Loin du Conseil d’Etat l’idée d’interdire la pratique des « cookie walls » énoncé par la CNIL dans ses lignes directrices adoptées le 04 Juillet 2019, contrairement à ce qui a été annoncé par de nombreuses revues journalistiques. L’Autorité de Contrôle devra seulement ajuster ses recommandations en la matière pour se conformer à la décision rendue le 19 Juin 2020.
Pour rappel, la CNIL avait publié le 04 Juillet 2019 des lignes directrices sur les cookies et autres traceurs, dans le cadre de son plan d’action sur le ciblage publicitaire, afin d’éclairer les éditeurs de presse et autres organismes publicitaires sur les modalités de recueil du consentement des internautes.
Ces recommandations, issues d’une interprétation officielle des dispositions du Règlement (UE) n°2016/679 relatif à la protection des données (RGPD) et des dispositions parallèles de la Directive 2002/58 dite « eprivacy », ont été validées pour l’essentiel par le Conseil d’Etat, notamment sur le fait que le recueil du consentement des internautes devait être symétrique (au sens où les personnes concernées doivent pouvoir refuser ou retirer leur consentement au traitement de leurs données personnelles aussi facilement qu’elles l’ont donné). Par ailleurs, le CE confirme pleinement que :
• Le consentement des internautes doit porter sur chacune des finalités spécifiées par le responsable de traitement ;
• Les personnes doivent être informées de l’identité des responsables de traitement qui déposent des cookies ;
• Les responsables de traitement doivent être en mesure de démontrer à la CNIL qu’ils ont recueilli un consentement licite, conformément à l’article 7 du RGPD.
Néanmoins, le Conseil d’Etat a annulé la disposition selon laquelle la CNIL prohibait la pratique des « cookie walls », notamment l’accès à un site internet sous réserve de l’acceptation des cookies, au motif que la CNIL « avait été au-delà de ce qu’il est légalement possible de faire dans le cadre de lignes directrices, qui sont un instrument de « droit souple » ».
Or, la CNIL ne faisait que rappeler l’impératif de mise en œuvre des lignes directrices du Comité Européen de Protection des Données Personnelles (CEPD) en date du 04 Mai 2020, recommandant que « Pour que le consentement soit donné librement, l’accès aux services et fonctionnalités ne doit pas être subordonné au consentement d’un utilisateur au stockage d’informations, ou à l’accès à des informations déjà stockées, dans l’équipement terminal d’un utilisateur […] » (§ 39 des lignes directrices 05/2020 portant sur le consentement au sens du RGPD, du 4 mai 2020).
Dans sa décision du 19 Juin 2020, le Conseil d’Etat a, certes, annulé l’interdiction de la pratique des « cookies walls » issue des lignes directrices adoptées par la CNIL, dans la mesure où la CNIL n’avait pas de pouvoir normatif de ce type. Autrement dit, il n’appartient pas à la CNIL d’interdire expressément cette pratique… mais cela ne signifie en aucun cas que cette pratique soit autorisée, le CEPD prohibant déjà cette mesure. Ainsi, Les acteurs du secteur publicitaire ont tout intérêt à se conformer à ces recommandations, et seraient bien avisés de ne pas prendre la décision du Conseil d’Etat pour un blanc-seing leur permettant de se complaire dans des pratiques désormais condamnées.
La CNIL, ayant entendu cette décision, y répond de façon conciliante, en énonçant que ses lignes directrices seront ajustées « pour tirer les conséquences de la décision du Conseil d’Etat », qui devrait intervenir après Septembre 2020. Il s’agira sans doute d’une modification de forme puisque, comme rappelé ci-dessus, le fond reste inchangé.
