- Il est essentiel d’informer l’internaute des cookies qui peuvent être déposés sur son terminal en lui permettant de distinguer ceux qui sont obligatoires ou soumis à son consentement, ainsi que des conséquences de son éventuelle opposition au dépôt de ces cookies
- La seule proposition à l’internaute de paramétrer son navigateur n’est pas un mode valable d’opposition.
Contexte
Suite à un contrôle, l’éditeur du site challenges.fr, la société Editions Croque Futur, avait été mis en demeure par la CNIL de se conformer à la loi Informatique et libertés dans un délai de 3 mois.
Parmi les manquements constatés, il était notamment reproché à ce dernier d’avoir manqué à son obligation d’information et à son obligation de fournir un moyen à l’internaute de s’opposer au dépôt de cookies sur son terminal.
Aucune réponse appropriée n’avait été envoyée par l’éditeur. Le 18 mai 2017, la CNIL a donc prononcé une sanction pécuniaire de 25 000 € contre ce dernier.
Les Editions Croque Futur ont contesté la décision de la CNIL.
Décision
Le Conseil d’Etat, dans sa décision du 6 juin 2018 (Conseil d’État, 6 juin 2018 décision n°412589), valide la position de la CNIL.
En effet, aux termes de la loi du 6 janvier 1978 et de la directive du 12 juillet 2002, les éditeurs de site utilisant des cookies doivent, préalablement au dépôt de cookies :
- informer les internautes de la finalité des cookies, des moyens dont ils disposent pour s’y opposer et des conséquences de l’opposition sur la navigation sur le site,
- recueillir le consentement des internautes, à moins que ces cookies ne soient essentiels au fonctionnement technique du site ou qu’ils correspondent à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur,
- fournir aux internautes un moyen de s’opposer individuellement à chaque catégorie de cookies.
En l’espèce, le site challenges.fr utilisait plusieurs types de cookies, dont des cookies publicitaires.
D’après l’éditeur, ces cookies étaient « nécessaires à la viabilité économique du site Internet » et ne nécessitaient pas le consentement préalable des internautes.
Ceci étant, la CNIL et le Conseil d’Etat n’ont pas retenu cet argument : le fait que l’éditeur générerait moins de revenus sans ces cookies publicitaires ne les rend pas pour autant essentiels à la navigation sur le site. En conséquence, l’internaute aurait du pouvoir s’opposer au dépôt de ce type de cookies.
Or, le seul moyen d’opposition offert par le site challenges.fr était le paramétrage de son navigateur par l’utilisateur, qui n’a pas été jugé comme un mode valable d’opposition.
Enfin, les informations transmises aux utilisateurs du site ne leur permettaient pas de différencier clairement les catégories de cookies susceptibles d’être déposés sur leur terminal, ni de connaître les conséquences, en termes de navigation sur le site, attachées à leur éventuelle opposition.
Commentaire
Par cette décision, le Conseil d’Etat rappelle que l’usage des cookies doit respecter les règles générales en matière de protection des données personnelles.
Cette affaire a été jugée sous l’empire de la loi du 6 janvier 1978 applicable au moment des faits reprochés, en 2016.
Depuis, le RGPD (Règlement Général sur la Protection des Données) et l’adaptation de la loi informatiques et libertés sont entrés en application, qui réaffirment l’exigence d’un consentement exprès et spécifique pour chaque finalité poursuivie pour le traitement de données.
En conséquence, plusieurs pratiques fréquemment rencontrées doivent être proscrites.
C’est le cas notamment de celle qui consiste à proposer uniquement aux internautes de paramétrer leur navigateur pour refuser les cookies.
En effet, cette pratique ne permet pas de désactiver chaque cookie non essentiel de manière individuelle.
Par ailleurs, si l’internaute doit modifier les paramètres de son navigateur pour désactiver les cookies, cela signifie a contrario que son consentement n’a pas été demandé préalablement à leur activation.
Les éditeurs devront veiller aussi à ne plus proposer un bandeau cookies avec la formulation « en poursuivant votre navigation sur ce site, vous acceptez l’usage de cookies ».
Concrètement, il sera nécessaire de prévoir, sur chaque site utilisant des cookies, de mettre à jour le bandeau d’information et de créer une véritable page de paramétrage permettant à l’internaute de donner son consentement spécifique et de s’opposer à chaque cookie de manière individuelle, avec des mentions d’information suffisantes.
Clotilde Chatelet et Carole Isoard
Juristes en Propriété Industrielle
Inlex IP Expertise, Marseille