Le consentement à l’utilisation de cookies ne peut être recueilli au moyen d’une case cochée par défaut. Tel est l’enseignement principal de l’arrêt rendu par la Cour de justice de l’Union européenne (CJUE, Aff. C-673/17, 1er octobre 2019).

Bref rappel des faits

L’affaire portée devant la CJUE est née d’un litige opposant la fédération allemande des organisations et associations de consommateurs à une société proposant des jeux en ligne.

La fédération allemande contestait devant les juridictions allemandes les modalités de recueil du consentement des participants à un jeu promotionnel. En l’espèce, le consentement portait sur le transfert des données à caractère personnel desdits participants à des sponsors et partenaires. Il portait également sur le stockage et l’accès à des informations stockées dans l’équipement terminal des participants.

En effet, les participants au jeu devaient communiquer leur code postal. Après communication de ce dernier, ils étaient dirigés vers une page sur laquelle ils devaient inscrire leurs nom et adresse. Deux mentions associées à deux cases à cocher figuraient sous les champs à compléter.

La première mention, dont la case n’était pas cochée par défaut, indiquait :

« J’accepte que des sponsors et partenaires m’informent par voie postale, par téléphone, par courrier électronique ou par message SMS de promotions dans leur domaine d’activité respectif. Je peux les déterminer ici moi-même faute de quoi l’organisateur les sélectionnera. Je peux revenir à tout moment sur mon acceptation. Pour plus d’informations à ce sujet, ici. »

La seconde mention, dont la case était cochée par défaut, indiquait :

« J’accepte que le service d’analyse du web Remintrex soit mis en œuvre chez moi. En conséquence, l’organisateur du jeu promotionnel, [Planet49], installera des cookies après avoir été agréé pour le jeu promotionnel, ce qui lui permettra d’exploiter par Remintrex mes navigations sur le web et mes visites sur les sites web des partenaires publicitaires et d’adresser de la publicité centrée sur mes intérêts. Je peux supprimer les cookies à tout moment. Lire les détails ici. »

Quelles ont été les positions des juridictions allemandes ?

La fédération allemande a introduit un recours devant un tribunal régional. Ce recours, partiellement accueilli par la juridiction, visait notamment à ce que la société cesse d’utiliser les mentions et cases précitées.

En appel, la demande de la fédération allemande a été jugée infondée car :

  • l’internaute pouvait décocher la case cochée par défaut relative aux cookies,
  • la mention liée à ladite case pré-cochée était présentée dans une typographie suffisamment claire et donnait des informations sur les modalités d’utilisation des cookies, sans qu’il soit nécessaire de divulguer l’identité des tiers susceptibles d’avoir accès aux informations recueillies.

La fédération allemande a saisi la Cour fédérale allemande d’un recours en révision. Cette juridiction a sursis à statuer pour poser des questions préjudicielles à la CJUE.

Quelles sont les questions posées à la CJUE ?

La Cour fédérale allemande a soumis plusieurs questions préjudicielles à la CJUE, à savoir :

  • Le consentement est-il valablement donné lorsque le stockage d’informations ou l’accès à des informations stockées dans l’équipement terminal de l’utilisateur est autorisé par une case cochée par défaut que l’utilisateur doit décocher pour refuser de donner son consentement ?
  • La réponse à cette question est-elle différente selon que les informations stockées ou consultées sont des données à caractère personnel ?
  • L’utilisation d’une case cochée par défaut permet-elle de valablement recueillir le consentement au regard de l’article 6, §1, a) du RGPD ?
  • S’agissant de l’information des internautes : quelles sont les informations à fournir aux utilisateurs ? La durée de fonctionnement des cookies et l’accès ou non de tiers aux cookies en font-ils partie ?

Quelle est la position de la CJUE sur le consentement à l’utilisation des cookies ?

La Cour de Luxembourg estime que le consentement des utilisateurs d’un site Internet au placement et à la consultation de cookies sur leurs équipements n’est pas valablement donné au moyen d’une case pré-cochée.

Elle précise que « l’exigence d’une manifestation de volonté de la personne concernée évoque clairement un comportement actif et non passif ». Or, le fait de décocher une case cochée par défaut ne peut pas caractériser un comportement actif.

En outre, la Cour de Luxembourg souligne qu’il est « pratiquement impossible de déterminer de manière objective si l’utilisateur d’un site Internet a effectivement donné son consentement au traitement de ses données personnelles en ne décochant pas une case cochée par défaut ainsi que, en tout état de cause, si ce consentement a été donné de manière informée. En effet, il ne peut être exclu que ledit utilisateur n’ait pas lu l’information accompagnant la case cochée par défaut, voire qu’il n’ait pas aperçu cette case, avant de poursuivre son activité sur le site Internet qu’il visite » (point 55 de l’arrêt).

Par ailleurs, le consentement à l’utilisation de cookies doit être spécifique. En conséquence, la CJUE exclut expressément que l’activation du bouton de participation au jeu promotionnel emporte le consentement des internautes à l’utilisation de cookies.

Les exigences relatives au consentement sont-elles susceptibles d’une interprétation différente selon que les informations stockées ou consultées sont ou non des données à caractère personnel ? 

Au regard de l’article 5, §3 de la directive 2002/58/Ce de la directive du 12 juillet 2002, concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, la CJUE énonce que la réglementation européenne vise le stockage d’informations ainsi que l’accès à des informations déjà stockées dans l’équipement terminal des internautes. Ainsi, la réglementation européenne ne précise pas que ces informations doivent forcément être des données à caractère personnel.

Dans ce contexte, les exigences relatives au consentement des internautes s’appliquent que les informations stockées ou consultées soient ou non des données à caractère personnel.

Quelle est la position de la CJUE sur l’information des internautes ?

La CJUE rappelle que les internautes doivent recevoir une information claire et complète notamment sur les finalités poursuivies par le stockage d’informations ou la consultation d’information déjà stockées dans leur équipement terminal (directive 2002/58/Ce, article 5§3).

Cette information doit permettre à chaque internaute de déterminer les conséquences du consentement qu’il pourrait donner. Elle doit également garantir que l’internaute donne son consentement en connaissance de cause.

Pour répondre à la question soulevée par la Cour fédérale allemande la CJUE prend en compte les circonstances de l’espèce. En effet, la société organisatrice du jeu utilisait des cookies comme moyen de collecte d’informations permettant ensuite la réalisation d’actions publicitaires relatives aux produits de ses partenaires.

La Cour en déduit que l’information due aux internautes doit inclure la durée de fonctionnement des cookies ainsi que la possibilité que des tiers aient accès aux cookies.

La position de la CJUE est-elle surprenante ?

Rappelons d’abord que la question du consentement se posait en l’espèce compte tenu de la finalité publicitaire des cookies utilisés. Ainsi, l’arrêt commenté n’a pas vocation à énoncer que tous les cookies sont soumis au consentement préalable des internautes.

Ensuite, la position du CJUE n’est pas surprenante. La Cour a suivi les conclusions présentées par l’avocat général en mars dernier.

En outre, il convient de noter qu’en matière de prospection commerciale, la Cnil énonce depuis de nombreuses années que les cases pré-cochées ne constituent pas un moyen de recueillir le consentement des personnes concernées conformément à la réglementation applicable. Récemment, la Cnil a, à nouveau, rappelé sa position s’agissant de l’utilisation par la société Google LLC de cases cochées par défaut (Délibération n°SAN-2019-001).

S’agissant de l’information des internautes, la Cour de Luxembourg semble apporter une précision. En sus de l’énoncé des finalités poursuivies par l’utilisation de cookies, l’internaute doit savoir quelle est la durée de fonctionnement de ces derniers. Il doit également savoir si des tiers accèdent aux informations stockées dans l’équipement terminal de l’internaute.