Pas de case précochée pour les cookies

Publié le 01/10/2019 par Etienne Wery , Thierry Léonard

Le placement de cookies requiert le consentement actif des internautes. Une case cochée par défaut est donc insuffisante. La Cour précise que ceci vaut également pour les cookies qui n’impliquent pas de traitement de données personnelles.

La fédération allemande des organisations de consommateurs conteste, devant les juridictions allemandes, l’utilisation par la société allemande Planet49, dans le cadre de jeux promotionnels en ligne, d’une case cochée par défaut par laquelle les internautes souhaitant participer expriment leur accord au placement de cookies. Ces cookies visent à recueillir des informations à des fins de publicité pour des produits des partenaires de Planet49.

Les internautes souhaitant participer à ce jeu devaient communiquer leur code postal, ce qui les dirigeait vers une page web sur laquelle ils devaient inscrire leurs nom et adresse. Sous les cases à remplir pour l’adresse se trouvaient deux mentions, accompagnées de cases à cocher. La première mention, dont la case (ci-après la « première case à cocher ») n’était pas cochée par défaut, se lisait comme suit :

« J’accepte que des sponsors et partenaires m’informent par voie postale, par téléphone, par courrier électronique ou par message SMS de promotions dans leur domaine d’activité respectif. Je peux les déterminer ici moi-même faute de quoi l’organisateur les sélectionnera. Je peux revenir à tout moment sur mon acceptation. Pour plus d’informations à ce sujet, ici. »

La seconde mention, dont la case (ci-après la « seconde case à cocher ») était cochée par défaut, se lisait comme suit :

« J’accepte que le service d’analyse du web Remintrex soit mis en œuvre chez moi. En conséquence, l’organisateur du jeu promotionnel, [Planet49], installera des cookies après avoir été agréé pour le jeu promotionnel, ce qui lui permettra d’exploiter par Remintrex mes navigations sur le web et mes visites sur les sites web des partenaires publicitaires et d’adresser de la publicité centrée sur mes intérêts. Je peux supprimer les cookies à tout moment. Lire les détails ici. »

Il n’était possible de participer au jeu promotionnel qu’après avoir coché, à tout le moins, la première case à cocher.

Le Bundesgerichtshof (Cour fédérale de justice, Allemagne) demande à la Cour de justice d’interpréter le droit de l’Union concernant la protection de la vie privée dans le cadre de la communication électronique.

La forme du consentement

Par son arrêt de ce jour, la Cour décide que le consentement que l’utilisateur d’un site Internet doit donner pour le placement et la consultation de cookies sur son équipement n’est pas valablement donné au moyen d’une case cochée par défaut que cet utilisateur doit décocher pour refuser de donner son consentement.

Ce faisant, la Cour se penche sur la signification des termes « avoir donné son accord » qui figurent à l’article 5, paragraphe 3, de la directive 2002/58. Elle juge que « une action de l’utilisateur est nécessaire pour exprimer son consentement ».

Au soutien de son arrêt, la Cour invoque non seulement le sens usuel littéral, mais aussi le considérant 17 de la directive qui renvoie à la directive 95/46 pour ce qui concerne le « consentement ». Or, celui-ci implique « toute manifestation de volonté, libre, spécifique et informée par laquelle la personne concernée accepte que des données à caractère personnel la concernant fassent l’objet d’un traitement ». Rejoignant l’avocat général, la Cour estime que « l’exigence d’une ‘manifestation’ de volonté de la personne concernée évoque clairement un comportement actif et non pas passif. Or, un consentement donné au moyen d’une case cochée par défaut n’implique pas un comportement actif de la part de l’utilisateur d’un site Internet. »

La Cour se penche aussi sur le projet initial de l’article 5, paragraphe 3, de la directive 2002/58, qui prévoyait seulement l’exigence que l’utilisateur ait le « droit de refuser » le placement de cookies. En substituant à cette expression les termes « donné son accord », le législateur a indiqué clairement le sens qu’il entendait donner à ces termes.

Le consentement « libre »

Un attendu de l’arrêt fera beaucoup parler de lui.

La Cour semble regretter que la juridiction de renvoi ne l’ait pas saisie de la question de « savoir si la circonstance que le consentement d’un utilisateur au traitement de ses données personnelles à des fins publicitaires conditionne la possibilité, pour celui-ci, de participer à un jeu promotionnel, comme cela semble être en l’occurrence le cas, selon les indications figurant dans la décision de renvoi, à tout le moins pour la première case à cocher, est compatible avec l’exigence d’un consentement « libre », au sens de l’article 2, sous h), de la directive 95/46 ainsi que de l’article 4, point 11, et de l’article 7, paragraphe 4, du règlement 2016/679. ».

Rappelons que cette dernière disposition est généralement interprétée comme introduisant une présomption d’absence de consentement libre si la fourniture du service – ici l’offre de jeu concours – est subordonnée comme en l’espèce au consentement à un traitement qui poursuit ici une finalité de marketing direct qui n’est pas nécessaire à l’exécution du contrat.

La Cour indique qu’il n’y a pas lieu d’examiner une question qu’on ne lui pose pas.

Très bien mais … si la juridiction de renvoi ne posait pas la question, pourquoi la Cour relève-t-elle ce fait pour mieux décider de ne pas répondre ?

Une interprétation semble s’imposer : la Cour appelle à la plus grande prudence et ne semble pas prête à accepter facilement que le consentement puisse, dans ces conditions, être « libre ».

Tous les cookies ?

Pour la Cour, que les informations stockées ou consultées dans l’équipement de l’utilisateur constituent ou non des données à caractère personnel n’influe pas sur ce résultat. En effet, le droit de l’Union vise à protéger l’utilisateur de toute ingérence dans sa vie privée, notamment contre le risque que des identificateurs cachés ou autres dispositifs analogues pénètrent dans son équipement à son insu.

La Cour souligne que le consentement doit être spécifique, de telle sorte que le fait, pour un utilisateur, d’activer le bouton de participation au jeu promotionnel ne suffit pas pour considérer qu’il a valablement donné son consentement au placement de cookies.

En outre, selon la Cour, les informations que le fournisseur de services doit donner à l’utilisateur incluent la durée de fonctionnement des cookies ainsi que la possibilité ou non pour des tiers d’avoir accès à ces cookies.

Plus d’infos ?

En lisant l’arrêt et les conclusions de l’avocat général, disponibles en annexe.