, al. 2, LPD). L’information a lieu que la personne donne son accord ou non.

Le consentement est une déclaration de la personne concernée. La LPD le cite comme l’un des motifs qui peuvent justifier un traitement — à côté d’un intérêt prépondérant privé ou public et de la loi (art. 31, al. 1, LPD).

Le Préposé fédéral à la protection des données et à la transparence (PFPDT) a décrit cette distinction en détail dans un aide-mémoire sur les formulaires de patients. Pour l’information, il retient que la prise de connaissance explicite n’est pas une condition de validité : le respect du devoir d’informer ne dépend pas d’une signature de la patiente. Pour éviter des problèmes inutiles, mieux vaut ne pas demander de signature.

Transposé au formulaire en ligne : une case « J’ai lu la déclaration de protection des données » confirme une prise de connaissance que la loi n’exige pas. Ce qu’elle exige, c’est que l’information soit là — bien visible, compréhensible et sans qu’il faille la chercher.

Quand la LPD prévoit un consentement

Dans le secteur privé, tout traitement de données personnelles n’a pas besoin d’une justification. La LPD interdit de porter une atteinte illicite à la personnalité des personnes concernées (art. 30, al. 1, LPD) et énumère des cas où une atteinte existe notamment (art. 30, al. 2, LPD) :

• lorsque des données sont traitées en violation des principes, par exemple de manière disproportionnée ou dans un but non reconnaissable ;
• lorsqu’elles sont traitées contre la volonté expresse de la personne concernée ;
• lorsque des données sensibles sont communiquées à des tiers.

C’est seulement alors que se pose la question d’un motif justificatif. L’un d’eux concerne particulièrement souvent les formulaires : un intérêt prépondérant entre notamment en considération lorsque le responsable traite des données sur son cocontractant en relation directe avec la conclusion ou l’exécution d’un contrat (art. 31, al. 2, let. a, LPD).

Pour le studio, cela signifie : nom, e-mail et cours choisi servent à l’inscription elle-même. En règle générale, il faut pour cela une information, pas un consentement. Le PFPDT décrit le même schéma au cabinet médical : les données traitées dans le cadre d’un traitement relèvent du contrat de soins ; le consentement devient surtout important lorsque des données sont transmises à des tiers.

Là où le consentement entre en jeu

Quelques situations où un formulaire demande réellement un consentement reviennent souvent dans les petites entreprises.

Situation dans le formulaire	Ce qu’en dit la LPD
Indications de santé, douleurs ou allergies	Les données de santé sont sensibles ; lorsqu’un consentement est nécessaire, il doit être exprès (art. 6, al. 7, LPD)
Newsletter en plus de l’inscription	Une finalité distincte du contrat ; le consentement doit porter sur ce traitement précis (art. 6, al. 6, LPD)
Transmission à une entreprise partenaire	Une communication à des tiers ; pour les données sensibles, la loi la cite expressément (art. 30, al. 2, let. c, LPD)
Photos des participants pour le site web	Une finalité sans lien avec l’inscription, qui doit être reconnaissable (art. 6, al. 3, LPD)

La question sur les douleurs relève de la première ligne. Que le studio puisse s’appuyer sur le contrat ou ait besoin d’un consentement exprès dépend du cas. Ce qui est clair : une case générale sur la déclaration de protection des données n’est pas un consentement qui porte de manière reconnaissable sur les indications de santé.

Ce qui rend un consentement valable

Lorsqu’un consentement est requis, il n’est valable que s’il est donné librement, pour un ou plusieurs traitements déterminés, après une information adéquate (art. 6, al. 6, LPD). L’aide-mémoire du PFPDT le résume en trois qualités :

Éclairé. La personne sait quelles données sont traitées dans quel but et peut en mesurer les conséquences. Cela comprend au moins les informations de l’art. 19 LPD et, selon le cas, la durée de conservation et les destinataires.

Spécifique. Le consentement porte sur des traitements déterminés. Le PFPDT exclut les clauses générales et les consentements en blanc ; le consentement devrait être demandé lorsque la question se pose concrètement.

Libre. La personne a un vrai choix et peut refuser ou révoquer sans subir d’inconvénients disproportionnés. Si elle n’a en réalité pas d’autre choix que d’accepter, son consentement n’est pas libre, selon le PFPDT.

Deux constats pratiques en découlent pour un formulaire. Une case sans laquelle l’inscription ne peut pas être envoyée ne laisse aucun choix — et le cours lui-même n’a de toute façon pas besoin de consentement. Une case qui couvre plusieurs finalités à la fois n’est pas spécifique. Là où l’aide-mémoire décrit un vrai choix, il donne pour exemple une case à cocher sur le formulaire.

Preuve et révocation

Le consentement n’est soumis à aucune forme. Le PFPDT relève toutefois qu’un consentement documenté est préférable pour des raisons de preuve. Un formulaire en ligne s’y prête : avec la réponse, on peut enregistrer l’heure et le texte exact accepté. Si l’entreprise modifie le texte plus tard, on sait toujours ce qui valait à ce moment-là.

C’est ce que nous faisons sur ce site. Lorsqu’une personne demande à être informée du lancement d’une application, l’inscription enregistre l’heure du consentement et le texte affiché à ce moment.

Lorsque le consentement sert de base juridique, il peut être révoqué en tout temps et sans motif. Le responsable doit offrir des moyens simples de le faire, écrit le PFPDT. Pour un formulaire, cela signifie indiquer à côté de la case comment revenir dessus — une adresse, un lien, un lien de désinscription dans la newsletter.

Un formulaire plus clair

Retour au studio de Pilates. Une version revue de son formulaire pourrait se présenter ainsi :

1. Au-dessus du bouton d’envoi, une phrase courte : qui reçoit les indications, à quelle fin, combien de temps elles sont conservées, avec un lien vers la déclaration complète. Pas de case obligatoire.
2. La question sur les douleurs avec sa propre explication — et, si le studio demande un consentement, une case distincte qui nomme précisément ces indications.
3. La newsletter dans une case séparée et vide ; l’inscription fonctionne sans elle.
4. Une phrase sur la manière de révoquer un consentement donné.

Le formulaire ne s’allonge pas. Il devient plus clair : chacun voit ce qu’il accepte et ce qu’il n’accepte pas.

La portée de ces réflexions pour une entreprise donnée dépend de la finalité, des données et du contexte. Les aide-mémoire du PFPDT sont un bon point de départ pour passer en revue ses propres formulaires. Dans l’application Formulaires que nous développons, vous pourrez fixer vous-même la durée de conservation de chaque formulaire — l’une des indications qui ont leur place au-dessus du bouton d’envoi.