Le délai laissé par la CNIL aux opérateurs de sites internet pour se mettre en conformité à la législation en matière de cookies a pris fin le 31 mars 2021. Dans ce cadre, un certain nombre d’opérateurs a mis en place ou maintenu des cookies walls. Or, la conformité de cette pratique au règlement général sur la protection des données (RGPD) est loin d’être assurée.
La pratique des "cookies walls" consiste à subordonner l’accès à un site internet à l’acceptation des cookies par l’utilisateur. En l’absence de consentement, le contenu du site internet reste inaccessible.
La Commission nationale de l’informatique et des libertés (CNIL) avait souhaité interdire cette pratique dans les lignes directrices relatives aux cookies qu’elle avait adoptées le 4 juillet 2019. Néanmoins, dans une décision du 19 juin 2020, le Conseil d’État avait considéré que la CNIL n’avait pas le pouvoir d’imposer une interdiction générale et absolue dans le cadre de lignes directrices car un tel degré de contrainte juridique ne peut être imposé que par la loi ou le règlement (sur cette décision, voir notre article "Conseil d’Etat : les ‘cookies walls’ ne peuvent pas être interdits par la CNIL").
Toutefois, le Conseil d’Etat ne s’est pas prononcé sur la légalité de la pratique en elle-même. Cette question reste donc sensible sur le fond et la CNIL est compétente pour évaluer la conformité des cookies walls dans le cadre de contentieux individuels.
Les réserves et l’approche casuistique de la CNIL vis-à-vis des cookies walls
Si les nouvelles lignes directrices de la CNIL n’interdisent plus expressément cette pratique, elles prévoient cependant que "le fait de subordonner la fourniture d’un service ou l’accès à un site web à l’acceptation d’opérations d’écriture ou de lecture sur le terminal de l’utilisateur (pratique dite de ‘cookie wall’) est susceptible de porter atteinte, dans certains cas, à la liberté du consentement". Or, le caractère "libre" du consentement est un des critères obligatoires posés par l’article 4 (11) du RGPD pour qu’un consentement soit valide.
La CNIL indique qu’elle examinera donc "au cas par cas si le consentement des personnes est libre et si un cookie wall est licite ou non". Ainsi, les éditeurs de sites souhaitant recourir à cette pratique devront, en cas de contrôle, démontrer que la personne dispose d'une "véritable liberté de choix" ou qu'elle peut "refuser ou [...] retirer son consentement sans subir de préjudice".
Dans ce contexte, le régulateur précise notamment qu’il sera très attentif à l’existence d’alternatives réelles et satisfaisantes, notamment fournies par le même éditeur, lorsque le refus des traceurs non nécessaires bloque l’accès au service proposé. A cet égard, il convient de remarquer que plusieurs éditeurs de sites internet qui ont mis en place des cookies walls proposent à l’utilisateur une alternative : réaliser un paiement, généralement d’un ou deux euros par mois, pour accéder au site internet sans être obligé de consentir aux cookies publicitaires. La question se pose désormais de savoir si la CNIL validera ce système en cas de contentieux individuels.
Par ailleurs, les lignes directrices de la CNIL précisent que la liberté de choix de l’utilisateur et donc la validité de son consentement, pourrait être affectée par le recueil d’un consentement unique pour plusieurs opérations de traitement ayant des finalités distinctes. En effet, en vertu du principe de liberté du consentement, un utilisateur doit pouvoir être en mesure d’accepter ou de refuser les cookies en les sélectionnant finalité par finalité. Or, les cookies walls fonctionnant sur le mode du consentement unique, choisir ses préférences semble impossible. La légalité des cookies walls pourrait donc également être remise en cause pour ce motif.
En outre, la CNIL précise que - "sous réserve de la licéité de cette pratique" - les éditeurs de site optant pour un cookie wall devront "clairement indiquer à l’utilisateur les conséquences de ses choix et notamment l'impossibilité d'accéder au contenu ou au service en l'absence de consentement".
Appuyant sa position par l’action, le régulateur a tout récemment adressé une vingtaine de mises en demeure à divers organismes "ne permettant pas aux internautes de refuser les cookies aussi facilement que de les accepter" (communiqué du 25 mai 2021). Les entités concernées, qui sont autant des acteurs internationaux de l’économie numérique que des structures publiques nationales, disposent d’un délai d’un mois pour mettre leurs pratiques en conformité. La CNIL annonce que les contrôles de ce type seront multipliés à l’avenir, ce qui devrait permettre d’affiner sa position.
La position du Comité européen de la protection des données et la perspective du prochain règlement ePrivacy
Dans ses lignes directrices 5/2020 sur le consentement au sens du RGPD, le Comité européen de la protection des données (CEPD) énonce clairement et expressément que la pratique des cookies walls empêche qu’un consentement puisse être donné librement et, par conséquent, qu’il soit valide.
Le CEPD a d’ailleurs repris cette position dans le cadre d’une déclaration sur la révision de la directive ePrivacy (directive 2002/58/CE, modifiée par la directive 2009/136/CE) et son incidence sur la protection de la vie privée et la confidentialité des communications électroniques. Ainsi, il précise que le consentement au sens du projet de règlement ePrivacy doit revêtir le même sens que dans le RGPD et affirme catégoriquement que la pratique du cookie wall doit être purement et simplement interdite.
Plus récemment, le 9 mars 2021, le CEPD a publié une déclaration indiquant que "le règlement e-Privacy ne doit en aucun cas abaisser le niveau de protection des données offert par l’actuelle directive ’vie privée et communications électroniques‘, mais devra compléter le RGPD pour apporter de solides garanties pour la confidentialité et la protection de tous types de communications électroniques". Dans cette logique, le CEPD a réaffirmé la nécessité d’obtenir un consentement libre et éclairé, et a insisté sur le besoin d’inclure dans le règlement e-Privacy une disposition consacrant l’interdiction des cookies walls.
Le règlement sera prochainement débattu au Parlement européen. En attendant, la directive ePrivacy et le RGPD restent pleinement en vigueur, et la pratique actuelle du cookie wall sera évaluée à l’aune de ces textes et à la lumière des lignes directrices du CEPD.
Technologie, Media et Communication dans notre cabinet d’avocats :
Si les avancées technologiques constituent de formidables opportunités, elles sont également un vecteur de risques pour les entreprises. Dans cet environnement évolutif, notre cabinet d’avocats met à votre disposition sa fine compréhension des nouvelles technologies, son expertise reconnue en matière de propriété intellectuelle ainsi que sa parfaite maîtrise du droit des contrats.
|
|
|
