Utilisation de « cookies » : la CNIL rappelée à l’ordre !

Cookies : le juge annule une ligne directrice émise par la CNIL

Le terme de « cookies » couvre l’ensemble des traceurs déposés et/ou lus, par exemple, lors de la consultation d’un site Internet, de la lecture d’un courrier électronique, de l’installation ou de l’utilisation d’un logiciel ou d’une application mobile.

Ces traceurs permettent d’analyser la navigation de l’internaute et ses habitudes, afin de lui proposer des publicités ciblées ou des services personnalisés.

Au vu de ces enjeux, la règlementation générale sur la protection des données (RGPD) impose à tout responsable de site Internet, d’éditeur d’application mobile, de régies publicitaires, de réseaux sociaux et autres, de recueillir le consentement de l’internaute avant d’utiliser ces cookies.

Au vu de cette règlementation, la Commission nationale de l’informatique et des libertés (CNIL) a publié, en 2019, de nouvelles lignes directrices prévoyant notamment :

• l’interdiction, pour les éditeurs de sites Internet, de bloquer l’accès à leur site lorsque l’internaute n’avait pas consenti à ce que sa navigation soit suivie via le dépôt de cookies et de traceurs de connexion (pratique appelée « cookies wall ») ;
• la possibilité, pour les utilisateurs, de donner leur consentement de façon indépendante et spécifique, pour chaque finalité distincte.

Suite à la publication de ces lignes directrices, plusieurs associations professionnelles ont saisi le juge, en vue d’obtenir leur annulation, estimant qu’elles étaient abusives.

Concernant la pratique dite du « cookies wall », le juge a d’abord rappelé que la CNIL n’a que le pouvoir d’émettre des lignes directrices (actes dit de « droit souple »), qui certes ne comportent pas d’obligations, mais qui influencent toutefois fortement sur les pratiques des opérateurs économiques.

Par conséquent, il a estimé que la CNIL a outrepassé ses pouvoirs de « droit souple » en édictant une telle interdiction générale et absolue, qui doit donc être annulée.

Notez que le juge ne s’est pas prononcé sur la légalité de cette pratique, mais seulement sur l’impossibilité pour la CNIL de l’interdire en ces termes.

Il a en revanche estimé parfaitement valide la ligne directrice de la CNIL relative à la possibilité, pour les utilisateurs, de donner leur consentement de façon indépendante et spécifique, pour chaque finalité distincte.

Il a notamment précisé que le respect des règles du RGPD implique, lorsque le recueil du consentement est effectué de manière globale, qu’il soit précédé d’une information propre à chacune des finalités.

Le juge a également validé les autres lignes directrices soulevées devant lui, notamment :

• le fait que le refus ou le retrait du consentement aux cookies soit facilité ;
• la durée recommandée de conservation des cookies ;
• ou l’information des utilisateurs sur les cookies non soumis au consentement préalable.