Vous n'avez pas encore de notification

Page d'accueil

Options d'affichage

Abonné

Actualités

Abonné

Des thèmes sont disponibles :

Thème de baseThème de baseThème sombreThème sombreThème yinyang clairThème yinyang clairThème yinyang sombreThème yinyang sombreThème orange mécanique clairThème orange mécanique clairThème orange mécanique sombreThème orange mécanique sombreThème rose clairThème rose clairThème rose sombreThème rose sombre

Vous n'êtes pas encore INpactien ?

Inscrivez-vous !

L'avenir des cookies publicitaires en suspens au Conseil d’État

La cookie du pianiste
Droit 8 min
L'avenir des cookies publicitaires en suspens au Conseil d’État
Crédits : Marc Rees (licence CC-By-SA 3.0)

Hier, le rapporteur public a rendu son opinion sur le bras de fer opposant la Quadrature du Net et Caliopen à la CNIL. En cause ? Ses lignes directrices qui, d’un côté, reconnaissent que la poursuite de la navigation ne permet plus de deviner un consentement à l’installation des cookies, et de l’autre, laissent un répit d’un an aux professionnels en ligne. 

Dans la bien nommée salle des « Finances » du Conseil d’État, un dossier d’importance était ausculté ce lundi 30 septembre, à Paris. Celui des traceurs publicitaires, mitraillés par des millions de sites en France sur les appareils connectés des internautes. « Comme les cookies sont mis à toutes les sauces, l’enjeu est aussi socio-économique » a exposé hier Alexandre Lallet, rapporteur public, dans ses conclusions. « La pérennité même du secteur de la publicité en ligne et du marketing digital continue à reposer très largement sur cette pratique ».

Un psychodrame s’est installé dans le sillage du règlement général sur la protection des données personnelles. Explication : l’installation des cookies est régulée par la directive ePrivacy de 2002, modifiée en 2009. Stockage et accès aux cookies impliquent d’abord de recueillir le consentement de l’internaute. Mais le texte renvoie la définition de ce concept à la législation européenne relative aux données personnelles.

D’un consentement implicite à un consentement explicite

Avant le RGPD, ces textes se satisfaisaient d’un consentement implicite. En 2013, la CNIL expliquait donc « que la poursuite de sa navigation vaut accord au dépôt de cookies sur [le] terminal ».

Cependant, depuis l’entrée en application du RGPD, ce consentement a pris du galon. Il s’agit de « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement » (article 4).

Autant dire qu’avec ces nouveaux standards, une poursuite de navigation sur un site est tout sauf un « acte positif clair ». Elle ne permet pas de justifier l’installation de ces bouts de code.

Le 10 avril 2018, le groupe de l’Article 29, soit l’ensemble des autorités de contrôle européennes réunies depuis au sein du Comité, avait en ce sens exposé très logiquement que dorénavant, le défilement d’une page comme la poursuite de la navigation ne valaient plus expression du consentement.

« Dans la pureté des principes, l’ensemble des sites Internet aurait donc dû cesser le 25 mai 2018 de présumer que l’internaute qui parcourt les pages (…) consent au dépôt des cookies » déduit le rapporteur public.

Le 4 juillet, soit plus d’un mois plus tard, la CNIL a toutefois décidé d’anesthésier cette disposition, ou plus exactement le risque de sanction.  

« En même temps », version CNIL

Elle a abrogé sa recommandation de 2013 tout en laissant aux professionnels du e-marketing une période transitoire d’un an pour que ceux-ci « aient le temps de se conformer » aux nouveaux principes. Dans l’interlude, une vaste concertation avec les professionnels est organisée pour définir les nouvelles règles qu’ils devront respecter.

Ce plan n’a pas été du goût des défenseurs des libertés numériques. « La CNIL vient ainsi ajouter une période transitoire au cours de laquelle elle vient fortement limiter son propre pouvoir de sanction et amputer sensiblement les règles applicables provenant de l’ordre juridique de l’Union européenne » ont estimé la Quadrature du Net et Caliopen à la porte du Conseil d’État.

« La CNIL n’a pas entendu modifier les règles du RGPD, mais s’abstient de faire usage de ses pouvoirs coercitifs lorsqu’un site déduit le consentement aux cookies et autres traceurs de la seule navigation » a précisé le rapporteur. « Juridiquement, cette délibération n’est pas une décision réglementaire, mais une ligne directrice », d’ailleurs prévue à l’article 8 de la loi Informatique et Libertés.

Le droit souple sur le grill du Conseil d’État

Première question d'importance : peut-on attaquer un communiqué de presse ou une ligne directrice ? Oui, pour le rapporteur, qui recommande d’appliquer ici la jurisprudence « Faivesta » du 21 mars 2016.

Les actes dits de droit souples peuvent faire l’objet d’un recours pour excès de pouvoir « notamment quand ils sont de nature à provoquer des effets notables notamment de nature économique, ou ont pour objet d'influer de manière significative sur les comportements des personnes auxquelles ils s'adressent ». 

Alors, la CNIL peut-elle décider, dans son coin, de s’abstenir de sanctionner la méconnaissance du RGPD ? C’est là le cœur du dossier porté par La Quadrature du Net et Caliopen. « On est spontanément porté à penser que dans un état de droit comme le nôtre, l’autorité administrative chargée de veiller au respect de la loi dans son domaine de compétence doit prendre les mesures en son pouvoir pour faire cesser les illégalités. Et qu’elle engage sa responsabilité quand elle s’abstient de le faire » commente le rapporteur… avant de relativiser.

La CNIL, une autorité, pas un Robocop

 « L’état du droit est plus subtil ». Face à la violation d'une disposition du RGPD, la CNIL dispose toujours d’une palette de prérogatives, disposant du choix du moment, du choix des moyens. Elle peut opter pour la sanction, ou lui préférer la pédagogie, concentrer ses ressources ici plutôt que là. Toujours au cas par cas, elle est libre de mettre en mouvement l’action répressive, « sous le contrôle restreint du juge ».

Cependant, les lignes directrices sont par définition générales. Nous ne sommes plus dans une tolérance individuelle, mais dans une situation globale où les auteurs de manquements à la législation propre aux cookies ne feront pas l’objet d’aucune poursuite, du moins durant la période transitoire.

On change donc d’échelle.

« Les conséquences pratiques ne sont pas les mêmes », admet le rapporteur, non sans reprocher en creux à la commission cette politique du tout ou rien, sans nuance. « Le cas par cas, le non-dit, le subliminal laisse toujours planer un risque de sanction qui permet de maintenir les acteurs sous tension. Le blanc-seing général comporte le risque de démobiliser et déresponsabiliser ». 

Mais selon lui, il faut tout de même appliquer la même réponse juridique, celle d’une vaste liberté laissée à la CNIL et un contrôle très restreint du juge, concentré sur les erreurs dites manifestes d’appréciation, les plus importantes, les plus grossières.

Les missions de la CNIL sont faites d’équilibres « dont la subtilité a précisément justifié qu’on leur dédit une autorité de régulation et non un Robocop ».

Selon lui encore, « nous avons vécu pendant de longues années durant lesquelles la navigation sur le site permettait de présumer l’accord, sans nullement la sous-estimer, il ne nous paraît pas que l’atteinte à la vie privée en résultant présenterait un caractère de gravité tel qu’elle disqualifierait par principe l’initiative de la CNIL ».

Que faire ?

Les circonstances avancées le 4 juillet n'ont pas été au goût du rapporteur.

La commission a justifié son report par « l’exigence juridique de prévisibilité » de la loi. Un peu mince : le RGPD a été publié en 2016, est entré en application le 25 mai 2018, après les positions du G29.

« Par ailleurs, la combinaison de la directive ePrivacy et du RGPD n’est pas d’une obscurité telle sur le point qui nous occupe que les acteurs pouvaient légitimement ignorer pendant tout ce laps de temps que le règlement avait condamné l’assimilation de la poursuite de la navigation à un consentement valable » ajoute-t-il.

La commission a soufflé d’autres arguments, comme l'impossibilité pratique de sanctionner tous les contrevenants. Argument repoussé par le même intéressé qui a pris un exemple : nous n'allons pas arrêter de verbaliser les excès de vitesse au motif qu’ils seraient trop fréquents.

Faut-il malgré tout fustiger le choix de la commission ? Celle-ci devait elle sanctionner les sites avec une main de fer ? Avec les cookies, « tout le monde sait ce qu’il ne faut pas faire, mais personne ne sait concrètement ce qu’il faut faire ».

Se lancer dans « une mise en conformité dans le brouillard [pouvait] conduire les acteurs à mettre en place des solutions contreproductives, inappropriées pour l’ergonomie de la navigation ou trop disparates d’un site à l’autre ». Des solutions qui « peuvent aboutir à l’effet inverse à celui qui est recherché en incitant l’internaute, lassé, à accepter les cookies. »

Le Conseil d’État pourrait certes ordonner une mise en pause à l'installation de ces traceurs, une fois la concertation achevée. Mais « cette issue n’est pas réaliste, répond le rapporteur, l’équilibre économique du secteur de la publicité en ligne, et de ceux qui comme de la presse en ligne se financent avec des ressources publicitaires, dépendent très largement des traceurs de connexion ». De plus, de nombreux cookies non publicitaires exigent aussi le consentement (mesure d’audience, l’authentification des partages sur réseaux sociaux). Leur suspension pourrait nuire aux internautes eux-mêmes

Les projets dans les navigateurs jouent aussi aux trouble-fêtes. Avec l'espoir d'un paramétrage fin des cookies, conforme au RGPD, difficile de reprocher la stratégie de la CNIL alors que ce sujet épineux est au menu de la longue réforme d’ePrivacy.

Quid du juge civil ou pénal ? 

La démarche de normalisation ou de coconstruction de standards avec les professionnels du secteur permet finalement de résoudre les difficultés, argue-t-il en substance. Cela évite de laisser la doctrine de la CNIL « s’élaborer au gré des décisions de sanction ». Il serait au surplus absurde d’échanger avec les opérateurs, tout en les sanctionnant. « On ne discute pas avec le pistolet sur la tempe ! » .

En somme, il recommande à la juridiction de rejeter le recours des deux associations. Au détour de son intervention, il indique que les lignes de la commission ne bouleversent pas tant l’état du droit : elles ne lient ni le juge civil ni le juge pénal. Ceux-ci pourraient donc être saisis pour sanctionner sans pudeur les indélicatesses de tel site de e-commerce ou d'information. Un bel appel du pied adressé à LQDN et Caliopen.

L'arrêt sera rendu dans quelques semaines. La juridiction sera bientôt amenée à se repencher sur le même sujet, cette fois à la demande de professionnels de la publicité et de l'édition en ligne. Ceux-ci reprochent à la CNIL des « interprétations [qui] soulèvent un vrai risque de destruction de la valeur économique des médias français, du e-commerce et de l’écosystème digital français, au bénéfice des grands acteurs internationaux ». 

10 commentaires
Avatar de crocodudule INpactien
Avatar de crocodudulecrocodudule- 01/10/19 à 10:44:32

"elles ne lient ni le juge civil ni le juge pénal."

Il dit qu'il voit pas le rapport, les infractions définies aux articles 226-16 et suivants du Code pénal n'ont toujours pas été actualisées à la suite de la Loi de "transposition" du RGPD, pas plus qu'après les Ordonnances réécrivant la Loi informatique et liberté.

Par exemple, l'article 226-16 du Code pénal dans son 2° alinéa vise le 3° du III de l'article 20 de la Loi de 78, lequel article est abrogé depuis le 1° juin 2019.

Et s'agissant des Juridictions civiles, bon courage pour établir l'existence d'un préjudice, lequel conditionne bien évidemment le succès de l'action.

Du coup, les explications des professionnels sur les Juridictions civiles et pénales sont totalement fumeuses.

Avatar de fred42 INpactien
Avatar de fred42fred42- 01/10/19 à 11:15:21

crocodudule a écrit :

Il dit qu'il voit pas le rapport, les infractions définies aux articles 226-16 et suivants du Code pénal n'ont toujours pas été actualisées à la suite de la Loi de "transposition" du RGPD, pas plus qu'après les Ordonnances réécrivant la Loi informatique et liberté.

Par exemple, l'article 226-16 du Code pénal dans son 2° alinéa vise le 3° du III de l'article 20 de la Loi de 78, lequel article est abrogé depuis le 1° juin 2019.

Non, cet article a été modifié par l'ordonnance du 12 décembre 2018 suite au RGPD. Le RGPD est d'ailleurs cité plusieurs fois dans cet article.

La publication sur légifrance de cette loi du 6 janvier est trompeuse : elle commence par faire apparaître comme abrogée l'ancienne loi avant de publier le nouveau contenu de la loi.

Donc la voie pénale me semble possible.

Édité par fred42 le 01/10/2019 à 11:15
Avatar de robertlepreux Abonné
Avatar de robertlepreuxrobertlepreux- 01/10/19 à 11:59:18

Je ne sais pas si le RGPD, qui est un "règlement", a besoin d'être "transposé" dans les législations nationales. 

 Il peut faire l'objet de déclinaisons, pour ses articles qui délèguent explicitement des prérogatives aux acteurs nationaux, mais pour le reste, les pays n'ont pas la possibilité de le modifier ?

Avatar de Jarodd INpactien
Avatar de JaroddJarodd- 01/10/19 à 12:08:35

En somme, il recommande à la juridiction de rejeter le recours des deux associations.

Tout ça pour ça ? En gros, il est d'accord avec tout le monde, et ne veut pas se mouiller...

Avatar de XMalek INpactien
Avatar de XMalekXMalek- 01/10/19 à 12:52:43

Oui, tout du moins en terme de sanctions et de juges.

Après ici on a affaire à des gens qui veulent continuer leurs méthodes put***ères pour permettre de diffuser de la pub à tout va et qui pinaillent absolument sur tous les points.

Avatar de crocodudule INpactien
Avatar de crocodudulecrocodudule- 01/10/19 à 14:16:02

fred42 a écrit :

Non, cet article a été modifié par l'ordonnance du 12 décembre 2018 suite au RGPD. Le RGPD est d'ailleurs cité plusieurs fois dans cet article.

La publication sur légifrance de cette loi du 6 janvier est trompeuse : elle commence par faire apparaître comme abrogée l'ancienne loi avant de publier le nouveau contenu de la loi.

Donc la voie pénale me semble possible.

Bien vu, car si on va directement sur la Loi y a juste plus rien (du coup n'ayant pas fait particulièrement attention je cherchais à savoir si les ordonnances réécrivant la Loi de 78 n'avaient pas été contestées par le vote au Parlement reportant l'actualisation de la Loi).  :chinois:

Grosse erreur de legifrance pour le coup

Édité par crocodudule le 01/10/2019 à 14:16
Avatar de crocodudule INpactien
Avatar de crocodudulecrocodudule- 01/10/19 à 14:18:53

Par contre, Marc l'a annoncé sur twitter, la CJUE vient de rendre une décision sur les cookies qui va calmer un peu tout le monde (aussi bien les marketeux publicitaires que la CNIL sur son effet différé du RGPD).

J'attends son commentaire avec impatiente, car y a du lourd (et une question qui reste en suspend) ... teasing...

Avatar de fred42 INpactien
Avatar de fred42fred42- 01/10/19 à 14:23:48

En fait, sur la loi complète, il faut descendre dans la page pour trouver l'article 20 ou faire "CTRL+F article 20", mais c'est vraiment trompeur parce que l'on voit tous les chapitres de l'ancienne version de la loi comme abrogé.

Avatar de crocodudule INpactien
Avatar de crocodudulecrocodudule- 01/10/19 à 14:25:45

fred42 a écrit :

En fait, sur la loi complète, il faut descendre dans la page pour trouver l'article 20 ou faire "CTRL+F article 20", mais c'est vraiment trompeur parce que l'on voit tous les chapitres de l'ancienne version de la loi comme abrogé.

Oui c'est pour ça que j'avais pensé que les ordonnances avaient buguées et que le texte était toujours pas modifié (j'ai même pas eu l'idée de faire une recherche dans la page puisque le passage où devait se trouver l'article 20 est mentionné comme abrogé).

Merci encore :)

Avatar de tuxicoman INpactien
Avatar de tuxicomantuxicoman- 01/10/19 à 21:19:04

On peut attaquer un site web pour non respect du rgpd sans passer par le verrou de la cnil?? Ca m'intéresse...

Il n'est plus possible de commenter cette actualité.
  • Introduction
  • D’un consentement implicite à un consentement explicite
  • « En même temps », version CNIL
  • Le droit souple sur le grill du Conseil d’État
  • La CNIL, une autorité, pas un Robocop
  • Que faire ?
  • Quid du juge civil ou pénal ? 
S'abonner à partir de 3,75 €