Cette décision du CPVP concerne la PCL utilisant des renseignements personnels sensibles sur l'état de santé. Les parag. 26 à 29 sont particulièrement pertinents:

«26. À notre avis, comme les publicités diffusées par Google dans le cas présent étaient sélectionnées en fonction d’un intérêt personnel lié à la santé, on peut dire que Google diffuse des annonces personnalisées liées à des données sensibles, en l’occurrence la santé. Nous estimons que cette pratique n’est pas en concordance avec la politique de confidentialité de Google, telle qu’elle est actuellement (voir ci-haut).
27.Le Commissariat est d’avis que le consentement explicite (aussi appelé « consentement positif ») est nécessaire pour la diffusion de PCL. Comme il est indiqué dans nos lignes directrices sur la PCL, le consentement implicite (aussi appelé « consentement négatif ») à des fins de publicité comportementale peut être acceptable si les renseignements recueillis et utilisés se limitent, dans la mesure du possible, aux renseignements non sensibles (éviter les renseignements sensibles comme les renseignements médicaux et les renseignements sur l’état de santé).
28. Le plaignant cherchait de l’information sur un appareil médical utilisé pour traiter l’apnée du sommeil. Étant donné que sa plainte concerne des renseignements personnels sur son état de santé (c.-à-d. activités en ligne et historique des sites Web liés à la santé qui ont été visités), le Commissariat estime que cette information est sensible. Par conséquent, pour la collecte ou l’utilisation des renseignements personnels sensibles du plaignant sur son état de santé en vue de lui présenter des annonces personnalisées en fonction de son comportement en ligne, le consentement implicite n’est pas suffisant; il faut obtenir son consentement explicite.
29. Comme Google n’a pas cherché à obtenir le consentement explicite dans les circonstances, nous croyons que, dans ce contexte, Google a dérogé aux principes 4.3 et 4.3.6 de la Loi.»