Home / Publications / Données personnelles ou non, « pas de consentement,...

Données personnelles ou non, « pas de consentement, pas de cookies ! »

Nouvelles précisions concernant le recueil du consentement au dépôt de cookies et traceurs

13/11/2019

Une case d’acceptation pré-cochée ne constitue pas un consentement spécifique et informé, exprimé par un acte clair et positif, tranche la Cour de justice de l’Union européenne. 

Faisant application des dispositions de la directive 95/46, du règlement 2016/679 (RGPD) et de la directive 2002/58 dite « vie privée et communications électroniques », la Cour de Justice a eu à connaître d’une affaire concernant une entreprise qui organisait des jeux promotionnels sur un site Internet. Une case cochée par défaut, présumait le consentement de l’utilisateur au dépôt sur son ordinateur de cookies publicitaires, c’est-à-dire de fichiers permettant d’optimiser la navigation de l’utilisateur lors de ses nouvelles visites sur le site grâce à l’utilisation et la conservation de ses données comportementales.

L’exploitant du site Internet misait ainsi sur l’inertie de l’utilisateur qui ne se préoccupait pas de décocher une case et donnait - souvent sans le savoir - accès à ses données à caractère personnel en acceptant par défaut l’installation de cookies. Selon la Cour, réunie en Grande chambre, une telle pratique aboutit à une double impossibilité juridique : elle ne permet pas de caractériser la manifestation du consentement et empêche d’établir son caractère informé (CJUE, 1er octobre 2019, C-673/17). 

L’exigence d’un acte positif clair pour caractériser un consentement informé

Selon la Cour, seul un comportement actif de l’utilisateur permet de caractériser son consentement au stockage ou à l’accès à ses informations via le dépôt de cookies sur son terminal et donc d’établir la licéité du traitement. En effet, il est objectivement extrêmement difficile de démontrer que le fait pour l’utilisateur de s’abstenir de décocher une case cochée par défaut reflète véritablement son consentement au traitement de ses données. 

Par ailleurs, la Cour considère qu’il est impossible de s’assurer que l’utilisateur qui se serait abstenu de décocher la case aura été préalablement informé, car il pourrait poursuivre sa navigation sans lire l’information associée à la case, voire même sans apercevoir ladite case. En outre, la Cour rappelle que l’information donnée par l’exploitant du site Internet doit être suffisamment claire et précise pour permettre à l’utilisateur de comprendre le fonctionnement des cookies utilisés. Dans cette logique, la Cour - se fondant sur le principe de traitement loyal des données et se référant à l’article 13 du RGPD - précise que la durée de fonctionnement des cookies et la possibilité ou non pour des tiers d’avoir accès à ces cookies et aux informations qu’ils contiennent sont des informations devant être obligatoirement communiquées à l’utilisateur.

Un consentement requis pour toute information, à caractère personnel ou non

La Cour apporte une précision importante : rappelant que la directive 2002/58 fait référence à la notion d’« informations », l’obligation d’obtenir le consentement de la personne concernée aux cookies et autres traceurs s’applique tout autant que la collecte porte sur des données à caractère personnel ou sur des données à caractère non personnel. En effet, la Cour vise le droit fondamental au respect de la vie privée de l’utilisateur, lequel est garanti par l’article 8, paragraphe 1 de la Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales. Ainsi, pour le traitement par des cookies de toute donnée, à caractère personnel ou non, l’expression active du consentement est de mise.

Le consentement doit porter spécifiquement sur le dépôt de cookies

La Cour indique que le consentement au dépôt de cookies doit être spécifique et ne peut pas résulter d’un clic, quand bien même il s’agit d’un acte positif clair, lorsque celui-ci ne vise pas spécifiquement l’installation des cookies, mais la participation à des jeux promotionnels. En conséquence, le consentement au dépôt de cookies sur le terminal de l’utilisateur doit pouvoir être donné séparément du consentement à la participation aux jeux car il s’agit de deux opérations de traitement différentes.

Une décision en phase avec les nouvelles lignes directrices de la CNIL, après la période d’adaptation 

Les nouvelles lignes directrices adoptées en juillet 2019 par la CNIL, relatives à l’information et au consentement des utilisateurs d'un service de communications électroniques et concernant les opérations de lecture ou écriture dans le terminal d’un utilisateur vont dans le sens de la décision de la CJUE (sur la portée de ces lignes directrices, voir notre article « Nouvelles lignes directrices de la CNIL en matière de cookies : souriez, vous êtes tracé, mais vous le savez »). 
La CNIL a accordé aux gestionnaires de sites une période d’adaptation jusqu’à la mi-2020. Si l’on voulait être conforme à la lettre du droit, une décision de justice, telle que celle de la CJUE, devrait être applicable immédiatement sur le territoire national, et accélèrerait donc la mise en œuvre de cette mesure. Mais à la vérité, le régulateur français a souhaité faire preuve de pragmatisme, en accordant un délai de nature à réellement permettre cette mise en conformité. 

Le Conseil d’Etat lui-même y a vu une pratique légale, concernant plus particulièrement les règles de consentement à appliquer dans le cadre de la publicité ciblée sur Internet (CE, 16 octobre 2019, n° 433069). Il juge que : « S’il est vrai que la CNIL a laissé aux opérateurs[…] une période d’adaptation, s’achevant six mois après la publication de cette recommandation, durant laquelle elle annonce que la poursuite de la navigation comme expression du consentement n’entraînera pas la mise en mouvement de son pouvoir répressif, il ressort des pièces du dossier que la fixation d’un tel délai a pour objet de permettre, au plus tard à son terme, à l’ensemble des opérateurs de respecter effectivement les exigences résultant [de ladite recommandation]. Il ressort des pièces du dossier qu’un tel choix permet à l’autorité de régulation d’accompagner les acteurs concernés, confrontés à la nécessité de définir de nouvelles modalités pratiques de recueil du consentement susceptibles d’apporter, sur le plan technique, les garanties qu’exige l’état du droit en vigueur, dans la réalisation de l’objectif d’une complète mise en conformité de l’ensemble des acteurs à l’horizon de l’été 2020. »

Ainsi, s’il est peu probable que la CNIL applique des sanctions avant le second semestre 2020, il conviendra que les gestionnaires de sites Internet aient anticipé cette évolution et se soient mis en conformité dans la période (jugée raisonnable) qui leur a été accordée pour le faire. 


Sur le même sujet, lire également :


Actualité du droit de la propriété intellectuelle :

Cet article a été publié dans notre Lettre Propriétés Intellectuelles de décembre 2019. Découvrez les autres articles de cette lettre.

lettre droit de la propriété intellectuelle 800x300

En savoir plus sur notre cabinet d'avocats :

Notre cabinet d'avocats est l’un des principaux cabinets d’avocats d’affaires internationaux. Son enracinement local, son positionnement unique et son expertise reconnue lui permettent de fournir des solutions innovantes et à haute valeur ajoutée dans tous les domaines du droit.

cabinet avocats CMS en France

A propos de notre cabinet d'avocats

expertise droit propriété intellectuelle 330x220

Expertise : Droit de la propriété intellectuelle

Offre conformité RGPD avocat 330x220

Conformité RGPD : découvrez notre offre

Auteurs

Benezeth Benjamin
Benjamin Benezeth
Juriste
Paris
Anne Laure Villedieu
Anne-Laure Villedieu
Associée
Paris