Le CEPD harmonise en partie les CMP en Europe

Le Comité européen de la protection des données (CEPD), qui fédère l’ensemble des Cnil européennes (ou European data protection board, EDPB) a annoncé le 18 janvier avoir adopté par consensus une position commune sur les “bandeaux cookies”, ces pop-up qui prennent souvent la forme de CMP sur les sites pour accepter ou refuser les cookies.

Les organes de protection des données veulent ainsi définir la façon d’interpréter, dans tous les pays européens, les critères de licéité des modalités d’acceptation et de refus au dépôt de cookies par l’internaute et celles du design des bannières. Cela correspond au principe d’information transparente et de choix “libre et éclairé” qui a été rendu obligatoire par le RGPD en 2018, mais dont l’application via les “bannières cookies” est jusqu’ici hétérogène en Europe, en fonction de l’interprétation stricte ou souple qui est faite par les organes de protection de chaque pays.

Dans un rapport de synthèse, le groupe de travail du CEPD – qui avait été mis en place fin 2021 et qui était piloté par les Cnil française et autrichienne – reprend la position stricte défendue par la Cnil française et d’autres organes de protection des données européens sur un point en particulier : il est obligatoire pour un site éditeur de proposer un mécanisme de rejet au dépôt des cookies au même niveau (sur la même interface) que celui pour son acceptation, sous peine de contrevenir aux dispositions réglementaires. Soit dès la première interface, comme l’est très souvent le bouton “Accepter” les cookies. Ce point était entendu en France, où la Cnil l’a imposé rapidement dans ces recommandations, et dans la majorité des pays européennes, mais pas dans tous.

Les éditeurs gardent la main sur le design

Le point le plus critique concerne le design des bannières, les éditeurs médias cherchant évidemment, via la conception de leur module de consentement, à orienter le plus possible les internautes vers le bouton “Accepter” les cookies – avec un bouton de couleur différente, une plus grande en avant, etc. – au risque de vicier le consentement libre et éclairé. On est ici dans la subjectivité et l’interprétation.

Sur ce point, le CEPD a constaté que les Cnil ne peuvent pas imposer à tous les sites web un module d’information et de recueil du consentement standardisé en termes de couleur, de fonctionnalités ou de configuration visuelle. Un mot d’ordre : l’information délivrée “doit permettre aux internautes de comprendre ce à quoi ils consentent et comment exprimer leur choix.

Et seul “un examen au cas par cas de la bannière” permettra de déterminer “si le design choisi, par exemple la couleur et le contraste, n’est pas manifestement trompeur pour les utilisateurs”, a commenté la Cnil en réaction à la prise de position du CEPD. La question reste donc ouverte, d’autant que certaines autorités de régulation, dont la Cnil en France, entendent se pencher davantage sur la question des “dark patterns” présents ou supposés au sein des interfaces en ligne des éditeurs médias.

Des réponses homogènes aux plaintes

Cette harmonisation désormais mise en place au sein du CEPD doit offrir un cadre réglementaire plus sûr et homogène aux acteurs de l’industrie des médias et de la publicité. Elle était réclamée par le marché publicitaire. En France, douze associations françaises représentatives de l’industrie média et publicitaire (Geste, SRI, Udecam, Fevad, CPA, UDM, APIG, AACC, SEPM, FNPS, SNPTV et Spiil) avaient ainsi formulé à l’été 2021 une requête en ce sens auprès de l’EDPB pour pointer des positions différentes. Concrètement, ces dernières années, certaines Cnil pouvaient par exemple exiger la présence du bouton “Refuser” le dépôt de cookie dès la première interface de recueil du consentement, comme c’est le cas en France, quand d’autres ne l’exigent que sur la deuxième interface, comme c’est le cas en Espagne.

Une autre interprétation différente avait été relevée concernant les mentions de certains cookies, parfois obligatoires en première interface, comme en France, ou tolérées en deuxième interface, comme en Irlande.

Cette harmonisation par la CEPD doit aussi permettre aux différents organes de protection des données en Europe de “finaliser l’instruction des plaintes dont elles ont été saisies”, comme le rappelle la Cnil. A l’été 2021, dix des organes de protection des données en Europe avaient en effet reçu un total de 422 plaintes, déposées par l’association activiste Noyb, pour pointer des pratiques jugées trompeuses dans le recueil de consentement. Ils pourront désormais, en théorie, rendre des décisions plus rapidement et avec plus d’homogénéité.