Accueil Jurisprudence CJUE La CJUE et les cookies

La CJUE et les cookies

64

La Cour de Justice de l’Union Européenne vient de rendre un arrêt relatif aux cookies, fortement inspiré des exigences du RGPD. Sans doute une limite posée au tracking publicitaire, mais une protection accrue du consommateur. Contexte et contours.

Depuis l’entrée en vigueur du RGPD voici bientôt 18 mois, il était légitime de se poser la question de savoir si les cookies devaient être soumis aux règles du RGPD, notamment en matière de consentement. En effet ces témoins de connexion ne collectent pas forcément de données personnelles. Ils permettent principalement de tracer la navigation de l’internaute et de lui proposer des offres commerciales adaptées à ses recherches. Le fameux retargeting. En France, la CNIL avait rappelé début juillet quelques règles de base, mais avait surtout souhaité prendre un peu de temps, annonçant pour le 1er semestre 2020 de nouvelles directives. Compte tenu de l’arrêt de la CJUE, sa marge de manœuvre va peut être se trouver restreinte?

L’affaire à l’origine de l’arrêt de la CJUE remonte au 24 septembre 2013 lorsqu’une entreprise allemande, Planet49, lance un jeu concours sur internet. La participation requiert de cocher, ou de décocher, 2 cases. La 1ère case est non pré-cochée et vaut autorisation pour recevoir des offres promotionnelles. La 2ème case, pré-cochée par défaut, vaut acceptation de dépôt de cookies au profit des partenaires de Planet49. C’est contre cette 2ème case que la Fédération allemande des organisations de consommateurs agit devant la justice allemande. Mais en appel, cette dernière finit par interroger la Cour européenne. Un arrêt attendu sans doute par bien des CNIL européennes.

Une case pré-cochée ne vaut pas consentement…

La Cour européenne adopte une position on ne peut plus ferme, refusant de considérer qu’une case pré-cochée puisse valoir consentement au dépôt de cookies : « un consentement donné au moyen d’une case cochée par défaut n’implique pas un consentement actif ». La Cour reprend donc, en les appliquant aux cookies, les exigences du RGPD, à savoir un consentement positif, et actif. Elle précise d’ailleurs que ce consentement se doit également d’être spécifique, et que l’information doit préciser la durée de fonctionnement des cookies et si des tiers pourront y avoir accès.

… même sans collecte de données.

La Cour européenne prend la précaution de préciser que cette règle doit s’imposer, même si les cookies ne collectent pas de données personnelles : « que les informations stockées et consultées… constituent ou non des données à caractère personnel n’influe pas sur ce résultat ». Reste à voir comment ces directives vont être traduites au quotidien dans les opérations de profilage…

A lire également :

Profilage et RGPD, la CNIL veut prendre son temps – 2 juillet 2019