Le consentement est le premier des six fondements de la licéité du traitement des données à caractère personnel énumérés à l’article 6. Selon l’article 6, paragraphe. 1(a)^[1] , ce traitement est licite si les personnes concernées ont donné leur consentement au traitement de leurs données personnelles pour une ou plusieurs finalités spécifiques. Ainsi, si les données sont utilisées pour des finalités multiples, le consentement doit être donné pour chaque finalité séparément. Un consentement spécifique est essentiel pour éviter un consentement non valable. En effet, “si un traitement de données a des finalités multiples, alors le consentement doit être demandé pour chacune d’entre elles. La spécificité du consentement favorise la transparence dans la mesure où les personnes concernées connaissent chaque finalité du traitement des données, augmente leur contrôle sur ces finalités et les protège contre la dérive fonctionnelle.” ^[2]

L’exigence de spécificité est particulièrement importante dans le cas de la réutilisation de données provenant de réseaux sociaux. Les utilisateurs finaux des réseaux sociaux ne sont souvent pas conscients du fait que leurs données sont utilisées à des fins autres que celles qu’ils poursuivent lorsqu’ils fournissent ces données. Toutefois, la plupart des réseaux sociaux veillent à ce que les personnes concernées donnent leur consentement à ce traitement ultérieur et leurs politiques en matière de développement couvriront certainement cette question. Les chercheurs et les développeurs désireux de traiter les données obtenues auprès des réseaux sociaux à des fins de recherche pourraient obtenir un nouveau consentement des personnes concernées. Bien entendu, cela est difficile et pas toujours nécessaire. Ils pourraient s’appuyer sur le consentement initial fourni par la personne concernée au réseau social. Les chercheurs/innovateurs devraient toutefois s’assurer que le traitement qu’ils souhaitent effectuer est autorisé par le consentement initialement fourni par la personne concernée ou trouver une autre base juridique (en demandant un nouveau consentement ou en utilisant l’intérêt légitime ou l’intérêt public comme alternative, par exemple). Laconsultation des conditions d’utilisation du réseau social et du consentement recueilli à l’origine est un excellent moyen de vérifier si l’utilisation secondaire des données peut être considérée comme compatible avec les finalités pour lesquelles les données ont été collectées à l’origine (voir la sous-section “Principe de limitation des finalités” dans les “Principes” de la partie II des présentes lignes directrices).

Si la recherche implique l’utilisation de données recueillies auprès de différents réseaux sociaux, les chercheurs doivent s’attacher à concevoir des mécanismes d’évaluation du risque d’atteinte à la vie privée intra-fournisseur et éventuellement inter-fournisseur qui prennent en compte les données personnelles révélées pour toutes les activités de traitement des données pour un réseau social concret et pour tous les OSN qu’une personne concernée utilise, respectivement.

Enfin, et surtout, étant donné que les chercheurs traiteront des données qui n’ont pas été collectées auprès de la personne concernée, ils fourniront à cette dernière les informations requises par l’article 14, à moins que l’une des circonstances citées au point 5 ne s’applique (voir la sous-section “Droit à l’information” de la section “Droits de la personne concernée” de la partie II des présentes lignes directrices).

Encadré : le cas des données effacées Certains utilisateurs de réseaux sociaux publient des données sur leurs plateformes et les suppriment ensuite. Si ces données ont été récupérées par un chercheur avant leur suppression, il n’est pas certain que le consentement initial de l’utilisateur à l’utilisation de ses données reste intact. En fonction de la sensibilité des données et de l’analyse, les chercheurs doivent convenir dès le départ de la manière de gérer cette question. Par exemple, il n’est peut-être pas nécessaire de supprimer le nombre de messages d’une série chronologique, mais il peut être contraire à l’éthique de citer un message individuel qui a été supprimé depuis. Cependant, cette question n’est pas encore claire. Les chercheurs doivent donc rester prudents quant à l’utilisation de données supprimées. Voir : Social Media Research Group, Using social media for social research : An introduction Mai 2016, p. 17 à l’adresse : https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/524750/GSR_Social_Media_Research_Guidance_-_Using_social_media_for_social_research.pdf

Liste de contrôle : consentement ☐ Lesresponsables du traitement sont en mesure de démontrer que, après avoir mis en balance les circonstances du traitement, ils ont conclu que le consentement est la base juridique la plus appropriée pour le traitement. ☐ Lesresponsables du traitement se sont assurés que le consentement fourni par la personne concernée au réseau social couvre le type de traitement qu’ils sont prêts à effectuer. ☐ Si tel n’est pas le cas, les responsables du traitement doivent demander aux personnes concernées de renouveler leur consentement.

 

1. EDPB : Lignes directrices 05/2020 sur le consentement au titre du règlement 2016/679, https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_en.pdf ↑
2. Joyee De S., Imine A. (2019) On Consent in Online Social Networks : Impacts sur la vie privée et directions de recherche (article court). In : Zemmari A., Mosbah M., Cuppens-Boulahia N., Cuppens F. (eds) Risques et sécurité de l’internet et des systèmes. CRiSIS 2018. Notes de lecture en informatique, vol 11391. Springer, Cham. https://doi.org/10.1007/978-3-030-12143-3_11 ↑