Ce 1er octobre 2019, la Cour de justice de l\u2019Union europ\u00e9enne (ci-apr\u00e8s \u00ab CJUE \u00bb) a rendu un important arr\u00eat pr\u00e9cisant les principes applicables \u00e0 l\u2019utilisation des cookies. Nous faisons ici le point sur les enseignements de cet arr\u00eat de grande chambre.<\/p>\n\n\n\n
Pour rappel, les cookies ou \u00ab t\u00e9moins de connexion \u00bb sont des fichiers informatiques de petite taille. Ceux-ci sont plac\u00e9s sur l\u2019appareil d\u2019un utilisateur lorsqu\u2019il visite des sites internet. Les cookies ont vocation \u00e0 faciliter la navigation sur un site internet (par exemple en m\u00e9morisant les pr\u00e9f\u00e9rences de l\u2019utilisateur en mati\u00e8re de langue) mais ils permettent aussi aux op\u00e9rateurs de site web d\u2019acc\u00e9der \u00e0 des informations relatives \u00e0 la navigation ou au comportement en ligne de l\u2019utilisateur.<\/p>\n\n\n\n
Actuellement, l\u2019utilisation des cookies est encadr\u00e9e par la directive Directive 2002\/58\/CE ou directive vie priv\u00e9e et communications \u00e9lectroniques (ci-apr\u00e8s \u00ab directive e-privacy \u00bb) ainsi que par le RGPD.<\/p>\n\n\n\n
Les internautes sont couramment confront\u00e9s aux pratiques suivantes :
\u00b7 Pouvoir refuser l\u2019utilisation de cookies en d\u00e9cochant une ou plusieurs cases relatives \u00e0 leurs usages sp\u00e9cifiques ;
\u00b7 Devoir d\u00e9cocher, un \u00e0 un, les diff\u00e9rents cookies utilis\u00e9s par un site.<\/p>\n\n\n\n
Ces pratiques sont-elles n\u00e9anmoins conformes aux r\u00e8gles applicables en la mati\u00e8re ?<\/p>\n\n\n\n
R\u00e9sum\u00e9 des faits<\/strong><\/p>\n\n\n\n Dans l\u2019affaire ayant men\u00e9 \u00e0 cet arr\u00eat, les questions pr\u00e9judicielles pos\u00e9es \u00e0 la CJUE r\u00e9sultaient d\u2019un litige opposant la f\u00e9d\u00e9ration allemande des organisations de consommateurs \u00e0 Planet 49, soci\u00e9t\u00e9 organisatrice de jeux en ligne.<\/p>\n\n\n\n Afin de pouvoir participer \u00e0 l\u2019un des concours de Planet 49, les internautes devaient communiquer certaines donn\u00e9es de contact. Ils \u00e9taient ensuite confront\u00e9s \u00e0 deux cases : la premi\u00e8re, devant \u00eatre coch\u00e9e par l\u2019internaute, conditionnait la participation \u00e0 l\u2019acceptation de recevoir des offres de publicitaires. La seconde case, quant \u00e0 elle coch\u00e9e par d\u00e9faut, entrainait l\u2019acceptation de l\u2019installation de cookies. L\u2019utilisateur pouvait cependant d\u00e9cider de d\u00e9cocher cette case pour refuser l\u2019installation des cookies.<\/p>\n\n\n\n N\u00e9cessit\u00e9 d\u2019un consentement actif et \u00e9clair\u00e9 de l\u2019utilisateur<\/strong><\/p>\n\n\n\n Sans grande surprise, la CJUE a consid\u00e9r\u00e9 que la pratique de cocher par d\u00e9faut une case relative au placement des cookies \u00e9tait incompatible avec le r\u00e9gime mis en place par la directive \u00ab e-privacy \u00bb. La directive dispose en effet que le placement et la consultation de cookies requiert que l\u2019utilisateur ait pr\u00e9alablement donn\u00e9 son accord. Aux yeux de la Cour, cette disposition doit d\u00e8s lors \u00eatre interpr\u00e9t\u00e9e comme n\u00e9cessitant une action de l\u2019utilisateur et donc un consentement actif. A contrario, lorsque l\u2019utilisateur est confront\u00e9 \u00e0 une case pr\u00e9-coch\u00e9e, il doit \u00eatre consid\u00e9r\u00e9 comme passif. La cour consid\u00e8re \u00e9galement qu\u2019il est impossible de savoir si la personne concern\u00e9e a r\u00e9ellement donn\u00e9 son consentement ou si elle est tout simplement \u00ab pass\u00e9e \u00e0 c\u00f4t\u00e9 \u00bb de cette case avant de poursuivre sa navigation.<\/p>\n\n\n\n Comme le souligne la Cour, cet enseignement est \u00e0 fortiori applicable depuis l\u2019entr\u00e9e en application du RGPD puisque ce dernier est venu renforcer les exigences \u00e0 remplir pour qu\u2019un consentement soit consid\u00e9r\u00e9 comme valide. En outre, son 32\u00e8me consid\u00e9rant rappelle express\u00e9ment qu\u2019il ne peut y avoir de consentement en cas de silence, de cases coch\u00e9es par d\u00e9faut ou d\u2019inactivit\u00e9.<\/p>\n\n\n\n Enfin, le consentement pr\u00e9alable de l\u2019utilisateur doit \u00eatre un consentement \u00e9clair\u00e9. La directive \u00ab e-privacy \u00bb requiert que l\u2019utilisateur ait eu acc\u00e8s \u00e0 une information claire et compl\u00e8te avant de consentir au placement de cookies sur son appareil. Selon les mots de l\u2019avocat g\u00e9n\u00e9ral, une telle information doit permettre \u00e0 l\u2019utilisateur de d\u00e9terminer facilement les cons\u00e9quences de son consentement et \u00eatre suffisamment compr\u00e9hensible pour lui permettre de comprendre le fonctionnement des cookies concern\u00e9s. En pratique, le titulaire d\u2019un site internet ayant recours \u00e0 des cookies doit au moins informer les utilisateurs quant aux finalit\u00e9s des diff\u00e9rents cookies, \u00e0 leur dur\u00e9e de fonctionnement et quant \u00e0 la possibilit\u00e9 que des tiers y aient acc\u00e8s. Lorsque l\u2019utilisateur est confront\u00e9 \u00e0 une case coch\u00e9e par d\u00e9faut, il n\u2019est pas \u00e0 exclure que celui-ci n\u2019ait pas lu ces informations relatives aux cookies. Un consentement \u00e9clair\u00e9 ne peut donc \u00eatre d\u00e9duit face \u00e0 cette pratique.<\/p>\n\n\n\n Un principe applicable \u00e0 l\u2019ensemble des cookies<\/strong><\/p>\n\n\n\n La Cour souligna \u00e9galement que la directive \u00ab e-privacy \u00bb impose d\u2019obtenir le consentement pr\u00e9alable de l\u2019utilisateur tant pour le stockage d\u2019informations que pour l\u2019acc\u00e8s \u00e0 des informations d\u00e9j\u00e0 stock\u00e9es sur l\u2019appareil de l\u2019utilisateur. En d\u2019autres termes, tant l\u2019installation d\u2019un cookie que l\u2019acc\u00e8s aux informations qu\u2019il contient est soumise au consentement pr\u00e9alable de l\u2019utilisateur.<\/p>\n\n\n\n Peu importe donc que les cookies ou les informations consult\u00e9es sur l\u2019appareil de l\u2019utilisateur soient qualifi\u00e9es, ou non, de donn\u00e9es \u00e0 caract\u00e8re personnel. Les informations pr\u00e9sente sur l\u2019appareil de l\u2019utilisateur rel\u00e8vent de sa vie priv\u00e9e et la directive \u00ab e-privacy \u00bb a vocation \u00e0 le prot\u00e9ger contre toute immixtion dans ce droit et contre les dispositifs de nature \u00e0 p\u00e9n\u00e9trer dans cet appareil.<\/p>\n\n\n\n Recommandations pratiques pour la route<\/strong><\/p>\n\n\n\n Par cet arr\u00eat, la CJUE rappelle que le placement de cookies ou l\u2019acc\u00e8s \u00e0 des informations stock\u00e9es sur l\u2019appareil de l\u2019utilisateur est soumis au consentement actif de l\u2019utilisateur. La directive \u00ab e-privacy \u00bb lue en combinaison avec le RGPD instaure un syst\u00e8me d\u2019opt-in et non un syst\u00e8me d\u2019opt-out en ce qui concerne les cookies. Si vous utilisez des cookies vous devez donc adopter une approche consistant \u00e0 d\u00e9cocher par d\u00e9faut l\u2019ensemble des cases qui leurs sont relatives, et, \u00e0 permettre \u00e0 l\u2019utilisateur de cocher ces cases pour exprimer son consentement. Il conviendra \u00e9galement de s\u2019interroger quant \u00e0 savoir si une option permettant de cocher en un seul clic l\u2019ensemble des cases relatives aux cookies \u2013 bien qu\u2019impliquant un comportement actif de l\u2019utilisateur \u2013 r\u00e9pond \u00e0 l\u2019exigence d\u2019un consentement \u00e9clair\u00e9 de la personne concern\u00e9e.<\/p>\n\n\n\n Relevons enfin un attendu tr\u00e8s int\u00e9ressant de cet arr\u00eat par lequel la CJUE souligne qu\u2019elle n\u2019a pas \u00e9t\u00e9 saisie de la question de la conformit\u00e9 d\u2019une pratique conditionnant la participation \u00e0 un concours \u00e0 l\u2019acceptation d\u2019un traitement de donn\u00e9es \u00e0 des fins publicitaires. Il faut y voir un rappel de principe, le consentement de la personne concern\u00e9e doit \u00eatre un consentement de qualit\u00e9 et doit en cons\u00e9quence avoir \u00e9t\u00e9 donn\u00e9 librement. Mieux vaut donc \u00eatre attentif avant de fonder un traitement de donn\u00e9es sur le consentement.<\/p>\n\n\n\n Florian JACQUES<\/strong><\/p>\n\n\n\n Pour plus d’informations sur le RGPD, sur la protection des donn\u00e9es ou sur l’impact de ces nouveaux r\u00e8glements sur votre entreprise, n’h\u00e9sitez pas \u00e0 nous contacter ou \u00e0 nous rencontrer lors d’une entrevue sans engagements : https:\/\/digi-lex.be\/index.php\/contact\/<\/a> <\/p>\n","protected":false},"excerpt":{"rendered":" Ce 1er octobre 2019, la Cour de justice de l\u2019Union europ\u00e9enne (ci-apr\u00e8s \u00ab CJUE \u00bb) a rendu un important arr\u00eat pr\u00e9cisant les principes applicables \u00e0…<\/p>\n","protected":false},"author":1,"featured_media":793,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[52,51],"tags":[53,54,25,28,24,65],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/digi-lex.be\/index.php\/wp-json\/wp\/v2\/posts\/913"}],"collection":[{"href":"https:\/\/digi-lex.be\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/digi-lex.be\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/digi-lex.be\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/digi-lex.be\/index.php\/wp-json\/wp\/v2\/comments?post=913"}],"version-history":[{"count":2,"href":"https:\/\/digi-lex.be\/index.php\/wp-json\/wp\/v2\/posts\/913\/revisions"}],"predecessor-version":[{"id":918,"href":"https:\/\/digi-lex.be\/index.php\/wp-json\/wp\/v2\/posts\/913\/revisions\/918"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/digi-lex.be\/index.php\/wp-json\/wp\/v2\/media\/793"}],"wp:attachment":[{"href":"https:\/\/digi-lex.be\/index.php\/wp-json\/wp\/v2\/media?parent=913"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/digi-lex.be\/index.php\/wp-json\/wp\/v2\/categories?post=913"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/digi-lex.be\/index.php\/wp-json\/wp\/v2\/tags?post=913"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}