Le Conseil d’État a rejeté la requête déposée en urgence par la Quadrature du Net et Caliopen. Les deux associations ont attaqué la décision de la CNIL de considérer que, pour un an durant, la poursuite de la navigation vaudra consentement en matière de cookies et autres traceurs. Le dossier se poursuit toutefois au fond.
Consentir à l’installation des cookies en poursuivant la navigation sur un site… Voilà le geste fait aux professionnels par la CNIL, dans la torpeur de juillet.
Une telle posture n’était pas d’une grande évidence. La question des cookies est visée par la directive ePrivacy de 2002, modifiée en 2009. Le texte exige le consentement de l’internaute, tout en renvoyant la définition de cette expression à la législation relative aux données personnelles.
Or, depuis le 25 mai 2018, le règlement général sur la protection des données personnelles (RGPD) exige un acte positif clair, contrairement aux textes antérieurs qui se satisfaisaient d’un consentement implicite.
Consentement exprès ou implicite ?
Dit autrement, depuis le 25 mai, la logique aurait voulu que l’installation des cookies publicitaires soit précédée d’un recueil de consentement dans les règles de l’art, non en déduisant l’accord de l’internaute par la poursuite de la navigation. La CNIL a justifié son report de 12 mois par la prise en compte « de l’exigence juridique de prévisibilité, en cas de changement des règles applicables, résultant notamment de la Convention européenne des droits de l’homme ».
C’est cette situation épineuse qui a contraint Caliopen et la Quadrature du Net a frapper à la porte du Conseil d’État. Les deux associations y ont déposé fin juillet un recours d’urgence et un autre au fond.
Une procédure de référé...
Dans la procédure de référé, tranchée le 14 août dernier, elles souhaitaient d’une part que la CNIL soit enjointe de suspendre sa décision, d’autre part, qu’elle publie sur son site un message prévenant que la navigation ne serait finalement pas un mode d’expression valable du consentement aux traceurs.
Dans leur référé, les deux acteurs ont dénoncé une « atteinte grave et immédiate aux intérêts qu’elles ont pour objet de défendre », notamment la protection des données personnelles dans l’environnement numérique.
... Rejeté en raison de la proximité de la décision au fond
Le Conseil d’État a toutefois rejeté leur requête, au motif que la procédure au fond est inscrite « au rôle d’une séance de jugement le 30 septembre 2019 ». Soit dans un mois et demi. D’ici là, expose la juridiction, « il n’apparaît pas que cette décision [de la CNIL, ndlr] aurait pour conséquence, d’ici à la date rapprochée de l’audience, de porter aux intérêts que les requérants entendent défendre ou à l’intérêt public une atteinte de nature à regarder la condition d’urgence (…) comme satisfaite ».
On relèvera toutefois la célérité de cette procédure où la haute juridiction va finalement boucler une affaire seulement deux mois après l'introduction des requêtes initiales.
