Par Laurent GOUTORBE et A'drill KOUDOU
Le cadre juridique applicable aux cookies serait-il en train d’évoluer ?
Le 21 mars 2019, l’Avocat Général près la Cour de Justice de l’Union Européenne (CJUE), dans le cadre de ses conclusions générales[1], a proposé ses réponses aux questions préjudicielles posées par la Cour fédérale de Justice allemande relatives principalement au consentement des internautes pour le dépôt de cookies sur leur terminal.
La société allemande Planet49 a organisé le 24 Septembre 2013, un jeu promotionnel en ligne. Pour y participer, l’internaute devait en amont donner son code postal puis cocher ou décocher deux cases. La première case, bien que non cochée par défaut, devait obligatoirement être cochée par l’internaute pour pouvoir participer au jeu et était destinée à recueillir son « consentement » à recevoir des offres promotionnelles. La seconde case était quant à elle cochée par défaut et obligeait l’internaute à accepter le dépôt de cookies sur son terminal.
Après une mise en demeure précontentieuse restée sans suite par une association de défense des consommateurs et d’une procédure engagée par elle devant les juridictions allemandes, la Cour Fédérale de justice allemande a saisi la CJUE des questions préjudicielles suivantes :
Un cookie est un moyen de collecter des informations générées par un site internet et sauvegardées par le navigateur d’un internaute. Il s’agit de « traceurs déposés et lus par exemple lors de la consultation d’un site internet (…) quel que soit le type de terminal utilisé tel qu’un ordinateur ou un smartphone (…). »
En France, l’encadrement des cookies est régi principalement par une recommandation de la CNIL du 5 Décembre 2013[2]. Cette recommandation, prise à la lumière de la Loi Informatique et Libertés et de la Directive « vie privée et communications électroniques », pourrait être mise à jour au regard des dispositions du RGPD et du futur Règlement E-Privacy.
En Allemagne, la directive vie privée et communications électroniques a été transposée dans la Telemediengesetz (TMG).
Selon l’Avocat Général de la CJUE, le fait que les informations stockées ou consultées via les cookies ou autres traceurs sont ou non des données à caractère personnel ne fait aucune différence.
En effet, l’article 5 paragraphe 3 de la directive vie privée et communications électroniques évoque le stockage et l’accès des « informations » d’un abonné ou d’un internaute.
L’Avocat général précise que le terme « information » a un caractère privé et que le fait de savoir s’il s’agit (ou non) de données à caractère personnel n’est pas déterminant pour l’application des caractéristiques du consentement au dépôt des cookies sur le terminal d’un internaute.
L’Avocat général de la CJUE rappelle d’une part, que le consentement est valablement donné s’il est actif, distinct et précédé d’une information claire et complète fournie à l’internaute et d’autre part, que les dispositions du RGPD sont plus strictes que celles de la directive de 1995 en matière de consentement puisqu’elles requièrent en plus une manifestation de la volonté univoque et un acte positif clair de la personne concernée.
Au vu de ces dispositions, l’Avocat général de la CJUE conclut que l’internaute qui doit décocher une case pour exprimer son refus à l’installation de cookies sur son terminal, ne donne pas valablement son consentement dans le cas où il ne décoche pas la case. En effet, il n’y a pas, dans ce cas, d’acte positif de l’internaute pour exprimer son consentement.
Ainsi, le simple clic de l’internaute sur le bouton de participation sans refuser le dépôt de cookies sur son terminal (case déjà pré-cochée), ne pouvait valoir consentement à la participation du jeu et en même temps au dépôt de cookies sur son terminal, dès lors que le consentement doit être distinct et spécifique pour chaque finalité prévue afin d’être valable.
Ces conclusions de l’Avocat Général de la CJUE sont conformes à la position déjà exprimée par la CNIL dans sa Délibération n° 2013-378 du 5 décembre 2013 portant adoption d’une recommandation relative aux Cookies et aux autres traceurs visés par l'article 32-II de la loi du 6 janvier 1978, ainsi que dans sa décision de sanction prononcée à l’encontre de la société GOOGLE LLC.
Enfin, l’Avocat Général de la CJUE rappelle que la fourniture d’une information claire, précise et complète est également la condition préalable pour recueillir un consentement valable de l’internaute. L’Avocat général indique que l’information claire et complète implique notamment de préciser à l’internaute la durée de fonctionnement des cookies et d’indiquer si des tiers ont accès (ou non) aux cookies ainsi déposés. Cela implique également que cette information permette aux internautes de déterminer facilement les conséquences de leur consentement.
Ce qu’il faut retenir de ces conclusions de l’Avocat général, c’est principalement que :
Ces conclusions de l’Avocat Général confirment les positions de la CNIL en matière de cookies et renforcent l’obligation d’information préalable qui doit être fournie aux internautes avant de recueillir leur consentement au dépôt de cookies sur leur terminal. Si ce dernier est suivi dans ses conclusions par la CJUE, les éditeurs de site Internet utilisant les cookies ne pourront plus ignorer cette position et devront s’assurer que leur bandeau cookies de recueil de consentement et leur politique de gestion des cookies sont conformes à cette position.
Expert depuis plus de vingt ans en Propriété intellectuelle et NTIC, le Cabinet Haas vous conseille sur toutes ces questions. Pour plus d’informations sur ces prestations, cliquez ici ou contactez directement un avocat grâce au service JurisAppel.
[1]http://curia.europa.eu/juris/document/document.jsf?text=&docid=212023&pageIndex=0&doclang=fr&mode=lst&dir=&occ=first&part=1&cid=1715058
[2] Délibération n° 2013-378 du 5 décembre 2013 portant adoption d’une recommandation relative aux Cookies et aux autres traceurs visés par l'article 32-II de la loi du 6 janvier 1978