RGPD : pourquoi le Conseil d’Etat a donné raison à l’interprofession face à la Cnil sur la légalité du « cookie wall »

Dans une décison publiée dans la soirée du vendredi 19 juin, le Conseil d’État a donné crédit à une partie des arguments de l’industrie des médias et de la publicité : en appliquant le RGPD, la CNIL ne peut pas interdire de façon « générale et absolue » aux éditeurs de sites de bloquer l’accès à leurs sites en ligne et applications aux internautes qui refusent la pose de cookies à des fin publicitaires. La pratique, appelée « cookie wall », et pourrait se développer chez les éditeurs d’information en vue de maintenir leur connaissance client et le ciblage publicitaire.

Ce jugement (le résumé et la décision complète) conclut la procédure initiée en septembre 2019 par les neuf grandes associations représentatives des médias, de la publicité et des e-commerçants en France : Geste, SRI, IAB France, MMAF, Udecam, AACC, Fevad, UDM et SNCD. Les associations professionnelles contestaient en plusieurs points la conformité au droit français et au droit européen de la délibération prise par la Cnil le 4 juillet 2019 (C2019-093) liée aux cookies et traceurs.

Ils estimaient que la Cnil sur-interprétait le RGPD et anticipait le contenu du futur Règlement e-Privacy – qui est toujours en discussion au sein du Conseil européen – préemptant ainsi le débat législatif en cours.

Le rapporteur du Conseil d’État était allé dans leur sens lors de l’audience du vendredi 12 juin (notre décryptage complet). 

Auprès de mind Media, Etienne Drouard, avocat associé au cabinet Hogan Lovells et représentant des associations professionnelles, s’était déjà félicité de la position du rapporteur :

• “L’avis du rapporteur public a souligné plusieurs points : la Cnil n’est pas un législateur, il est interdit d’interdire par principe le cookie wall sans même l’avoir défini, ni avoir étudié des variantes intégrant des contreparties acceptables, tout en préservant une protection effective des personnes. Il n’y a pas une seule façon d’appliquer le RGPD, car dans tous les domaines, le RGPD et la directive ePrivacy prévoient toujours plusieurs solutions de protection possible. C’est le retour à la philosophie d’équilibre du RGPD. Le rapporteur public devant le conseil d’État a aussi émis aussi deux réserves sur l’interprétation que fait la Cnil, l’une sur l’obligation qu’elle faisait aux éditeurs d’afficher en temps réel une liste exhaustive de n’importe quel intermédiaire recourant à des cookies, et l’autre sur l’interdiction faite aux éditeurs de redemander le consentement de l’utilisateur si ce dernier avait une fois exprimé un refus qui devait systématiquement lui être proposé. »

Le cookie wall est autorisé si l’internaute a une alternative : s’enregistrer, souscrire un abonnement…

Le rapporteur vient donc d’être suivi, comme c’est le cas généralement, par la formation de jugement de l’institution : l’interdiction des « cookie walls » ne pouvait pas figurer dans les lignes directrices de la Cnil. La pratique est possible à condition d’offrir à l’utilisateur des alternatives : les éditeurs de site pourraient donc conditionner l’accès à leurs contenus au dépôt de cookie à condition de laisser aux internautes le choix parmi plusieurs options légitimes ; ce qui est le cas lorsqu’ils proposent un accès gratuit avec l’usage de cookies, ou un accès payant, ou encore lorsque l’accès est réservé aux titulaires d’un compte, donc sous login.

Obtenir un consentement global des finalités est possible si chacune est expliquée avant le dépôt du cookie

Le Conseil d’État a par ailleurs précisé un point d’interprétation des lignes directrices rédigées par la Cnil : lors du dépôt des cookies, les éditeurs n’ont pas besoin de demander à l’internaute un consentement spécifique pour chaque usage des données collectées : le consentement global est accepté. En revanche, le consentement de l’utilisateur doit être précédé d’une information spécifique pour chacun des usages qui en sera fait (les finalités du traitement de données).

Le Conseil d’Etat a par ailleurs confirmé la légalité des autres points instaurés par la Cnil qui étaient contestés par les professionnels : un recueil du consentement des internautes est obligatoire avant le dépôt et l’utilisation de cookies et traceurs, les internautes doivent pouvoir refuser de donner leur consentement aussi facilement que l’accorder, et ils doivent pouvoir retirer leur consentement facilement. Les associations se faisaient néanmoins peu d’illusions sur ces points.

Une nouvelle recommandation à l’étude

« La CNIL prend acte de cette décision et ajustera en conséquence ses lignes directrices et sa future recommandation pour s’y conformer, a-t-elle réagi dans un communiqué. Les lignes directrices seront ajustées dans la stricte mesure de ce qui est nécessaire pour tirer les conséquences de la décision du Conseil d’État. »

La Cnil devra donc revoir ses lignes directrices et son projet de recommandation sur la mise en pratique du recueil de consentement lié au RGPD. L’adoption de cette recommandation devraient intervenir « après la rentrée de septembre 2020, selon un calendrier qui reste à préciser », indique aujourd’hui la Cnil.

Cela pourrait avancer rapidement : cette décision était attendue et selon nos informations, alors que le dialogue était rompu depuis six mois (relire notre interview de Jean-Luc Chetrit, directeur général de l’UDM), la réouverture de discussions a été évoquée ces derniers jours entre la Cnil et les associations professionnelles pour rapprocher les deux positions et parvenir à un interprétation commune du RGPD d’ici l’été.