À vingt-quatre heures d’intervalle, le PFPDT a rendu publiques deux affaires très différentes. Dans la première, le Tribunal administratif fédéral s’est prononcé sur une grande banque de détail. Dans la seconde, le PFPDT a statué sur une obscure société d’adresses publicitaires. Dans les deux cas, la même question a été posée : l’entreprise peut-elle démontrer que la personne a réellement dit oui ? Dans les deux cas, la réponse a été non.
Deux affaires, une même exigence
Dans son arrêt du 13 octobre, le Tribunal administratif fédéral a jugé que PostFinance doit obtenir le consentement exprès de ses clients pour créer des empreintes vocales servant à l’authentification. L’argument de la banque reposait sur l’information : les clients étaient prévenus que la conversation était enregistrée, et ils continuaient à parler. Le tribunal écarte cette lecture. Le fait de poursuivre la conversation après avoir été informé ne vaut pas consentement exprès. PostFinance a jusqu’à mi-février 2027 pour recueillir un accord exprès auprès des clients dont l’empreinte est déjà enregistrée, faute de quoi elle devra effacer les données.
L’affaire Add Conti GmbH est de nature différente, mais la mécanique est la même. L’entreprise affirmait que les personnes avaient consenti à la transmission de leurs données en participant à des jeux-concours en ligne. Plus d’une douzaine de personnes ont contesté avoir jamais participé à un tel concours. Le PFPDT a jugé les explications peu crédibles : les sites n’étaient accessibles que par saisie directe de l’adresse, contenaient surtout des mentions légales et affichaient depuis des mois les trois mêmes gagnants. Il a conclu que l’entreprise, en tant que responsable, n’était pas en mesure d’apporter la preuve d’un consentement valable. La décision, rendue en juin, est désormais définitive. Les données doivent être supprimées dans les 30 jours.
Du message au geste
Ces deux affaires dessinent un déplacement que beaucoup d’organisations n’ont pas encore intégré. Pendant longtemps, le consentement a été traité comme un problème de communication : on informe, on affiche une mention, on fait signer des conditions. La banque a informé, et cela n’a pas suffi. L’information ne remplace pas l’acte par lequel la personne dit oui, et cet acte doit pouvoir être retrouvé.
Le consentement devient ainsi un objet de preuve. Il faut pouvoir établir qui a consenti, quand, sur la base de quel texte, pour quelle finalité, et comment il peut être retiré. Une base de données sans cette traçabilité est un passif, pas un actif. Add Conti en offre une illustration extrême : une base d’adresses que son détenteur ne peut pas justifier doit être détruite.
Le contrepoint bruxellois
Le même jour que ces publications, le 21 octobre, le Conseil de l’UE a arrêté sa position de négociation sur le Digital Omnibus. À première lecture, le mouvement va dans le sens inverse : délai de notification des violations porté de 72 à 96 heures, notification réservée aux violations à risque élevé, davantage d’exceptions au consentement pour les cookies, intérêt légitime admis pour le développement de l’IA.
Cette simplification a une limite que le texte rappelle lui-même. Le Conseil précise que l’obligation de documenter toutes les violations demeure, même celles qui n’ont pas à être notifiées. Il écarte aussi toute exemption générale pour l’entraînement des modèles d’IA : le responsable doit toujours démontrer son intérêt légitime. Quant à l’exception prévue pour la vérification biométrique, elle suppose que les données biométriques ou les moyens de vérification restent sous le contrôle exclusif de la personne. Selon notre lecture, un fichier d’empreintes vocales détenu par l’entreprise, comme celui de PostFinance, n’entrerait pas dans ce cadre. Cette interprétation vaut sous réserve : le texte n’est qu’une position de négociation, et le Parlement européen n’a pas encore tranché.
Il en ressort une tendance de fond : moins de formalités de déclaration, mais pas moins de justificatifs. Les autorités, à Berne comme à Bruxelles, semblent prêtes à alléger ce que l’entreprise doit annoncer, pas ce qu’elle doit pouvoir démontrer.
Ce que les dirigeants de PME devraient en retenir
Pour une PME suisse, la leçon est stratégique avant d’être technique. Elle concerne deux situations fréquentes : l’entreprise qui exploite un fichier de contacts dont elle ne connaît plus l’origine, et celle qui s’est contentée de « prévenir » ses clients alors qu’il aurait fallu les faire consentir. Les PME actives dans l’UE doivent en outre composer avec deux régimes qui n’évoluent pas au même rythme : une LPD qui reste inchangée, et un RGPD qui pourrait être assoupli sur certains points.
La question à se poser n’est pas « avons-nous un consentement ? », mais « pourrions-nous le produire demain, devant une autorité, pour chaque personne concernée ? ». Les entreprises qui peuvent y répondre aujourd’hui n’auront aucune difficulté le jour où l’on viendra le leur demander.
Nos abonnés reçoivent chaque semaine une analyse des évolutions réglementaires en protection des données, traduite en actions concrètes pour leur activité.
→ Rejoignez la newsletter pour ne manquer aucune évolution.
