L'utilisation de données de localisation, même ponctuelle et limitée à l'identification d'un magasin, constitue un traitement intrusif qui ne peut se fonder sur la nécessité contractuelle ou l'intérêt légitime lorsque des alternatives moins attentatoires à la vie privée existent ; le consentement de l'utilisateur est alors requis.

Faits et contexte

L'autorité danoise de protection des données (Datatilsynet) a publié une décision prononçant une critique sévère à l'encontre de Coop Danmark A/S pour des manquements liés à l'utilisation des données de localisation des clients dans son application d'achat, sans base légale appropriée.

Cette affaire trouve son origine dans un contrôle d'initiative mené par l'autorité à partir de juillet 2025, dans le cadre de ses activités de surveillance planifiées portant sur le traitement des données personnelles dans les applications d'achat.

Motifs de la décision

• Obligation de disposer d'une base légale pour le traitement (article 6 du RGPD) : L'autorité a jugé que l'utilisation des données de localisation pour la fonctionnalité "Scanner et Payer" était illicite. Coop Danmark A/S invoquait la nécessité contractuelle (article 6, paragraphe 1, point b), arguant que la localisation était indispensable pour afficher les bons prix et gérer les stocks. L'autorité a rejeté ce raisonnement, estimant que ce traitement n'était pas strictement nécessaire, car des alternatives moins intrusives, comme le scan d'un code QR en magasin (que l'entreprise proposait d'ailleurs), permettaient d'atteindre le même objectif. Le caractère intrusif de la collecte de données de localisation imposait donc d'obtenir le consentement des utilisateurs.
• Obligation de disposer d'une base légale pour la prospection (article 6 du RGPD) : Le traitement des données de localisation à des fins de marketing, fondé sur l'intérêt légitime de l'entreprise (article 6, paragraphe 1, point f), a également été jugé illicite. L'autorité a estimé que l'intérêt des clients à la protection de leurs données de localisation primait sur l'intérêt commercial de Coop à leur présenter des offres ciblées. Elle a souligné que des méthodes moins attentatoires à la vie privée, telles que la sélection manuelle d'un magasin par l'utilisateur dans l'application, étaient possibles, rendant le consentement indispensable for un tel traitement.
• Obligation d'obtenir un consentement valide (article 4, point 11, du RGPD) : L'autorité a critiqué le mécanisme de recueil du consentement pour les témoins de connexion marketing. Le bouton "Accepter tout" était mis en évidence par une couleur rouge, tandis que le bouton "Accepter la sélection" était blanc. Cette conception a été considérée comme influençant indûment le choix de l'utilisateur en faveur d'une acceptation globale, ce qui porte atteinte au caractère libre du consentement requis par le RGPD.

Décision de l'autorité

En conséquence, l'autorité a prononcé une critique sévère à l'encontre de Coop Danmark A/S.

En outre, l'autorité a ordonné à l'entreprise de lui fournir un rapport sur les mesures mises en œuvre pour assurer la conformité de ses traitements avant le 4 novembre 2026.

Enseignements

Cette décision rappelle que :

• La base légale de la nécessité à l'exécution d'un contrat (article 6, paragraphe 1, point b, du RGPD) doit être interprétée strictement ; si une alternative moins intrusive pour la vie privée permet d'atteindre la finalité poursuivie, le traitement n'est pas considéré comme "nécessaire".
• Le recours à l'intérêt légitime pour traiter des données de localisation à des fins de marketing est très risqué, la balance des intérêts penchant généralement en faveur de la protection des droits et libertés des personnes concernées, ce qui impose le recueil du consentement.
• La conception de l'interface de consentement ne doit pas orienter le choix de l'utilisateur ; l'utilisation de couleurs ou de contrastes pour mettre en avant le bouton d'acceptation globale par rapport aux autres options peut vicier le consentement en portant atteinte à sa liberté.