Saisi par plusieurs associations et syndicats d’éditeurs et de publicitaires (GESTE, IAB, etc.), le Conseil d’État a jugé que la CNIL n’était pas compétente pour interdire la pratique des Cookie Walls.
“In order for consent to be freely given, access to services and functionalities must not be made conditional on the consent of a user to the storing of information, or gaining of access to information already stored, in the terminal equipment of a user (so called cookie walls). This does not constitute valid consent, as the provision of the service relies on the data subject clicking the “Accept cookies” button”
Se fondant sur les lignes directrices relative aux cookies et autres traceurs du European Data Protection Board (EDPB), la CNIL avait déclaré illicite les Cookie Walls, bannières affichées à l’entrée d’un site web qui conditionnent son accès au consentement par l’internaute des cookies, notamment des cookies tiers et cookies publicitaires.
Si le Conseil d’Etat déclare l’incompétence de la CNIL pour juger du caractère licite de cette pratique, il ne déclare cependant pas conforme au RGPD la pratique des éditeurs de bloquer l’accès à un internaute qui refuserait les cookies.
La question de la licéité des Cookie Walls n’est toujours pas tranchée mais nous pouvons sérieusement douter que cette pratique soit conforme au RGPD et qu’elle permette la “manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement”.
La question que devrait se poser les éditeurs est la suivante : où est la liberté de l’internaute dans la pratique des Cookie Walls qui par nature ne laisse aucune choix à l’internaute puisque soit il accepte les cookies pour pouvoir accéder au site, soit il ne peut y accéder.
C’est donc aux éditeurs de faire le choix entre le modèle économique du financement publicitaire (accès libre) et celui de l’abonnement payant (accès conditionné).
Car dans sa décision du 19 juin 2020, le Conseil d’État a validé la plupart des lignes directrices relatives aux cookies et aux traceurs adoptées par la CNIL le 4 juillet 2019 :
- Les personnes doivent pouvoir refuser de donner leur consentement aussi facilement que l’accorder ;
- les personnes doivent pouvoir retirer leur consentement aussi facilement qu’elles l’ont donné ;
- le consentement de l’utilisateur doit porter sur chacune des finalités, ce qui implique notamment une information spécifique ;
- les personnes doivent être informées de l’identité des responsables de traitement qui déposent des cookies ;
- la liste contenant l’identité des responsables de traitement doit être mise à leur disposition lors du recueil du consentement et être mise à jour régulièrement ;
- les responsables de traitement doivent être en mesure de démontrer à la CNIL qu’ils ont recueilli un consentement valide.
Les cookies walls : interdits ou autorisés ? Analyse de la décision du Conseil d’État