Justifie sa décision l'arrêt qui, pour déclarer l'Association spirituelle de l'église de scientologie d'Ile-de-France et son président coupables de traitement d'informations nominatives malgré opposition légitime, retient que l'opposition peut être transmise à l'association par la Commission nationale de l'informatique et des libertés (CNIL), aucun formalisme n'étant prévu par la loi et qu'en matière politique, philosophique ou religieuse, la Légitimité de l'opposition est remplie par le seul exercice de cette faculté.

1) Il résulte des dispositions de l’article 38 de la loi n°78‑17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés dans sa rédaction applicable que le droit qu’elles ouvrent à toute personne physique d’opposer pour des motifs légitimes à ce que des données à caractère personnel la concernant fassent l’objet d’un traitement est subordonné à l’existence de raisons légitimes tenant de manière prépondérante à sa situation particulière. Ne commet pas d’erreur de droit la cour administrative d’appel qui relève que, pour faire opposition au traitement des données concernant ses enfants, la requérante se bornait à invoquer des craintes d’ordre général concernant notamment la sécurité du fonctionnement de la base, sans faire état de considérations qui lui seraient propres ou seraient propres à ses enfants, pour en déduire qu’elle ne justifiait pas de motifs légitimes de nature à justifier cette opposition. 2) La circonstance que les données à caractère personnel aient cessé d’être conservées dans le traitement litigieux prive d’objet les conclusions à fin d’annulation pour excès de pouvoir de la décision qui avait refusé de faire droit à l’opposition à ce traitement, sans qu’ait d’incidence le fait que les données en cause aient pu être transférées vers d’autres traitements vis‑à‑vis desquels s’exerce le droit d’opposition.

1) Si la personne responsable du traitement, au sens des dispositions du I de l'article 3 de la loi n°78‑17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, est, en principe, celle auprès de laquelle s'exerce le droit d'opposition (prévu par l'article 38 de la loi), ni cette loi, ni le décret n°2005‑1309 du 20 octobre 2005 pris pour son application ne font obstacle à ce qu'elle délègue sa compétence en la matière. 2) La « base élève premier degré » (BE1D) a pour finalités d'assurer la gestion administrative et pédagogique des élèves du premier degré, la gestion et le pilotage de l'enseignement du premier degré dans les circonscriptions scolaires du premier degré et les inspections académiques et le pilotage académique et national, et la « base nationale identifiant élève » (BNIE) a la finalité d'attribuer un identifiant unique à chaque élève, afin de permettre le suivi de toute sa scolarité. Ces bases concourent aux missions relatives à l'action éducatrice et à son organisation, au sens des dispositions des articles R.222‑25 et R.222‑26 du code de l'éducation et, dès lors, en application de ces dispositions, la compétence en matière d'exercice du droit d'opposition doit être regardée comme étant exercée à l’échelon départemental des services de l’éducation nationale.

Le droit d’opposition au traitement de données personnelles, contrairement à l’acceptation d’un tel usage, doit être spécifique, informé et dénué de toute ambiguïté. Il est considéré comme valablement exprimé même s’il l’est de façon générale. La circonstance, d’une part, que le droit d’opposition soit manifesté par un acte d’abstention plutôt que par un acte positif, d’autre part, qu’il soit exprimé d’une manière large en visant « tout démarchage commercial », est sans incidence sur la validité de l’expression du refus de prospection ultérieure.

Il résulte des dispositions des articles 2 et 38 de la loi n°78‑17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, dite loi Informatique et Libertés, que la mise en ligne sur le réseau internet d’une base de données de jurisprudence non totalement anonymisée doit être regardée comme un traitement automatisé de données à caractère personnel au sens de la loi Informatique et Libertés, auquel s’applique le droit d’opposition qu’elle ouvre aux personnes concernées.

1) L’article 23 du RGPD permet de limiter ou d’écarter le droit d’opposition à un traitement, à certaines conditions, par une « mesure législative ». Le considérant 41 du RGPD précise que cette « mesure législative » n’est pas nécessairement un acte adopté par le Parlement, mais doit être déterminée par le droit national de chaque État membre. En France, il peut en particulier s’agir d’un acte réglementaire. La CNIL estime que, s’agissant des traitements participant à l’exécution d’une mission d’intérêt public, tant l’État que les collectivités territoriales ou les établissements publics peuvent, dans leurs domaines de compétence respectifs et s’ils disposent d’un pouvoir réglementaire, limiter ou exclure le droit d’opposition.

2) Cependant, l’exercice de cette faculté est soumis à une double limite : d’une part, s’agissant de la compétence, ne pas empiéter sur le domaine réservé à la loi en application de l’article 34 de la Constitution ; d’autre part, veiller à ce que les conditions prévues à l’article 23 soient respectées. Dans ses lignes directrices 10/2020 du 13 octobre 2021 sur l’article 23, le Comité européen pour la protection des données a notamment rappelé l’obligation pour le responsable de traitement de veiller au caractère strictement nécessaire et proportionné de la limitation envisagée au regard de l’objectif poursuivi. Il a également souligné que l’acte écartant l’opposition doit faire l’objet d’une publicité suffisante et être accessible.

La notion d'acte « instaurant le traitement » peut renvoyer, s'agissant de traitements mis en œuvre par les autorités publiques, à des normes contenant l'ensemble de la réglementation d'un traitement, notamment en application de l'article 35 de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. S'agissant de traitements décidés et mis en place par des opérateurs privés, la limitation du droit d'opposition doit être prévue dans un acte législatif ou réglementaire autorisant la mise en œuvre des traitements par ces opérateurs, qui doit comporter les dispositions spécifiques prescrites par l'article 23.2 du RGPD.

Un SMS de prospection doit informer la personne de ce qu’elle peut s’opposer gratuitement au traitement de ses données.

Est-il illégal un dispositif qui informe la personne qu’il est possible de s’opposer au traitement en adressant un SMS ou un appel téléphonique payants dans le message de prospection reçu par SMS, ou en remplissant un formulaire sur internet, sans que cette faculté ait été mentionnée dans le SMS de prospection ?

Il revient à la société traitant des données à caractère personnel à des fins de prospection commerciale de mettre en place un mécanisme permettant une prise en compte effective du droit d'opposition exprimé par les personnes faisant l'objet de prospection téléphonique en application de l'article 21 du RGPD. Elle doit, à ce titre, être en mesure de s'assurer, dans le temps, que l'opposition exprimée par les intéressés est respectée et que les personnes ayant fait part de leur opposition ne reçoivent plus d'appels de prospection. Un tel mécanisme peut prendre la forme d'une liste repoussoir ou d'un système équivalent.