Dans le cadre de l’assemblée générale du GESTE (cf. groupement des éditeurs de contenus et de services en ligne) qui s’est déroulée le 25 juin dernier, la présidente de la Commission nationale de l’informatique et des libertés (Cnil) a annoncé que de nouvelles recommandations en matière de cookies seraient adoptées d’ici la fin de l’année 2019. D’ici là, de nouvelles lignes directrices devraient être publiées au mois de juillet 2019. Cette information a été confirmée par la Cnil qui a publié le 28 juin dernier sur son site internet son plan d’action s’agissant du ciblage publicitaire en ligne.

 

L’abandon de la pratique de la poursuite de la navigation pour recueillir le consentement au dépôt de cookies

Pour mémoire, l’installation de cookies par un site internet dans le navigateur d’un internaute nécessite par principe une information et un consentement préalables dudit internaute.

 

Toutefois, certains cookies peuvent être déposés ou lus sans avoir recueilli le consentement des internautes. Il s’agit :

• des cookies ayant pour finalité exclusive de permettre, ou faciliter la communication par voie électronique ;
• des cookies strictement nécessaires à la fourniture d’un service expressément demandé par l’internaute.

 

La Cnil avait émis, en 2013, des recommandations sur les modalités de recueil du consentement de l’internaute s’agissant des cookies soumis à un tel consentement, à savoir :

• les cookies liés aux opérations relatives à la publicité ciblée ;
• les cookies de mesure d’audience (à l’exception de ceux respectant les conditions strictes posées par la Cnil) ;
• les cookies traceurs de réseaux sociaux générés par les boutons de partage de réseaux sociaux.

 

Aux termes de ces recommandations, le consentement de l’internaute pouvait être recueilli par l’éditeur du site internet au moyen du processus suivant :

• affichage d’un bandeau informant l’internaute des finalités précises des cookies ayant vocation à être utilisés ;
• lui rappelant la possibilité qui lui est offerte de s’opposer à l’installation de ces cookies ainsi que les moyens dont il dispose à cet effet (cf. lien vers une « politique cookies » et vers un dispositif permettant à l’internaute de choisir les cookies auxquels il consent et ceux auxquels il s’oppose) ;
• et précisant à l’internaute que la poursuite de sa navigation ou le clic par ses soins sur un bouton « OK » ou « j’accepte » vaut consentement au dépôt de cookies sur son terminal.

 

Ainsi, selon la position de la Cnil, la poursuite de la navigation après avoir pris connaissance du bandeau précité, c’est-à-dire la navigation par l’internaute sur une autre page du site internet qu’il visite ou un clic de celui-ci sur un élément dudit site internet (image, lien, bouton « rechercher »), valait consentement de l’internaute à l’installation de cookies, sous réserve qu’il en ait été dûment informé et qu’il ait été en mesure de s’y opposer.

 

Toutefois, la Cnil a d’ores et déjà annoncé que ses recommandations précitées sont désormais obsolètes (cf. mention sur les « fiches pratiques » mises à disposition par la Cnil sur son site internet s’agissant des cookies, selon laquelle « le contenu de cette page est obsolète et est en cours de mise à jour ») et que cette pratique ne permettra plus valablement, à l’avenir, de recueillir un tel consentement.

 

Plus de dépôt de cookies sans le consentement libre, spécifique, éclairé et univoque de l’internaute

En effet, la Cnil vient d’annoncer que ses recommandations à date en matière de consentement à l’installation de cookies devraient être abrogées en juillet 2019 et remplacées par des lignes directrices qui devraient venir modifier en substance le concept de « consentement » au dépôt de cookies, alors même qu’une réforme est toujours en cours de discussion au niveau européen s’agissant des dispositions applicables en matière de cookies (cf. réglementation e-Privacy).

 

Selon les informations d’ores et déjà publiées par la Cnil, cette dernière rappelle qu’il est a priori exclu que la poursuite de la navigation sur un site puisse, dans le futur, constituer une expression valable du consentement.

 

En tout état de cause, ces nouvelles lignes directrices, qui seront publiées prochainement, s’inscriront dans la tendance actuelle visant à faire coïncider la notion de « consentement » en matière de cookies avec celle résultant de la réglementation applicable en matière de protection des données à caractère personnel, et plus particulièrement du règlement européen (UE)2016/679 du 27 avril 2016 dit « règlement général sur la protection des données » (« RGPD ») aux termes duquel seule une manifestation de volonté, par une déclaration ou par un acte positif clair, libre, spécifique, éclairé et univoque peut constituer un consentement valable.

 

A cet égard, dans leur rédaction telles que révisées et adoptées le 10 avril 2018, les lignes directrices sur le consentement au sens du RGPD du Groupe de travail « Article 29 » indiquaient déjà que « Faire défiler une page ou naviguer sur un site Internet ne satisfait pas à l’exigence d’un acte positif clair. La raison en est que la notification indiquant qu’en continuant à faire défiler la page, l’utilisateur donne son consentement peut être difficile à distinguer et/ou peut être manquée lorsqu’une personne concernée fait rapidement défiler de longs textes, et qu’une telle action n’est pas suffisamment univoque ».

 

Par ailleurs, dans une affaire pouvant donner lieu à une décision imminente et au regard des récentes conclusions de l’avocat général, la Cour de Justice de l’Union européenne pourrait être amenée à considérer que le consentement requis pour l’utilisation de cookies doit respecter les mêmes conditions de formalisme que celles requises au titre du RGPD pour ce qui concerne le consentement donné par une personne concernée au traitement de ses données à caractère personnel, la poursuite de la navigation ne pouvant dès lors pas être considérée comme un mode valable de recueil du consentement au dépôt de cookies.

 

Aussi, il apparaît que le consentement à recueillir dans le futur pour le dépôt de cookies sur un site internet devra vraisemblablement résulter, notamment, d’un acte positif clair afin de répondre à la qualification de consentement univoque, qualification que ne revêt pas le simple fait de continuer à naviguer sur un site internet par exemple.

 

*            *

*

 

Par conséquent, d’un point de vue pratique, sous réserve des futures lignes directrices et recommandations de la Cnil en la matière, il conviendra vraisemblablement pour les éditeurs de sites internet, aux termes de la « nouvelle » doctrine de la Cnil, de recueillir « expressément » le consentement des internautes visitant leur site internet pour pouvoir installer des cookies soumis à consentement (par exemple par l’intégration nécessaire d’un module de gestion des cookies dédié, présentant à l’internaute une information claire et complète sur les cookies ayant vocation à être installés, et lui demandant d’y consentir, sans « case » ou « catégorie » pré-cochée ou pré-acceptée).

 

La Cnil a annoncé qu’elle laisserait aux acteurs une période transitoire de douze mois afin qu’ils aient le temps de se conformer aux principes qui divergeront de la précédente recommandation. Durant cette période transitoire, la poursuite de la navigation comme expression du consentement devrait donc être considérée par la Cnil comme acceptable. Il convient toutefois pour les éditeurs de sites internet d’anticiper dès à présent les futures recommandations de la Cnil et d’intégrer sur leurs sites internet les modifications appropriées en matière de consentement dès que les lignes directrices précitées de cette dernière auront été publiées, et ce d’autant que certaines associations ont d’ores et déjà fait savoir leur volonté d’agir en justice devant le Conseil d’Etat si la Cnil octroie une telle période transitoire, arguant que celle-ci aurait pour effet de repousser sans motif l’application de la réglementation applicable.

 

Des groupes de travail se tiendront au second semestre 2019 entre les services de la Cnil et diverses catégories d’acteurs (éditeurs de contenus, annonceurs, prestataires et intermédiaires de l’écosystème du marketing, représentants de la société civile), par l’intermédiaire de leurs organisations professionnelles représentatives, en vue de décliner les modalités pratiques de recueil du consentement et d’alimenter la réflexion sur le sujet. Les nouvelles recommandations de la Cnil visant à proposer des modalités opérationnelles de recueil du consentement devraient ensuite être publiées, pour consultation publique, fin 2019 ou, au plus tard, début 2020.

 

Mise à jour en date du 3 juillet 2019 : L’autorité de contrôle anglaise (Information Commissioner’s Office ou ICO) a actualisé aujourd’hui ses recommandations en matière de cookies. Elle est venue préciser que le consentement doit être libre, spécifique et informé et qu’il doit relever d’une action non équivoque de l’utilisateur. Elle en conclut que la poursuite de la navigation ou l’usage d’une case pré-cochée ne satisfait pas à ces exigences s’agissant des cookies soumis à consentement.

 

Par AGIL’IT – Pôle IT, Télécoms & Data protection

Laure LANDES-GRONOWSKI, Avocate associée

Marie MILIOTIS, Avocate