Cookies : le Conseil d’État valide plus qu’il ne condamne la position de la CNIL

Tout le monde connaît les cookies puisque tout internaute en accepte ou en refuse des dizaines par jour. Tout le monde sait aussi que l’invention du cookie a révolutionné la publicité digitale.

Ce qui est moins connu, c’est que ce petit fichier déposé sur le disque dur de l’internaute lorsqu’il consulte un site internet, et qui conserve certaines informations lorsqu’il en consulte un autre ensuite, est réglementé depuis plus de dix ans. C’est en effet la loi de transposition d’une directive européenne de 2002 qui a encadré pour la première fois l’utilisation des cookies par les opérateurs. Ce n’est donc pas un nouveau venu dans le paysage juridique de la publicité en ligne.

Mais c’est la première fois que le Conseil d’État, la plus haute juridiction administrative française, se prononce à leur sujet, dans un arrêt du 19 juin 2020. Beaucoup de choses ont été aussitôt dites et écrites, parfois exagérées. Un petit rappel s’impose donc.     

La loi Informatique et libertés prévoit que l’internaute doit être informé de la possible installation des cookies sur son ordinateur ainsi que des moyens de s’opposer à leur installation.

Il doit aussi donner son consentement après avoir reçu cette information détaillée.

Depuis toujours, la Commission Nationale de l’Informatique et des Libertés (CNIL) s’intéresse de près aux cookies parce qu’ils transportent avec eux de nombreuses données tout à fait personnelles des internautes. Mais sa position à leur sujet et notamment sur cette exigence de consentement, a évolué au fil des années.

Elle a tout d’abord considéré que le consentement de l’internaute était réputé donné par celui-ci s’il poursuivait sa navigation sur le site une fois informé de l’existence des cookies et de leur finalité. C’est donc en ce sens qu’ont été élaborées ses premières « lignes directrices », qui expriment sa doctrine officielle sur la question.

Mais cette position, bien que pragmatique, n’était pas complétement convaincante en droit, et même étonnante de la part d’une autorité bien souvent beaucoup plus intransigeante avec les professionnels. Elle a donc été vivement critiquée par plusieurs associations de défense des internautes.

Et puis le RGPD est entré en vigueur en France, renforçant nettement les conditions requises pour que le consentement des personnes physiques soit considéré comme valablement donné. La CNIL en a donc tiré toutes les conséquences et changé de pied. Ses nouvelles « lignes directrices » de 2019, considèrent alors que la simple poursuite de la navigation sur un site n’est pas une expression valable du consentement au dépôt de cookies.

En outre, ce consentement doit être obtenu pour chacune des finalités des cookies utilisés (navigation, stockage, publicité ciblée…).

Toutefois, ces mêmes lignes directrices interdisaient la pratique des « cookies walls » consistant à bloquer l’accès à un site internet en cas de refus d’installation des cookies par un internaute. C’est cette question, il est vrai essentielle, qui est au cœur de la décision du Conseil d’État.

Contestant globalement la légalité de ces nouvelles lignes directrices, plusieurs associations professionnelles du commerce et de la publicité en ligne l’ont en effet saisi d’une demande d’annulation pour excès de pouvoir.

Mais la seule disposition invalidée est précisément celle relative à l’interdiction des cookies walls.

Or si le Conseil d’État en juge ainsi, ce n’est pas pour une raison de fond, mais au motif que la CNIL n’a pas le pouvoir d’énoncer une interdiction générale et absolue, laquelle ne peut relever du « droit souple ».

La question de fond de la conformité de ces cookies walls à la loi Informatique et libertés et au RGPD reste donc entière. Et donc celle du point de savoir si l’impossibilité d’accéder au site Internet en cas de refus des cookies est ou on susceptible d’invalider le consentement des internautes. Mais cette question devra être tranchée, soit dans le cadre d’un contentieux, soit par un texte légal qui s’ajouterait aux dispositions actuelles.

La CNIL est ici sortie de son rôle et c’est ce que le Conseil d’Etat lui a reproché. Pas plus, pas moins.

(Les tribunes publiées sont sous la responsabilité de leurs auteurs et n'engagent pas CB News).