le 29/08/2019

L’adoption de nouvelles lignes directrices par la CNIL sur l’utilisation des cookies contestées par la Quadrature du net

Délibération n° 2019-093 du 4 juillet 2019 portant adoption de lignes directrices relatives à l'application de l'article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture ou écriture dans le terminal d'un utilisateur (notamment aux cookies et autres traceurs)

Par une délibération n° 2019-093 du 4 juillet 2019 portant adoption de lignes directrices et publiée au JORF n°0166 du 19 juillet 2019, la CNIL a précisé sa doctrine en matière d’utilisation des cookies sur un site internet.

Ces lignes directrices abrogent la précédente recommandation de la CNIL à ce sujet qui datait de 2013 et n’étaient plus conformes au RGPD. Cette actualisation est effectuée alors que le nouveau règlement européen « vie privée et communications électroniques » ou « ePrivacy » est actuellement en cours de discussion devant les instances européennes.

Ces lignes directrices comportent deux nouveautés majeures. D’une part, la simple poursuite de la navigation sur un site ne pourra plus être regardée comme une expression valide du consentement au dépôt de cookies. Au-delà, il devra être considéré que la consultation d’un site internet ne pourra plus valablement être conditionnée à l’acceptation de cookies. D’autre part, les opérateurs qui exploitent des traceurs devront être en mesure de prouver qu’ils ont bien recueilli le consentement.

Ces lignes directrices constituent le socle du plan d’action de la CNIL concernant l’utilisation des cookies et seront suivies d’une nouvelle recommandation. En effet, la CNIL a indiqué que la recommandation définitive sera publiée au premier trimestre 2020. Un délai de 6 mois sera alors laissé aux acteurs après la publication de cette nouvelle recommandation définitive pour intégrer cette règle.

Par conséquent, les lignes directrices de la CNIL publiées le 18 juillet dernier ne sont pas applicables dès à présent. C’est notamment pour cette raison que l’association La quadrature du net a déposé au cours de l’été un recours pour demander l’annulation de cette délibération assortie d’un référé suspension. L’association conteste d’une part la décision de la CNIL d’accorder un délai d’un an aux opérateurs afin de se conformer à l’exigence du recueil explicite du consentement de l’utilisateur. Et, d’autre part, l’association conteste le fait que la CNIL, c’est-à-dire l’autorité en charge du contrôle de l’application du RGPD, soit également l’autorité qui accorde ce délai supplémentaire de mise en conformité et non le législateur.

L’audience du référé suspension s’est déroulée le 14 août. La quadrature du net a annoncé le 16 août que son recours était rejeté pour défaut d’urgence. En effet le Conseil d’Etat a décidé d’avancer l’audience du recours pour excès de pouvoir à l’encontre de la délibération de la CNIL au 30 septembre 2019. Affaire à suivre donc….