Le 19 juin 2020, le Conseil d’État a rendu une décision très attendue sur la légalité des lignes directrices établies en juillet 2019 par la CNIL relative aux cookies et autres traceurs de connexion. La CNIL avait alors estimé que suite à l’entrée en vigueur du règlement général sur la protection des données (RGPD), son ancienne délibération de 2013 devait être revue dans un sens plus strict du point de vue de la protection des données personnelles.
Une fois n’est pas coutume, la Haute juridiction administrative va désavouer partiellement un acte de la CNIL, sur une disposition majeure de ladite délibération : celle visant à interdire les « cookie walls », c’est à dire des dispositifs bloquant ou restreignant l’accès à un site internet en cas de refus par l’internaute de collecte des données cookies.
En effet, la CNIL avait estimé, s’appuyant sur la doctrine du Comité européen de la protection des données (CEPD), qui regroupe toutes les autorités de régulation des États membres de l’Union, que de telles pratiques viciaient le consentement des personnes à la collecte de leurs données. Le CEPD avait à plusieurs reprises, et encore très récemment dans ses lignes directrices du 4 mai 2020, estimé que l’accès à des sites internet ne pouvait être conditionné par l’acceptation de l’internaute à l’utilisation de cookies, au motif que cela obligeait d’accepter les cookies pour pouvoir utiliser et avoir accès au site internet.
Même si le Conseil d’État ne se prononce pas en tant que tel sur la légalité des cookies walls, il juge que l’interdiction de recourir à ceux-ci posée par la CNIL ne pouvait être prévue que par la Loi. Selon le Conseil d’État, en interdisant de manière générale et absolue les cookies walls en se basant sur l’exigence, prévue par le RGPD d’un consentement libre de l’utilisateur au dépôt de traceurs, la CNIL a excédé ce qu’elle pouvait légalement faire dans le cadre d’un acte dit « de droit souple », qui ne peut pas créer de droits ou d’obligations.
À vrai dire cette censure était prévisible : il n’appartient pas à une autorité administrative indépendante agissant hors de tout débat public et démocratique de prononcer une mesure d’interdiction ayant des effets sur l’activité économique des éditeurs de sites Internet. Car telle était la conséquence de cette interdiction : condamner le « Cookie Wall » revenait à condamner la publicité ciblée qui est le mode de financement privilégié des contenus gratuits sur le web.La CNIL s’est dès lors engagée à ajuster ses lignes directrices pour tenir compte de la décision du Conseil d’État. De plus, une future recommandation de celle-ci précisera les modalités concrètes selon lesquelles il est recommandé aux professionnels de recueillir le consentement aux cookies. Ces lignes directrices et cette recommandation devraient intervenir en septembre 2020.
