Cookies et autres traceurs : le Conseil d’État rend sa décision sur les lignes directrices de la CNIL

Le 4 juillet 2019, dans le cadre de son plan d’action sur le ciblage publicitaire et à l’issue d’une concertation avec les professionnels et la société civile, la CNIL a adopté des lignes directrices sur les cookies et autres traceurs afin de préciser les règles applicables et les bonnes pratiques en la matière depuis l’entrée en vigueur du règlement général sur la protection des données (RGPD).

Ces lignes directrices ont pour objet de préciser les conditions dans lesquelles le RGPD renforce les droits des internautes, afin de leur permettre de garder la maîtrise de leurs données personnelles à l’encontre des cookies et traceurs fréquemment utilisés, en particulier, lors de la navigation sur les sites internet.

Elles ont été attaquées par plusieurs associations et syndicats professionnels de la publicité en ligne, de l'e-commerce et des médias.

La portée des lignes directrices validées par le Conseil d’État

Les lignes directrices explicitent les règles issues du RGPD en matière de recueil du consentement aux cookies. Elles formulent également un certain nombre de recommandations. La protection des données personnelles de l’internaute en est renforcée.

Le Conseil d’État a validé l’essentiel des interprétations ou recommandations contenues dans les lignes directrices :

• Les personnes doivent pouvoir refuser de donner leur consentement aussi facilement que l’accorder ;

• les personnes doivent pouvoir retirer leur consentement aussi facilement qu’elles l’ont donné ;
• le consentement de l’utilisateur doit porter sur chacune des finalités, ce qui implique notamment une information spécifique ;
• les personnes doivent être informées de l’identité des responsables de traitement qui déposent des cookies ; la liste contenant l’identité des responsables de traitement doit être mise à leur disposition lors du recueil du consentement et être mise à jour régulièrement ;
• les responsables de traitement doivent être en mesure de démontrer à la CNIL qu’ils ont recueilli un consentement valide.

La position du Conseil d’État sur les « cookie walls »

Dans sa décision du 19 juin 2020, le Conseil d’État a en revanche censuré un alinéa par lequel la CNIL avait estimé que l’internaute ne devait pas subir d’inconvénients majeurs en cas d’absence ou de retrait du consentement. La CNIL estimait en particulier que l’accès à un site internet ne pouvait jamais être subordonné à l’acceptation des cookies (« cookie walls »).

La CNIL avait en cela suivi la doctrine du Comité européen de protection des données personnelles (CEPD), réunissant l’ensemble des CNIL européennes, qui avait pour sa part estimé, encore récemment, que « Pour que le consentement soit donné librement, l'accès aux services et fonctionnalités ne doit pas être subordonné au consentement d'un utilisateur au stockage d'informations, ou à l'accès à des informations déjà stockées, dans l'équipement terminal d'un utilisateur (« cookie walls ») » (§ 39 des lignes directrices 05/2020 portant sur le consentement au sens du RGPD, du 4 mai 2020). 

Le Conseil d’Etat a estimé qu’en déduisant cette interdiction générale du RGPD, la CNIL avait été au-delà de ce qu’il est légalement possible de faire dans le cadre de lignes directrices, qui sont un instrument de « droit souple ».

La Commission prend acte de la décision du Conseil d’État et s’y conformera strictement.

Les prochaines étapes

Les lignes directrices seront ajustées dans la stricte mesure de ce qui est nécessaire pour tirer les conséquences de la décision du Conseil d’État.

Par ailleurs, ainsi que l’a exprimé le Conseil d’État, les lignes directrices ne précisent pas les modalités concrètes selon lesquelles il est recommandé aux professionnels de recueillir le consentement aux cookies. Ces modalités doivent être précisées dans une future recommandation de la Commission, qui a fait l’objet d’une consultation publique.

L’ajustement des lignes directrices et l’adoption de cette recommandation devraient intervenir après la rentrée de septembre 2020, selon un calendrier qui reste à préciser. 

La CNIL sera ainsi en mesure de poursuivre le plan d’action cookies sur le ciblage publicitaire, dont l’objectif est de garantir aux internautes un plus haut degré de protection, le RGPD venant renforcer les exigences du consentement.