ACTE 2: LES LIGNES DIRECTRICES DE LA CNIL SUR LES COOKIES La colère gronde !

Depuis la publication des lignes directrices de la CNIL sur les cookies que nous avions commenté dans l’article « Nouvelles lignes directrices sur l’utilisation des cookies : la CNIL renforce ses exigences », la colère gronde à coup de saisines du Conseil d’État.

En effet, deux recours ont été déposés devant le Conseil d’État contre la CNIL, l’un par des associations de consommateurs, l’autre par des associations professionnelles.

Bref rappel de l’acte 1 : la publication des Cookies Guidelines de la CNIL

Nous vous détaillions la portée des nouvelles lignes directrices de la CNIL dans sa délibération 2019-093 du 4 juillet 2019 sur les « cookies » et autres traceurs, en alignement avec le RGPD entré en application le 25 mai 2018.

La CNIL a abrogé ses recommandations de 2013 en se positionnant, sans ambiguïté, sur le droit désormais applicable en France. L’évolution la plus retentissante était relative à la poursuite de la navigation sur un site et/ou les cases pré-cochées qui ne pouvaient désormais plus être considérées comme des actes positifs traduisant le consentement de l’utilisateur.

Il ne s’agirait que d’un socle d’un plan d’action beaucoup plus amitieux de la CNIL déjà annoncé, relatif aux modalités pratiques du recueil du consentement.  

La publication définitive du projet a été annoncée pour le premier trimestre 2020, après concertation avec les professionnels et les associations de consommateurs ainsi que l’analyse des retours reçus dans le cadre de sa consultation publique. L’objectif annoncé était de permettre aux acteurs de l’industrie, et notamment à tout l’écosystème de la publicité digitale, de parfaire sa mise en conformité avec l’ensemble des provisions visées par le RGPD et la loi « informatique et libertés » modifiée en juin dernier.

La CNIL a convenu, lors la publication des lignes directrices sur les cookies, d’accorder à toute personne ou organisation concernée par ces règles un moratoire : une période de six mois à compter de cette publication définitive pour implémenter ces nouvelles règles. 

Il n’est pas exclu que les recours des associations de consommateurs (représentant les « personnes concernées ») et des associations professionnelles (représentant l’industrie) pourraient modifier ces lignes directrices sur les cookies et/ou les travaux en cours.

Quelle que soit l’issue de ces recours, nous devons reconnaître que l’intention de la CNIL de trancher de très anciennes discussions sur la base légale de l’intérêt légitime n’apporte pas la sécurité juridique escomptée et compliquerait un peu plus la finalisation des démarches de mise en conformité de tous les acteurs et peut-être même une mise en péril de certians « business models ».

Le recours des associations de consommateurs

Pour les associations de consommateurs ayant initié ce recours à savoir « La Quadrature du Net » et « Caliopen », ce nouveau délai accordé à l’industrie est inadmissible sachant que le RGPD adopté en 2016 prévoyait déjà une période de transition de deux ans qui a officiellement pris fin le 25 mai 2018. Ces associations considèrent que la Commission européenne pourrait/devrait exercer un recours en manquement contre la France puisque ce nouveau délai accordé par son autorité de régulation (la CNIL) violerait le droit européen eu égard notamment aux choix de l’instrument juridique choisi, un règlement qui ne fait pas, contrairement aux directives, l’objet de transpositions en droit national. Un règlement est applicable de manière identique, à une date certaine, dans tous les États membres.

Néanmoins, certaines critiques fleurissent autour de ce recours qui ne vise pas les clarifications (ou modifications) apportées au RGPD mais le moratoire de six mois accordé à l’industrie. En effet, ces associations de consommateurs remettent en cause le fait qu’aucune sanction ne serait infligée avant mi-2020, si la poursuite de navigation d’un utilisateur était encore considérée comme une base légale de recueil de son consentement.

Une requête en référé-suspension a été déposée le 29 juillet puis rejetée lors d’une audience au fond tenue le 30 septembre dernier. Le Conseil d’État a annoncé, dans un communiqué du 16 octobre 2019, que ce délai n’était pas illégal. Il estime que la CNIL, en tant qu’autorité administrative indépendante dispose de ce pouvoir d’appréciation dans l’exercice de ses missions et que sa tolérance ne méconnaît pas le droit au respect de la vie privée.

En effet, la CNIL œuvre, notamment, à sanctionner les pratiques prohibées et elle ne s’interdit pas d’opérer des contrôles durant cette période transitoire de six mois en sanctionnant, le cas échéant, d’autres manquements y compris des manquements liés au recueil du consentement de manière plus générale.

Le recours des associations de professionnels

De très nombreuses associations professionnelles engagées à savoir l’IAB France, le SRI, le GESTE, la MMAF, l’UDECAM, l’AACC, l’UDM, le SNCD et la FEVAD, représentant la majorité de l’industrie numérique englobant toute la chaine de valeur de la publicité digitale ont également saisi le Conseil d’État pour dénoncer une approche jugée très stricte de la CNIL. Tous ces portes-paroles de l’industrie souhaitent que le Conseil d’État se prononce sur la conformité de la délibération de la CNIL au droit français et au droit européen.

Selon Etienne Drouard (K&L Gates) la « surinterprétation » du texte du RGPD pourrait remettre en cause les activités de marketing et de publicité en ligne, importantes dans l’écosystème digital français. La critique est de deux ordres.

D’une part, mettre en pratique ces lignes directrices jugées radicales sur le plan opérationnel nécessiterait une révision profonde des solutions actuelles, pouvant avoir un impact négatif très important sur la compétitivité des français au sein du marché unique européen sans pour autant mieux protéger la vie privée des utilisateurs.

D’autre part, la CNIL en s’appuyant sur l’opinion du regroupement des CNIL européennes (EDPB), va plus loin que le RGPD tel qu’il a été adopté et empièterait potentiellement sur les solutions du futur règlement e-Pricacy en discussion à Bruxelles qui doit notamment statuer en 2020 sur l’épineuse question des traceurs.

La décision finale du Conseil d’État, qui pourra prononcer l’annulation de tout ou partie de la délibération de la CNIL est attendue avec beaucoup d’impatience début 2020.

Lara & Valérie