Dépôt de cookies : de nouvelles précisions sur les modalités du consentement des internautes

Publié le Par Redada Vu 471 fois 0

La CJUE condamne la pratique de la case cochée par défaut, tandis que le Conseil d’Etat admet qu’à titre transitoire la poursuite de la navigation sur un site web puisse valoir consentement au dépôt de cookies.

Dépôt de cookies : de nouvelles précisions sur les modalités du consentement des internautes

La CJUE a été saisie en 2017 par la Cour fédérale de justice allemande.

L’éditeur d’un site internet avait organisé un jeu en ligne « promotionnel » en proposant aux participants d’inscrire leurs nom et adresse sur une page web. Celle-ci comportait deux mentions accompagnées de cases à cocher, la seconde case l’étant par défaut. La première mention servait à obtenir de l’internaute qu’il accepte de recevoir des offres promotionnelles. La participation au jeu n’était ouverte que si la case correspondante était cochée. La seconde mention informait l’utilisateur de ce que des cookies seraient installés sur son ordinateur, mais qu’il avait la possibilité de les supprimer.

La Cour a d’abord relevé que l’article 5, 3 de la directive de 2002 ne fournissait pas d’indication sur la manière dont l’utilisateur devait exprimer son « accord » au stockage d’informations dans son terminal ou à l’accès d’informations déjà stockées. La réponse à la question lui a paru devoir être plutôt tirée des textes de 1995 et 2016 relatifs à la protection des données personnelles et, plus spécialement, des dispositions relatives au « consentement » de la personne concernée au traitement de telles données. En effet, il n’y a guère de différence entre la notion d’« accord » et celle de « consentement ».

Or, la directive 95/46/UE et surtout le RGPD manifestent, dans ce domaine, une conception exigeante. Selon le règlement, le consentement de la personne concernée se définit comme une manifestation de volonté « libre, spécifique, éclairée et univoque », l’acceptation de l’intéressé devant faire l’objet d’une « déclaration » ou d’un « acte positif clair » (RGPD art. 4, 11). La CJUE en a déduit que ces dispositions n’étaient pas respectées lorsque le dépôt de cookies ou l’accès à des informations déjà inscrites est autorisé au moyen d’une case cochée par défaut que l’utilisateur doit décocher pour refuser son consentement.

La Cour justifie également cette position par une considération pratique : l’impossibilité de vérifier que le consentement a été effectivement donné, l’utilisateur pouvant très bien ne pas avoir lu la mention accompagnant la case cochée par défaut ou même n’avoir pas aperçu cette case.

De son côté, la Cnil a publié des lignes directrices qui soulignent  que le caractère « univoque » du consentement implique une action positive de la part de l’utilisateur d’un site internet. Elles anticipent la position de la Cour de Luxembourg en relevant que la pratique de la case pré-cochée ne satisfait pas aux exigences du RGPD. Elles précisent également que le fait de continuer à naviguer sur un site web ne saurait être assimilé à une action positive. 

Quelques jours avant d’avoir arrêté ces lignes directrices, le 28 juin 2019, la Cnil a publié sur son site internet un communiqué par lequel elle annonçait avoir élaboré un plan d’action pour l’année 2019-2020. Il s’agissait de préciser les règles applicables en matière de ciblage publicitaire et d’accompagner les acteurs dans la mise en œuvre de ces règles. Un second communiqué du 18 juillet 2019 a signalé que les lignes directrices du 4 juillet constituaient le « socle » du plan d’action. Il a également fait état d’une concertation permettant d’adopter, au premier trimestre 2020, une nouvelle recommandation qui aurait pour objet de définir les modalités pratiques du consentement à l’installation de cookies et autres traceurs de connexion.

Le communiqué du 28 juin 2019 laisse aux opérateurs une période transitoire de douze mois pour se conformer aux nouvelles exigences de la Cnil. Il ajoute que, durant cette période, la poursuite de la navigation sur un site internet sera encore considérée par la Commission comme exprimant un consentement valable. Le communiqué du 18 juillet aménage la période d’adaptation en fixant son achèvement six mois après la nouvelle recommandation. Ainsi, jusqu’en octobre 2020 au plus tard, poursuivre la navigation vaut accord du dépôt de cookies.

A noter : Jusqu’en octobre 2020, poursuivre la navigation vaut accord du dépôt de cookies

L’un et l’autre communiqués indiquent cependant aux intéressés que la Cnil continuera à contrôler le respect des règles garantissant le caractère préalable du consentement, la possibilité d’accès au service même en cas de refus, ainsi que la disponibilité d’un dispositif de retrait du consentement.

 

Source : EFL

 

A lire : Quelle réglementation pour le site internet d'une association ?

 

 

Articles sur le même sujet :

Vous avez une question ?

Posez gratuitement toutes vos questions sur notre forum juridique. Nos bénévoles vous répondent directement en ligne.

Publier un commentaire
Votre commentaire :