le 17/10/2019

Le consentement actif des internautes au placement de cookies

CJUE, 1er octobre 2019, Renvoi préjudiciel – Directive 95/46/CE – Directive 2002/58/CE – Règlement (UE) 2016/679

Dans le cadre d’une question préjudicielle, la Cour fédérale de justice allemande a demandé à la Cour de justice de l’Union européenne (CJUE) d’interpréter les articles 2, sous f) et l’article 5 paragraphe 3 de la directive 2002/58/CE du 12 juillet 2002, lus en combinaison avec l’article 2, sous h) de la directive 95/46/CE du 24 octobre 1995 et de l’article 6, paragraphe 1, sous a) du RGPD concernant le consentement et l’information des internautes au placement de cookies.

Les cookies sont des fichiers déposés sur le disque dur de l’internaute par l’éditeur du site internet visité. L’éditeur de ce site peut accéder à nouveaux à ces fichiers lors d’une nouvelle visite ce qui lui permet de faciliter la navigation sur son site internet ou d’obtenir des informations sur le comportement de l’internaute. Il n’est pas rare que les sites institutionnels des collectivités ou des établissements publics utilisent des cookies.

Dans cet arrêt, la Cour de justice de l’Union considère que « le consentement visé à ces dispositions n’est pas valablement donné lorsque le stockage d’informations ou l’accès à des informations déjà stockées dans l’équipement terminal de l’utilisateur d’un site Internet, par l’intermédiaire de cookies, est autorisé au moyen d’une case cochée par défaut que cet utilisateur doit décocher pour refuser de donner son consentement ».

La juridiction de renvoi demande également à la CJUE si les dispositions dont il est demandé l’interprétation à la Cour de justice doivent être interprétées différemment selon que les informations stockées par les cookies constituent ou non des données à caractère personnel. A ce sujet, la CJUE considère que la protection de la vie privée « s’applique à toute information stockée sur cet équipement terminal, indépendamment du fait qu’il s’agisse ou non de données à caractère personnel ». Ainsi les dispositions encadrant le consentement de l’utilisateur au placement de cookie ne doivent pas être interprétées différemment selon que les informations stockées sont ou non des données à caractère personnel.

Enfin la CJUE estime que l’utilisateur d’un site internet doit être informé par l’éditeur de service de la durée de fonctionnement des cookies ainsi que la possibilité ou non pour des tiers d’avoir accès à ces cookies.

Par conséquent, il revient à la juridiction allemande compétente de résoudre l’affaire en conformité avec la décision de la CJUE.

Pour conclure, cet arrêt lie également les juridictions françaises qui seraient saisies d’un litige similaire. Il convient de rappeler que sur la question du consentement à l’utilisation des cookies sur un site internet, la CNIL a par une délibération n° 2019-093 du 4 juillet 2019 précisé sa doctrine à ce sujet. Ces nouvelles lignes directrices ont fait l’objet de deux recours, d’une part par les associations de défense des libertés sur internet et d’autre part, par les professionnels de la communication digitale. Par une décision rendue le 16 octobre 2019, le Conseil d’Etat a rejeté le recours pour excès de pouvoir introduit par la Quadrature du Net et Caliopen (voir notre brève consacrée à cette décision).