Alors que Libération vient d’annoncer la suppression de tous les traceurs publicitaires de son site et de ses applications pour ses abonnés afin de mieux protéger leurs données personnelles, et que la Cour de Justice de l’Union Européenne (CJUE) a confirmé qu’une case cochée par défaut ne vaut pas consentement, les décisions de la CNIL sont attaquées devant le Conseil d’Etat, la Quadrature du Net lui reprochant de tarder à sanctionner les acteurs de la communication et du marketing digital, et ces derniers contestant sa délibération du 4 juillet 2019 sur les cookies et autres traceurs.
Par arrêt du 1er octobre 2019, la CJUE vient de confirmer qu’une case pré-cochée ne peut valoir consentement aux cookies. Lorsque vous visitez un site Internet, un bandeau vous informe de l’utilisation de cookies que vous êtes invités à accepter, ce qui autorise dans le même temps une liste de partenaires à traiter les données collectées. Depuis l’entrée en vigueur du RGPD, le consentement doit être explicite. La CJUE étend ce principe à la période antérieure.
L’article 4 du RGPD définit le consentement comme:
« toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement »
Une société avait organisé un jeu concours sur Internet où les participant devaient remplir un formulaire dans lequel la case d’exploitation de leurs données personnelles à des fins publicitaires était décochée. Mais une seconde case était pré-cochée autorisait sponsors et partenaires d’informer par voie postale, par téléphone, par courrier électronique ou par SMS de promotions dans leur domaine d’activité respectif. Il était prévu un dispositif pour que que l’internaute puisse revenir à tout moment sur son acceptation, et choisir parmi les 60 partenaires listés mais qu’à défaut, l’organisateur était libre de les sélectionner. Le lien relatif aux cookies donnait des informations sur les finalités de ces traceurs, à charge pour l’internaute souhaitant s’y opposer de modifier les paramètres de son navigateur. Mais pour revenir sur son accord, il était nécessaire d’adresser un courrier au service clientèle. Par ailleurs, il n’était possible de participer au jeu promotionnel qu’après avoir coché la première case (pratique dénommée “Cookie Wall”).
« le consentement n’est pas valablement donné lorsque le stockage d’informations ou l’accès à des informations déjà stockées dans l’équipement terminal de l’utilisateur d’un site Internet, par l’intermédiaire de cookies, est autorisé au moyen d’une case cochée par défaut que cet utilisateur doit décocher pour refuser de donner son consentement ».
Par ailleurs, la CJUE décide que le consentement explicite est nécessaire que les informations collectées constituent ou non des données à caractère personnel. En effet, la règlementation européenne vise à protéger l’utilisateur de toute ingérence dans sa vie privée et s’oppose donc à tout dispositif collectant des informations à son insu.
A défaut d’avoir été saisi de la question par la juridiction de renvoi, la CJUE ne se prononce cependant pas sur la question de savoir si le consentement d’un utilisateur au traitement de ses données personnelles à des fins publicitaires conditionne sa possibilité de participer à un jeu promotionnel.
Cet arrêt intervient alors que le 4 juillet dernier, la CNIL a laissé un nouveau délai d’un an aux acteurs de la communication et du marketing digital pour se mettre en conformité. Ces acteurs ne seront donc toujours pas sanctionnés pour avoir continué à considérer que la poursuite de la navigation sur un site vaut consentement aux cookies. Cette position a donc fait l’objet d’un recours devant le Conseil d’État par La Quadrature du Net et Caliopen, associations protectrices des droits des internautes, le rapporteur public ayant cependant recommandé de rejeter cette requête, faute d’erreur manifeste d’appréciation.
« La pérennité même du secteur de la publicité en ligne et du marketing digital continue à reposer très largement sur cette pratique ».
«Tout le monde sait ce qu’il ne faut pas faire, mais personne ne sait exactement et concrètement ce qu’il faut faire»
De leur côté, les acteurs de la publicité numérique dénoncent une approche trop radicale de la CNIL et contestent sa délibération du 4 juillet sur les cookies et autres traceurs publicitaires. Le 18 septembre dernier, dans un mouvement unanime inédit, neuf grandes associations professionnelles du secteur représentant les éditeurs, e-commerçants, annonceurs français et leurs partenaires marketing (Geste, SRI, IAB France, MMAF, Udecam, AACC, Fevad, UDM et SNCD) ont déposé un recours devant le Conseil d’Etat contre les recommandations de la CNIL prohibant notamment la pratique du «Cookie Wall» ou promouvant le recueil du consentement directement au niveau du navigateur, ce qui avantagerait un peu plus encore les GAFAM sur le marché du marketing digital.
https://www.cnil.fr/fr/cookies-et-autres-traceurs-la-cnil-publie-de-nouvelles-lignes-directrices
https://www.droit-technologie.org/actualites/pas-de-case-precochee-pour-les-cookies/
https://www.nextinpact.com/news/108226-lavenir-cookies-publicitaires-en-suspens-au-conseil-detat.htm
https://www.nextinpact.com/news/108226-lavenir-cookies-publicitaires-en-suspens-au-conseil-detat.htm