RGPD : les associations professionnelles des médias et de la publicité en ligne remportent une première victoire contre la Cnil

Les associations professionnelles des médias, de la publicité et du commerce en ligne ont remporté une première victoire concernant l’interprétation du RGPD lors d’une audience du Conseil d’Etat qui les opposait à la Cnil, vendredi 12 juin dans la soirée : le rapporteur public leur a donné raison sur un point important de leur requête : la possibilité, sous certaines réserves, de conditionner l’accès à leurs contenus et services à l’acceptation au dépôt de cookie pour collecter et utiliser les données personnelles (principe du “cookie wall”).

L’audience de vendredi 12 juin faisait suite au recours déposé en septembre par les neuf grandes associations représentatives des médias, de la publicité et des e-commerçants en France (Geste, SRI, IAB France, MMAF, Udecam, AACC, Fevad, UDM et SNCD), que mind Media avait révélé et détaillé.

Avec ce recours, deux ans après le début de l’application du RGPD, l’interprofession conteste en plusieurs points la conformité au droit français et au droit européen de la délibération prise par la Cnil le 4 juillet 2019 (C2019-093) liée aux cookies et traceurs, et son projet de recommandation publié en janvier 2020 sur la mise en pratique du recueil de consentement.

Pour le rapporteur, la Cnil a une lecture trop restrictive du RGPD

L’un des points importants porte sur l’interdiction de principe posée par la Cnil aux éditeurs de site d’appliquer le principe du cookie wall, autrement dit de conditionner l’accès des internautes à leurs contenus à une contrepartie, quelle qu’elle soit. Les CNIL de l’Union européenne, réunies au sein du Comité Européen de la Protection des Données (ex-G29), ont d’ailleurs mis à jour leurs lignes directrices début mai à travers un texte commun en précisant ce qu’était un consentement forcé et invalide, tout en laissant la porte ouverte aux alternatives qui doivent être laissées aux utilisateurs, selon le modèle économique de l’éditeur, entre gratuit et payant, logué ou non logué avec ou sans cookies.

Sur ce point, les éditeurs ont toujours estimé que la Cnil anticipait le contenu du futur Règlement e-Privacy – qui est toujours en discussion au sein du Conseil européen – et préemptait le débat législatif en cours. Le rapporteur du Conseil d’Etat est allé dans leur sens vendredi. Il a estimé que le RGPD ne prévoit pas cette interdiction de principe, à condition d’offrir à l’utilisateur des alternatives : les éditeurs de site pourraient donc conditionner l’accès à leurs contenus au dépôt de cookie à condition de laisser aux internautes le choix parmi plusieurs options légitimes ; ce qui est le cas lorsqu’ils proposent un accès gratuit avec l’usage de cookies, ou un accès payant, ou encore lorsque l’accès est réservé aux titulaires d’un compte, donc sous login.

Contacté par mind Media, Etienne Drouard, avocat associé au cabinet Hogan Lovells et représentant des associations professionnelles, s’est félicité de cette position :

• “L’avis du rapporteur public souligne plusieurs points : la Cnil n’est pas un législateur, il est interdit d’interdire par principe le cookie wall sans même l’avoir défini, ni avoir étudié des variantes intégrant des contreparties acceptables, tout en préservant une protection effective des personnes. Il n’y a pas une seule façon d’appliquer le RGPD, car dans tous les domaines, le RGPD et la directive ePrivacy prévoient toujours plusieurs solutions de protection possible. C’est le retour à la philosophie d’équilibre du RGPD. Le rapporteur public devant le conseil d’État a aussi émis aussi deux réserves sur l’interprétation que fait la Cnil, l’une sur l’obligation qu’elle faisait aux éditeurs d’afficher en temps réel une liste exhaustive de n’importe quel intermédiaire recourant à des cookies, et l’autre sur l’interdiction faite aux éditeurs de redemander le consentement de l’utilisateur si ce dernier avait une fois exprimé un refus qui devait systématiquement lui être proposé.”

Contacté par mind Media dimanche 14 juin, la Cnil n’a pas été en mesure de livrer sa réaction avant la parution de cet article.

Le rapporteur est généralement suivi par les juges du Conseil d’Etat

Les professionnels du secteur critiquent depuis deux ans “une absence d’écoute” et estiment que certains membres des services de la Cnil effectuent une “sur-interprétation” du RGPD, sans se soucier de leurs modèles économiques, encore très dépendants de la connaissance de leurs audiences via les cookies.

Le rôle du rapporteur public – un juge au sein du Conseil d’Etat – est d’éclairer la formation de jugement. La publication de son arrêt complet est attendue entre le mercredi 17 juin et la fin du mois de juin. Son avis est généralement suivi par la formation de jugement de l’organe, mais pas systématiquement. Si elle reprend la position du rapporteur, la Cnil devra revoir une partie de son projet de recommandation sur les cookies et traceurs qui avait été publié en janvier pour application prévue au deuxième semestre.

Déjà, ces derniers jours, elle semble manifester une ouverture et vouloir renouer le dialogue avec les associations : des discussions sont prévues entre la Cnil et les associations professionnelles pour rapprocher les deux positions et parvenir à un interprétation commune d’ici l’été.