Le paramétrage du navigateur n’est pas un mode valable d’opposition au dépôt de cookies

Ce 6 juin, le Conseil d’État a confirmé la position de la Commission nationale de l’informatique et des libertés (CNIL) et rappelé que l’utilisation de cookies constitue un traitement de données qui doit respecter les prescriptions de l’article 6 de la loi de 1978.

De ce fait, le paramétrage du navigateur que proposait la société Editions Croque Futur ne peut être considéré comme un mode valable d’opposition au dépôt de cookies.

Conseil d’État (Paris) – CC BY-NC 2.0 Twiga269 (Pascale Soubrane), source.

Cookies strictement nécessaires et cookies publicitaires

Mise en demeure par l’autorité administrative un an plus tôt, la société Editions Croque Futurne ne s’était pas pliée aux demandes de la CNIL de se conformer aux dispositions de la loi du 6 janvier 1978. C’est donc par une délibération du 18 mai 2017 que la CNIL sanctionne l’entreprise pour manquement à ses obligations d’information vis-à-vis du dépôt de cookies sur le terminal des utilisateurs, faisant ainsi défaut au droit d’opposition dont chacun dispose.

La société a formé un recours contre la décision de la CNIL, chose dont elle aurait mieux fait de s’abstenir puisque les juges administratifs ont confirmé le raisonnement de la CNIL. Pour rappel, l’article 32 de la loi de 1978 établit une série de critères pour qu’un recueil de données soit légal. La personne doit être dûment informée, autant de la présence du cookie, de sa finalité ou encore de la possibilité de s’y opposer. Le consentement de la personne est primordial et doit être recueilli avant le dépôt.

Le Conseil d’État fait ici une différence essentielle entre ce qu’il appelle les cookies « essentiels au fonctionnement technique du site ni ceux qui correspondent à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur » qui n’ont donc pas besoin de respecter ces obligations et les cookies « ayant une finalité publicitaire soient nécessaires à la viabilité économique d’un site ». Ces derniers ne sont pas « strictement nécessaires » quand bien même ils assurent la viabilité économique du site. Ils tombent ainsi sous l’article 32 de la loi de 1978.

Les cookies ayant une finalité publicitaire ne sont pas strictement nécessaires à la fourniture d’un service de communication en ligne

La défense de la société reposait dans le paramétrage du navigateur qu’elle affirmait permettre aux utilisateurs de s’opposer au dépôt de cookies. Un argumentaire balayé par la plus haute juridiction administrative. À l’issue de l’instruction, il a été conclu que non seulement les utilisateurs ne pouvaient pas clairement différencier les différents cookies déposés mais qu’en plus ils ne pouvaient pas s’y opposer ni connaître les tenants et aboutissants de leur refus. Le paramétrage du navigateur n’est donc pas un mode valable d’opposition tel qu’exigé par la loi de 1978.

De plus, lorsqu’un éditeur de site sous-traite la gestion de cookies à des tiers, ces tiers seront considérés comme responsables du traitement. Autre précision importante que fait le Conseil d’État, l’éditeur autorisant le dépôt par des tiers sera lui aussi responsable du traitement « alors même qu’ils ne sont pas soumis à l’ensemble des obligations qui s’imposent au tiers qui a émis le cookie, notamment lorsque ce dernier conserve seul la maitrise du respect de sa finalité ou de sa durée de conservation. »

Certains juristes s’interrogent sur la portée de cette décision. En effet, le 23 mai 2017, la CNIL précisait ses règles en matière de cookie et indiquait que lorsque l’éditeur d’un site ne définissait pas les modalités et objectifs d’exploitation des données collectées, celui-ci devait être qualifié de sous-traitant.