[Brèves] Cookies et autres traceurs de connexion : Le Conseil d’État annule partiellement les lignes directrices de la CNIL

► La CNIL ne pouvait légalement interdire dans ses lignes directrices les « cookie walls », pratique qui consiste à bloquer l’accès à un site internet en cas de refus des cookies ; en revanche, la question de la légalité des autres points contestés, relatifs au recueil du consentement des internautes aux cookies et autres traceurs, est rejetée.

Tel est le sens d’un arrêt rendu par le Conseil d’État le 19 juin 2020 (CE, 10ème ch., 19 juin 2020, n° 434684, mentionné aux tables du recueil Lebon N° Lexbase : A96773NQ)

Contexte. Le 4 juillet 2019, dans le cadre de son plan d’action sur le ciblage publicitaire et à l’issue d’une concertation avec les professionnels et la société civile, la CNIL a adopté des lignes directrices sur les cookies et autres traceurs (CNIL, délibération n° 2019-093 du 4 juillet 2019 N° Lexbase : Z833378P ; lire N° Lexbase : N0100BYD) afin de préciser les règles applicables et les bonnes pratiques en la matière depuis l’entrée en vigueur du « RGPD » (Règlement n° 2016/679 du 27 avril 2016 N° Lexbase : L0189K8I).

Ces lignes directrices ont pour objet de préciser les conditions dans lesquelles le « RGPD » renforce les droits des internautes, afin de leur permettre de garder la maîtrise de leurs données personnelles à l’encontre des cookies et traceurs fréquemment utilisés, en particulier, lors de la navigation sur les sites internet.

Elles ont été attaquées par plusieurs associations et syndicats professionnels de la publicité en ligne, de l'e-commerce et des médias.

Refus de l’interdiction générale et absolue des « cookie walls ». Les requérants contestaient en particulier l’interdiction, par les lignes directrices attaquées, de la pratique des « cookie walls » par laquelle les éditeurs de sites internet bloquent l’accès à leurs sites lorsque l’internaute ne consent pas au suivi de sa navigation au moyen du dépôt de cookies et des traceurs de connexion.  

Par la décision du 19 juin 2020, le Conseil d’État juge qu’en déduisant une telle interdiction de la seule exigence d’un consentement libre de l’utilisateur au dépôt de traceurs, posée par le « RGPD », la CNIL a excédé ce qu’elle pouvait légalement faire dans le cadre d’un acte dit « de droit souple ».

Les actes de droit souple désignent les instruments, telles que les lignes directrices des autorités de régulation, qui ne créent pas de droit ou d’obligation juridique pour quiconque mais influencent fortement, dans les faits, les pratiques des opérateurs économiques.

Sans se prononcer sur le fond de la question, le Conseil d’État considère que la CNIL ne pouvait, sous couvert d’un acte de droit souple, énoncer une telle interdiction générale et absolue.

Rappel de l’exigence d’information spécifique pour chacune des finalités du traitement de données. Les requérants critiquaient également le point des lignes directrices précisant que les utilisateurs doivent « être en mesure de donner leur consentement de façon indépendante et spécifique pour chaque finalité distincte ».

La loi n° 78-17 du 6 janvier 1978, relative à l’informatique, aux fichiers et aux libertés (N° Lexbase : L8794AGS), impose que le consentement de l’utilisateur préalable au dépôt de traceurs porte sur chacune des finalités du traitement des données recueillies.

Le Conseil d’État précise que cette exigence implique, lorsque que le recueil du consentement est effectué de manière globale, qu’il soit précédé d’une information spécifique à chacune des finalités. Le Conseil d’État juge que le passage contesté des lignes directrices se borne à rappeler cette exigence, sans imposer aux opérateurs des modalités techniques particulières (consentement global ou finalité par finalité) pour le recueil du consentement.

La portée des lignes directrices validées. Le Conseil d’État a validé l’essentiel des interprétations ou recommandations contenues dans les lignes directrices de la CNIL :

• les personnes doivent pouvoir refuser de donner leur consentement aussi facilement que l’accorder ;
• les personnes doivent pouvoir retirer leur consentement aussi facilement qu’elles l’ont donné ;
• le consentement de l’utilisateur doit porter sur chacune des finalités, ce qui implique notamment une information spécifique ;
• les personnes doivent être informées de l’identité des responsables de traitement qui déposent des cookies, la liste contenant l’identité des responsables de traitement devant être mise à leur disposition lors du recueil du consentement et être mise à jour régulièrement ;
• les responsables de traitement doivent être en mesure de démontrer à la CNIL qu’ils ont recueilli un consentement valide.

Dans son communiqué du 19 juin 2020, relatif à cette décision, la CNIL a précisé que les lignes directrices seront ajustées dans la stricte mesure de ce qui est nécessaire pour tirer les conséquences de la décision du Conseil d’État.

Par ailleurs, ainsi que l’a exprimé le Conseil d’État, les lignes directrices ne précisent pas les modalités concrètes selon lesquelles il est recommandé aux professionnels de recueillir le consentement aux cookies. Ces modalités doivent être précisées dans une future recommandation de la Commission, qui a fait l’objet d’une consultation publique.

© Reproduction interdite, sauf autorisation écrite préalable