Le Conseil d’État valide le plan d’action de la CNIL en matière de cookies

L’entrée en vigueur du Règlement général sur la protection des données n° 2016/679/UE du 27 avril 2016 (RGPD) a considérablement modifié la culture web. Les sites internet informent désormais leurs utilisateurs de l’existence de cookies et autres traceurs en ligne, et recherchent à recueillir leur consentement à l’accès et au dépôt de leurs données stockées sur leur équipement terminal. Est effectivement imposé depuis le 25 mai 2018 un consentement libre, spécifique, éclairé et univoque, manifesté par un acte positif clair (RGPD, art. 4, 11 ; CEPD, lignes directrices sur le consentement du 28 nov. 2017, WP 259 rev. 01).

Afin de se conformer à cette nouvelle réglementation, la CNIL a adopté le 4 juillet 2019 des lignes directrices en matière de cookies et autres traceurs (v. 4 juill. 2019, n° 2019-093, Dalloz actualité, 11 sept. 2019, obs. C. Crichton ; D. 2019. 1673, obs. W. Maxwell et C. Zolynski ; Dalloz IP/IT 2019. 463, obs. C. Crichton ) abrogeant sa précédente délibération (v. 5 déc. 2013, n° 2013-378, JO 26 déc.). Une recommandation précisant les modalités de ces lignes directrices sera rendue au premier trimestre 2020.

Or, en dévoilant son plan d’action, la CNIL a précisé qu’elle allait offrir aux acteurs une « période d’adaptation » de six mois après la future recommandation en vue de « leur donner le temps d’intégrer les nouvelles règles » (v. CNIL, communiqués de presse du 28 juin et 18 juill. 2019). Autrement dit, l’ancienne réglementation française continuera de s’appliquer jusqu’au moins la mi-2020, étant précisé qu’elle tenait pour valable un consentement manifesté par la simple poursuite de la navigation. L’expression du consentement aux cookies et autres traceurs peut dès lors être tacite durant cette période d’adaptation. 

Cette dissonance entre le plan d’action de la CNIL, autorisant à titre transitoire un consentement tacite, et le RGPD, qui impose la manifestation du consentement par un acte positif clair, a fait l’objet d’un recours auprès du Conseil d’État par deux associations de protection des données à caractère personnel. Selon les requérantes, la CNIL aurait violé les articles 7 de la charte des droits fondamentaux de l’Union européenne et 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, en refusant d’utiliser son pouvoir répressif.

Cette requête a été rejetée : la fixation d’un délai d’adaptation permet à la CNIL « d’accompagner les acteurs concernés, confrontés à la nécessité de définir de nouvelles modalités pratiques de recueil du consentement susceptibles d’apporter, sur le plan technique, les garanties qu’exige l’état du droit en vigueur, dans la réalisation de l’objectif d’une complète mise en conformité de l’ensemble des acteurs à l’horizon de l’été 2020 ». Cette souplesse, ajoute le Conseil d’État, n’empêchera en rien la CNIL de continuer à contrôler le respect des règles en matière de consentement, de la même manière qu’elle n’empêchera pas la CNIL de « faire usage de son pouvoir répressif en cas d’atteinte particulièrement grave » du droit à la protection des données à caractère personnel.

La solution adoptée par le Conseil d’État peut surprendre eu égard à la récente position de la Cour de justice de l’Union européenne en matière de cookies, qui considère comme non valable un consentement donné au moyen d’une case pré-cochée par défaut, celui-ci ne s’étant pas manifesté par un acte positif clair (CJUE 1^er oct. 2019, aff. C-673/17, Planet49, Dalloz actualité, 4 oct. 2019,  C. Crichton ; D. 2019. 1884 ).

La décision du Conseil d’État résulte en réalité d’une démarche réaliste. En fixant une échéance jugée par le Conseil d’État comme « raisonnable », la CNIL impose in fine « une obligation de mise en conformité, que l’exercice du pouvoir de sanction ne serait, en tout état de cause, pas susceptible de faire respecter plus rapidement ». Il est effectivement difficile d’envisager des investigations, allant jusqu’au prononcé d’une sanction, dont la durée serait inférieure à celle de la « période d’adaptation » fixée par la CNIL.

L’arrêt apporte, enfin, une précision procédurale intéressante. Les actes attaqués par les associations requérantes sont des communiqués de presse indiquant les prises de position de la CNIL. Selon le Conseil d’État, de tels actes peuvent faire l’objet d’un recours pour excès de pouvoir s’ils « revêtent le caractère de dispositions générales et impératives ou lorsqu’ils énoncent des prescriptions individuelles dont ces autorités pourraient ultérieurement censurer la méconnaissance ». Tel est le cas en l’espèce puisque le plan d’action de la CNIL « constitue une prise de position publique de la commission quant au maniement des pouvoirs dont elle dispose », qui influe sur le comportement des acteurs concernés et de leurs utilisateurs.