Navigation – Plan du site
2020
Février

La CJUE rejette la présomption de consentement au placement des cookies

CJUE, 1er octobre 2019, Planet49, aff. C-673/17
Julie Meyer, Estelle Dantan, Fanny Lange, Célia Gourzones et Elsa Sadaka

Résumé

À l’ère de l’expansion du numérique, l’heure est au renforcement de la protection des données. L’entrée en vigueur du règlement général sur la protection des données (RGPD) a donné du grain à moudre à la Cour de justice de l’Union européenne (CJUE). Cette dernière a récemment eu l’occasion de préciser l’étendue du droit au déréférencement et a considéré que le « droit à l’oubli » n’avait pas de portée mondiale. Les débats autour de la sauvegarde des droits et libertés fondamentales des internautes sont donc en plein développement.  

Haut de page

Texte intégral

  • 1 CJUE, affaire C-673/17, Planet49

1L’arrêt, en date du 1er octobre 20191, vient éclairer la problématique de la collecte des données issues du placement des cookies par les fournisseurs de services. Les cookies sont des fichiers placés sur l’ordinateur des visiteurs d’un site auxquels ceux-ci peuvent accéder à chaque nouvelle visite. Ils permettent de faciliter l’obtention d’informations sur leur comportement. En l’espèce, la société Planet49 proposait des jeux en ligne pour lesquels la participation était subordonnée à :  une première case « à cocher » (opt-in), relative à la promotion par voie postale ou électronique de sponsors et partenaires de la société ; une deuxième pré-cochée (opt-out), relative à l’installation de cookies sur l’ordinateur par l’entreprise. 

2La fédération des organisations de consommateurs allemande a dénoncé cette seconde pratique, considérée comme contraire à la législation allemande, qui prévoyait notamment que la collecte des données à caractère personnel n’était possible que sous réserve d’une autorisation légale ou du consentement de l’utilisateur. Le juge d’appel a considéré que les utilisateurs étant informés de la possibilité de décocher la case litigieuse et que les informations sur les modalités d’utilisation étant suffisamment claires, la demande de la fédération afin d’obtenir la suppression de cette mention était infondée. Saisie de la question, la Cour fédérale de justice allemande a saisi la CJUE, considérant que l’issue du litige dépendait de l’interprétation des directives de 1995 (95/46) et 2002 (2002/58) et du règlement de 2016 (2016/679). 

3Une série de questions préjudicielles a notamment été posée à la Cour sur le point de savoir si une case pré-cochée suffisait à caractériser le consentement de l’utilisateur au placement de cookies. Celle-ci a été en outre appelée à se prononcer sur l’étendue des informations à délivrer par le fournisseur sur l’utilisation de ces fichiers. La Cour rend ici un arrêt novateur qui puise son inspiration dans le RGPD (I). La décision est prise sur le fondement du droit au respect de la vie privée, cadre juridique restreignant l’usage du placement de cookies (II).

I/ - L’impact novateur du RGPD sur la pratique des cases pré-cochées  

4Afin de consacrer le principe de consentement actif de l’utilisateur (B.), la CJUE a fait le choix d’une application rétroactive du RGPD (A.). 

A/ - Le choix d’une application rétroactive du règlement

  • 2 Arrêt du 9 juillet 1969, Portelange, 10/69, Rec, EU:C:1969:36 : principe général de droit de l’Unio
  • 3 Arrêt du Tribunal (deuxième chambre), 5 septembre 2014, Éditions Odile Jacob SAS contre Commission (...)

5Le choix opéré par la Cour d’une application rétroactive du RGPD questionne au regard du principe général de sécurité juridique2. Ce dernier impose une applicabilité immédiate des normes de droit européen aux situations présentes et futures. Selon une jurisprudence constante, il est toutefois permis de déroger à ce principe sous une double condition : « lorsque le but à atteindre l’exige et lorsque la confiance légitime des intéressés est dûment respectée (arrêts du 25 janvier 1979, Racke, 98/78) »3

  • 4 Considérant 171, RGPD

6Ainsi, le RGPD, entré en vigueur le 25 mai 2018, ne devrait pouvoir s’appliquer au traitement des données qu’à compter de cette date. L’application de ce texte a justement été retardée de deux ans pour laisser la possibilité aux acteurs de mettre en conformité les pratiques existantes avec les nouvelles dispositions. Le considérant 171 du RGPD dispose en ce sens que : « Lorsque le traitement est fondé sur un consentement en vertu de la directive 95/46/CE, il n'est pas nécessaire que la personne concernée donne à nouveau son consentement si la manière dont le consentement a été donné est conforme aux conditions énoncées dans le présent règlement, de manière à ce que le responsable du traitement puisse poursuivre le traitement après la date d'application du présent règlement »4. Il apparaît donc que le traitement de données, qui a pris fin avant que le RGPD n’entre en vigueur, ne peut en principe faire l'objet d'un contrôle sur ce fondement. 

  • 5 §41, CJUE, 1er octobre 2019, affaire C-673/17

7Or en l’espèce, tant les faits - qui se sont déroulés en 2013 - que les décisions rendues par les juridictions allemandes sont intervenues avant l’entrée en vigueur du texte européen. Et pourtant, la Cour précise que la question préjudicielle sera appréciée sur le fondement de la directive de 2002 modifiée et du règlement de 2016 (§1). Elle décide donc d’appliquer de manière anticipée le règlement dans le but d’éclaircir des faits antérieurs en reconnaissant, ce que la juridiction de renvoi avançait, que la première question préjudicielle portait en partie sur les dispositions nouvelles du règlement et qu’il devait donc être pris en compte pour trancher le litige au principal. Elle précise aussi que la procédure a pour vocation de faire cesser tout traitement incompatible avec les normes pour l’avenir et donc que le RGPD est applicable « ratione temporis en raison de la jurisprudence nationale relative à la situation juridique pertinente en matière d’actions en cessation, ce qu’il incombe à la juridiction de renvoi de vérifier »5

8La question des cookies était ainsi encadrée par la directive du 12 juillet 2002, révisée en 2006. Mais la Cour va considérer que cette directive doit être interprétée au regard des précisions apportées par le règlement de 2016, en particulier s'agissant des définitions des termes utilisés. Cette volonté d’extension s’appuie sur le fait qu’il est dans l’intérêt des citoyens de voir leurs données personnelles mieux protégées par le droit de l’Union européenne. Les cookies et autres traceurs étant une question difficile à appréhender, la Cour estime alors important de s’en saisir. 

B/ - La consécration limitée d'un consentement actif de l’utilisateur 

9Bien que les directives 95/46 et 2002/58 consacrent la nécessité du consentement de l’internaute, elles restent vagues quant aux modalités dans lesquelles celui-ci doit être recueilli. La présente décision vise à éclairer le sens de ces dispositions avec la consécration de la notion de consentement actif. 

10L’une des questions posées par la Cour fédérale de justice à la CJUE consistait à savoir si le consentement visé par les directives 95/46 et 2002/58 était valablement donné « lorsque le stockage d’informations ou l’accès à des informations stockées dans l’équipement terminal de l’utilisateur est autorisé par une case cochée par défaut que l’utilisateur doit décocher pour refuser de donner son consentement » (opt-out).  

11Au sens de la directive de 1995 (article 2 sous h) et du RGPD (article 4) le consentement consiste en : « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte ». Les juges européens déduisent alors de « l’exigence d’une “manifestation” de volonté » (§52) un comportement nécessairement actif de l’utilisateur. La Cour consacre l’application du règlement 2016/679 qui prévoit que « l’acte positif clair » par lequel la personne concernée manifeste son consentement implique qu'il « ne saurait dès lors y avoir de consentement en cas de silence, de cases cochées par défaut ou d’inactivité » (considérant 32).

12La Cour renforce donc la protection du droit au respect de la vie privée des internautes. En effet, en affirmant que la possibilité de décocher une case ne peut être interprétée comme étant un acte actif (§52), elle insiste sur l’importance donnée à la compréhension de l’internaute de ce à quoi il s’engage en consentant aux cookies. 

13Les juges européens complètent leur réponse par l’exigence d’une manifestation de volonté « spécifique » illustrant ainsi la nécessité de distinguer l’activité qu’entreprend l’utilisateur sur internet et la manifestation du consentement aux témoins de navigations qui ne peuvent procéder du même acte. En l'espèce, les juges en concluent qu’activer un bouton de participation pour un jeu promotionnel ne suffira jamais à caractériser l’approbation d’un internaute. Néanmoins, la Cour reste imprécise sur la modalité qui relèverait d’un comportement actif de l’internaute qui accepterait que des cookies soient enregistrés sur son appareil.   

14Désormais, il est très clair qu’aucun accord tacite n’est recevable en matière de témoins de navigations. Cependant, cette consécration jurisprudentielle reste insuffisamment protectrice de la vie privée des internautes et du respect de leur libre consentement. De toute évidence, la liberté de consentir des internautes semble biaisée puisqu’en l’absence de consentement au placement de cookies, l’internaute ne peut profiter du site. Aucun autre choix que l’acceptation n’est laissé à l’utilisateur s’il souhaite naviguer sur un site conditionnant son accès à l’usage de témoins de navigations. Étant donné l’usage quasiment systématique de la part des sites internet, quelle reste la réelle marge d’action possible pour un utilisateur souhaitant à la fois préserver sa vie privée et utiliser internet ?

15Alors même que la CJUE a procédé à un premier mouvement de protection de l’utilisateur par l’exigence de consentement actif au placement de cookies, elle pousse le raisonnement plus avant en mobilisant le droit au respect de la vie privée comme limite à ces cookies. 

II/ - Le placement de cookies restreint par le droit au respect de la vie privée 

16Pour garantir l’effectivité du droit au respect de la vie privée, la CJUE a affirmé l’indifférence du caractère personnel des données concernées par le placement de cookies (A.), avant d’étendre l’obligation d’information du fournisseur (B.). 

A/ - L’indifférence attachée au caractère personnel des données

17La notion de consentement est mise à l’épreuve de l’interprétation de l’article 5 de la directive 2002/58 relative au placement de cookies sur l’ordinateur d’un internaute. La Cour est sollicitée sur le point de savoir si le consentement de l’utilisateur au placement de cookies, tel que prévu par ledit article, doit être interprété différemment selon que les informations stockées aient ou non un caractère personnel au sens de la directive 95/46 et du RGPD 2016/679.

  • 6 Loi Telemediengesetz du 26 février 2017

18Bien que la directive précitée ne fasse référence qu’aux informations stockées, sans les qualifier, la loi allemande de transposition instaure une distinction. En effet, en son article 12, la loi sur les médias électroniques, dite « TMG »6, distingue les données à caractère personnel, dont la collecte et l’utilisation nécessitent que l’utilisateur y ait consenti, et les données non personnelles (en raison de l’utilisation d’un pseudonyme). Ces dernières peuvent être utilisées à condition que l’utilisateur, informé de son droit à pouvoir le faire, ne s’y oppose pas. Nous retrouvons ici le questionnement sur la nature du consentement, seule l’hypothèse du stockage de données personnelles nécessitant, selon ce texte, un consentement « actif ».

  • 7 Conclusions de l’Avocat général, M. Maciej SZPUNAR, présentées le 21 mars 2019, affaire C-673/17

19Toutefois, dans la situation d’espèce, le caractère personnel ou non des données ne semble pas être au cœur du litige. La juridiction de renvoi a elle-même considéré les données recueillies par le biais des cookies comme personnelles et nécessitant de ce fait un consentement actif, ce qui ne semble pas contesté par les parties au principal ou par l’avocat général dans ses conclusions7. Nous pouvons dès lors nous interroger sur la pertinence de la question quant à la solution du litige. 

20En tout état de cause, la solution de la CJUE a le mérite d’apporter une précision importante. En se plaçant explicitement sur le terrain du droit au respect de la vie privée, au sens de la Convention européenne des droits de l’homme (également cité dans le considérant 24 de la directive 2002/58), la Cour indique que l’article 5 de la directive doit être pareillement interprété, que soient en cause des données à caractère personnel ou non. Il s’agit bien de protéger le droit au respect de la vie privée des internautes contre les atteintes pouvant y être apportées par le placement de cookies. C’est donc le caractère par essence attentatoire au droit au respect à la vie privée du placement de cookies qui est ici mis en lumière. En cela, le consentement donné par l’utilisateur doit être un consentement actif, quel que soit le caractère des données recueillies.

21D’un intérêt limité pour la résolution du cas d’espèce, la solution rendue par la CJUE n’en est pas moins une avancée quant à la protection des internautes face à la pratique du placement de cookies.

B/ - L’extension de l’obligation d’information du fournisseur 

22Aux termes de l’article 5§3 de la directive 2002/58, les données d’un utilisateur ne peuvent être stockées ou rendues accessibles qu’à condition que celui-ci ait donné son accord, et ce après avoir reçu une information claire et complète. La Cour, en adéquation avec les conclusions de l’avocat général, considère qu’un consentement n’est valablement recueilli que s’il est pris en connaissance de cause. Cela implique, pour le fournisseur de services, le devoir de délivrer aux internautes une « information claire et complète » sur les finalités adossées au placement des cookies (§74).

23La Cour était confrontée à la question de savoir si cette obligation implique celle de communiquer sur la durée de fonctionnement des cookies, ainsi que la possibilité ou non pour des tiers d’avoir accès à ces cookies. Pour y répondre, elle se réfère d’abord à l’article 10 de la directive 95/46, auquel renvoie l’article 5 § 3 de de celle de 2002 prémentionnée. Celui-ci précise les informations que le responsable du traitement doit fournir à la personne qui voit ses données captées, parmi lesquelles figure la possibilité pour des tiers d’avoir accès aux cookies.  

24Tel n’est pas le cas pour la question de la durée. À cet égard, la Cour soulève que « [s] i la durée du traitement des données ne figure pas parmi ces informations, il ressort toutefois de l’expression "au moins" figurant à l’article 10 de la directive 95/46 que celles-ci ne sont pas énumérées de manière exhaustive ». Elle justifie son raisonnement tant par l’objectif de traitement loyal des données (§78) que par celui de garantir un traitement équitable et transparent (§79). En effet, d’une part, les informations collectées - relatives aux habitudes de navigation et à la fréquence des visites de l’utilisateur sur les sites partenaires - seront d’autant plus importantes que la durée de fonctionnement des cookies est longue. Et, d’autre part, le RGPD impose de transmettre soit la durée de conservation des données, soit, en cas d’impossibilité, les critères utilisés pour déterminer la durée. 

25Partant, s’observe une tendance à l’élargissement de l’obligation d’information du fournisseur, qui permet une meilleure garantie du droit au respect de la vie privée des internautes.

*

CJUE, 1er octobre 2019, Planet49, aff. C-673/17

*

Les Lettres « Actualités Droits-Libertés » (ADL) du CREDOF (pour s’y abonner) sont accessibles sur le site de la Revue des Droits de l’Homme (RevDH)Contact

Haut de page

Notes

1 CJUE, affaire C-673/17, Planet49

2 Arrêt du 9 juillet 1969, Portelange, 10/69, Rec, EU:C:1969:36 : principe général de droit de l’Union

3 Arrêt du Tribunal (deuxième chambre), 5 septembre 2014, Éditions Odile Jacob SAS contre Commission européenne

4 Considérant 171, RGPD

5 §41, CJUE, 1er octobre 2019, affaire C-673/17

6 Loi Telemediengesetz du 26 février 2017

7 Conclusions de l’Avocat général, M. Maciej SZPUNAR, présentées le 21 mars 2019, affaire C-673/17

Haut de page

Pour citer cet article

Référence électronique

Julie Meyer, Estelle Dantan, Fanny Lange, Célia Gourzones et Elsa Sadaka, « La CJUE rejette la présomption de consentement au placement des cookies »La Revue des droits de l’homme [En ligne], Actualités Droits-Libertés, mis en ligne le 29 janvier 2020, consulté le 06 avril 2020. URL : http://journals.openedition.org/revdh/8291 ; DOI : https://doi.org/10.4000/revdh.8291

Haut de page

Auteurs

Julie Meyer

Étudiante du master 2 « Droits de l’homme », Université Paris Nanterre

Estelle Dantan

Étudiante du master 2 « Droits de l’homme », Université Paris Nanterre

Fanny Lange

Étudiante du master 2 « Droits de l’homme », Université Paris Nanterre

Célia Gourzones

Étudiante du master 2 « Droits de l’homme », Université Paris Nanterre

Elsa Sadaka

Étudiante du master 2 « Droits de l’homme », Université Paris Nanterre

Haut de page

Droits d’auteur

Tous droits réservés

Haut de page
  • Logo Université Paris Nanterre
  • Logo Centre de recherches et d’études sur les droits fondamentaux
  • OpenEdition Journals