Source: https://blog.landot-avocats.net/2020/06/19/comparons-les-recettes-de-cookies-cjue-ce-cnil-mise-a-jour-en-raison-dun-arret-important-au-19-juin-2020/
Timestamp: 2020-07-02 10:20:46+00:00
Document Index: 264539346

Matched Legal Cases: ['arrêt ', 'arrêt ', 'art. 4', 'arrêt ', 'art=1', 'arrêt ', 'arrêt ']

Comparons les recettes de cookies (CJUE ; CE ; CNIL ; mise à jour — en raison d’un arrêt important — au 19 juin 2020]
L’art culinaire est tout d’exécution et force est de constater que les grands chefs (CJUE ; CE ; CNIL) ont des recettes similaires en matière de cookies, mais avec quelques tour-de-mains et ingrédients un brin différents.
Retraçons la recette, complexe, de ces cookies légaux à la faveur de l’arrêt rendu ce jour — 19 juin 2020 — par le Conseil d’Etat, censurant partiellement les lignes directrices de la CNIL relatives aux cookies et autres traceurs de connexion.
I. A la base, l’exigence d’un consentement libre, spécifique, éclairé et univoque (et non plus tacite) en raison du RGPD
Un cookie 🍪 (« témoin de connexion ») se reçoit et se consomme tel quel, sans entrer dans sa composition, sa cuisson, ses petits secrets de fabrication.
NB rappel : un cookie est un ensemble de données de petite taille qu’un site web stocke sur l’ordinateur ou le dispositif mobile du visiteur. Pour faire simple, il s’agit des données de connexion sauvegardées sur l’ordinateur par le site internet visité. De cette façon, le cookie constitue une donnée permettant de reconnaitre un visiteur lorsqu’il revient sur un site internet.
OUI mais pour éviter les abus (cholestérol ?) qui peuvent en résulter, le RGPD (Règlement général sur la protection des données n° 2016/679/UE, 27 avril 2016) impose en ce domaine un consentement libre, spécifique, éclairé et univoque (RGPD, art. 4, 11 ; CEPD [anciennement G29], lignes directrices sur le consentement WP 259 révision 1).
Voir le très « fouillis » site :
https://edpb.europa.eu/our-work-tools/general-guidance/gdpr-guidelines-recommendations-best-practices_fr
Bref en matière de cookies on passe d’un consentement tacite à un consentement exprès, clair, univoque.
Voir les règles initiales de la CNIL avec la :
Délibération 2013-378 du 5 décembre 2013 portant adoption d’une recommandation relative aux cookies et aux autres traceurs visés par l’article 32-II de la loi du 6 janvier 1978 (NOR: CNIX1331669X)
Alors qu’aujourd’hui, comme il le sera exposé ci-après, s’applique la :
délibération n° 2019-093 du 4 juillet 2019 portant adoption de lignes directrices relatives à l’application de l’article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture ou écriture dans le terminal d’un utilisateur (notamment aux cookies et autres traceurs) (rectificatif) (NOR: CNIL1920776Z)
II. La recette originale, initiale, du Conseil d’Etat (avec le bien nommé arrêt « Croque futur » de 2018)
Reprise pour ce II d’une partie d’un billet de Benjamin Carrey, en date du 27 juillet 2018 :
A propos des cookies présents sur le site Challenges.fr, le Conseil d’Etat a précisé la portée de cette obligation de consentement et de gestion des cookies (CE, 6 juin 2018, Société Éditions Croque Futur, n° 412589).
Une telle pratique était celle recommandée par la CNIL alors.
III. La recette de la CJUE en 2018
NB : reprise pour ce III. de mon billet du 10 octobre 2018 :
La CJUE a estimé que la société avait accepté la politique d’utilisation des cookies de Facebook et disposait de pouvoirs de paramétrages qui conduisaient à devoir la considérer — et c’est là le point capital — comme étant responsable de ce traitement de données au sein de l’Union, conjointement avec Facebook.
IV. Les nouvelles recettes françaises finalisant la transposition du droit européen (ordonnance 2018-1125 du 12 décembre 2018 ; décret 2019-536 du 29 mai 2019 ; délibération CNIL 2019-093 du 4 juillet 2019)
Le droit français s’est mis ensuite en conformité avec les dernières règles RGPD via l’ordonnance n° 2018-1125 du 12 décembre 2018 (prévue par l’article 32 de la loi n° 2018-493 du 20 juin 2018).
Avec une réécriture de l’ensemble de la loi n° 78-17 du 6 janvier 1978relative à l’informatique, aux fichiers et aux libertés et une mise en conformité du droit national avec le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016.
Les articles 82 et 83 de cette ordonnance reprirent les dispositions du II de l’article 32 et de l’article 34 bis antérieur de la loi du 6 janvier 1978, mais en remplaçant le terme « accord » par celui de « consentement » (dans le sens donc d’un accord explicite des cookies) pour tenir compte de la nouvelle terminologie consacrée par le règlement (UE) 2016/679.
Voir la formulation actuelle de l’article 82 :
https://www.legifrance.gouv.fr/affichTexteArticle.do;jsessionid=FC3CB2BEA666E78CC5080B51C0AD0E0F.tplgfr25s_3?idArticle=LEGIARTI000037813978&cidTexte=LEGITEXT000006068624&dateTexte=20191023
Puis a été adopté (fin de la transposition de la directive) :
Décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (NOR: JUSC1911425D)
Tout ceci conduisant la CNIL à adopter une nouvelle délibération prévoyant un consentement net, clair, de l’utilisateur été non une acceptation tacite. Voir en ce sens la :
Avec une phrase claire à l’article 2 :
« les traceurs nécessitant un recueil du consentement ne peuvent être utilisés en écriture ou en lecture tant que l’utilisateur n’a pas préalablement manifesté à cette fin sa volonté, de manière libre, spécifique, éclairée et univoque par une déclaration ou par un acte positif clair. »
La suite de l’article est claire et exigeante sur les conditions de ce consentement.
L’article 4 exclut en l’état de la technique que ce consentement puisse résulter d’un paramétrage du terminal.
Cela dit, diverses règles particulières sont prévues notamment pour les traceurs de mesure d’audience.
V. La CJUE rejette les case pré-cochées par défaut en termes de consentement
Puis la CJUE est intervenue pour estimer que n’est pas un consentement valable en matière de cookies le recours à une case pré-cochée par défaut.
Voir CJUE 1er octobre 2019, aff. C-673/17 :
http://curia.europa.eu/juris/document/document.jsf?text=&docid=218462&pageIndex=0&doclang=fr&mode=lst&dir=&occ=first&part=1&cid=6948824
Avec la phrase clef que voici :
« le consentement visé à ces dispositions n’est pas valablement donné lorsque le stockage d’informations ou l’accès à des informations déjà stockées dans l’équipement terminal de l’utilisateur d’un site Internet, par l’intermédiaire de cookies, est autorisé au moyen d’une case cochée par défaut que cet utilisateur doit décocher pour refuser de donner son consentement.»
VI. Mais le Conseil d’Etat admet la période de transition commodément (et inconventionnellement ?) préparée par la CNIL
Par un arrêt du 16 octobre 2019 (n°433069), le Conseil d’Etat a estimé légale la décision de la CNIL d’engager une concertation pour définir les nouvelles modalités pratiques d’expression du consentement en matière de publicité ciblée, et de laisser aux acteurs du secteur une période d’adaptation pour s’y conformer de six mois, après phase de concertation…. pour une transposition donc, pleine et entière, de la directive à l’horizon 2020, date estimée comme conforme au droit européen selon les uns, inconventionnelle pour les autres.
VII. Puis vint l’arrêt du 19 juin 2020 par lequel le Conseil d’Etat a censuré partiellement les lignes directrices de la CNIL relatives aux cookies et autres traceurs de connexion
NB : sur les contentieux contre les lignes directrices, voir l’évolution récente de l’état du droit :
Droit souple : le juge rigide [suite avec, cette fois, l’extension des recours aux lignes directrices de l’administration même non impératives]
Publié dans Brèves et articles et tagué cookie, Informatique et libertés, Internet. Ajoutez ce permalien à vos favoris.
Valeur juridique et régime contentieux des ordonnances de l’article 38 de la Constitution, une fois passée la dates d’expiration du délai d’habilitation… le CE complète le mode d’emploi donné il y a un mois par le Conseil constitutionnel 02 Juil. 2020