- L’autorité autrichienne de protection des données a décidé le 9 octobre 2019 qu’en vertu de l’article 32 du RGPD, un double opt-in était obligatoire pour les inscriptions à des rencontres en ligne.
- La plate-forme autorisait une utilisation limitée sans double opt-in confirmé, avec des invitations répétées toutes les 3 à 5 minutes.
- Des inconnus ont créé des profils avec l’e-mail d’un mineur ; le DPD a constaté des mesures de sécurité des données insuffisantes conformément à l’article 32 du RGPD.
- La CPD n’a pas clarifié de manière définitive les circonstances dans lesquelles le double opt-in est généralement nécessaire (publicité vs. service/situation contractuelle).
L’autorité autrichienne de protection des données (DSB) a, par décision du 9 octobre 2019 (DSB-D130.073/0008-DSB/2019) a constaté que, conformément à l’article 32 du RGPD (sécurité des données), une procédure de double opt-in est obligatoire pour les inscriptions sur une plateforme de rencontre en ligne.
L’inscription et une utilisation limitée de la plate-forme étaient possibles sans double opt-in :
Il est correct que l’utilisateur puisse utiliser le portail de manière limitée après s’être inscrit, avoir explicitement confirmé son âge et son lieu de résidence et avoir été invité à confirmer son e‑mail DoubleOptIn.
La demande de confirmation de son e‑mail DoubleOptIn arrive à un rythme régulier (toutes les 3 à 5 minutes) au sein du portail, tant que l’utilisateur ne l’a pas confirmée.
En l’espèce, une personne inconnue avait utilisé l’adresse électronique du plaignant mineur pour créer deux profils sur les portails de rencontre en ligne de l’intimée, ce qui constitue un traitement de données illicite. Dans ce contexte, la CPD parvient à la conclusion suivante :
Le fait que l’intimée pas de mesures de sécurité des données suffisantes, conformes à l’art. 32 RGPD a mis en place, il était possible que des données à caractère personnel du plaignant – à savoir l’adresse électronique ***@***.com – soient traitées illégalement, ce qui a porté atteinte au droit fondamental du plaignant à la confidentialité en vertu de l’article 1, paragraphe 1, de la loi sur la protection des données.
La CPD n’aborde toutefois pas la question de savoir si, pourquoi et dans quelles circonstances une procédure de double opt-in est obligatoire selon les critères de l’article 32, paragraphe 1, du RGPD. Elle ne précise pas non plus si une procédure de double opt-in est également nécessaire dans ce cas,
- si, contrairement à ce qui se passe ici, aucune publicité n’est envoyée sans confirmation de l’inscription, mais qu’un seul service peut être utilisé ; et
- lorsque l’enregistrement n’est pas considéré comme un consentement, mais qu’il est nécessaire, par exemple, dans le cadre d’un contrat au sens de l’article 6, paragraphe 1, point b), du RGPD, par exemple lors d’un achat en ligne.
Voir aussi le Contribution de Carlo Piltz sur la décision.