Par une décision du 16 octobre 2019, le Conseil d’Etat a rejeté le recours formé par deux associations contre la décision de la Commission nationale de l’informatique et des libertés (Cnil) de définir une période transitoire de 12 mois permettant aux entités d’adapter leurs pratiques aux nouvelles règles relatives aux cookies et traceurs (CE, 16 octobre 2019, Section du contentieux, 10ème et 9ème chambres réunies, n° 433069).

Quelle est l’origine de la période transitoire contestée ?

Par un communiqué en date du 28 juin 2019 publié sur son site Internet, la Cnil a annoncé son plan d’actions en matière de règles applicables au ciblage publicitaire en ligne.

Par sa délibération n°2019-093 du 4 juillet 2019, la Commission nationale de l’informatique et des libertés a fait évoluer sa position sur les règles applicables aux cookies et traceurs via de nouvelles lignes directrices.

Pour rappel, les principaux enseignements de cette délibération sont notamment les suivants :

  • Le recueil du consentement des internautes d’un site Internet ou d’une application mobile au dépôt et la lecture de cookies ou à l’utilisation de traceurs sur leur terminal doit répondre aux exigences du Règlement général sur la protection des données (RGPD).
  • La poursuite de la navigation sur un site ou une application mobile, l’utilisation de ces derniers, le fait de faire défiler les pages (pratique du scroll) ou encore l’acception de conditions générales d’utilisation ne constituent pas des moyens valables de recueillir du consentement des internautes au regard des exigences du RGPD.
  • Le paramétrage des navigateurs Internet ne permet pas à l’internaute de valablement exprimer son consentement.
  • La possibilité que les cookies de mesure d’audience puissent bénéficier d’une exemption de recueil du consentement préalable des internautes est maintenue, sous réserve de respecter les conditions définies par la Cnil.
  • Lorsque le consentement des internautes est requis, ils doivent pouvoir visualiser la liste des finalités pour lesquelles des cookies ou traceurs sont utilisés ainsi qu’accepter ou refuser ces derniers au cas par cas.
  • La Cnil a supprimé sa prescription générale en matière de durée de vie des cookies et traceurs.

Le 18 juillet dernier, la Cnil a confirmé la publication de recommandations sur les modalités de recueil du consentement au premier semestre 2020. Elle a également confirmé qu’une période transitoire de 6 mois s’ouvrirait ensuite pour permettre aux entités d’adapter leurs pratiques.

C’est précisément cette décision de la Cnil de fixer une période transitoire de 12 mois (juillet 2019-mi-2020) qui faisait l’objet du recours pour excès de pouvoir formé devant le Conseil d’Etat par deux associations.

Les communiqués de presse par lesquels la Cnil a annoncé la période transitoire pouvaient-ils faire l’objet d’un recours ?

Le Conseil d’Etat rappelle que les avis, recommandations, mises en garde et prises de position adoptés par les autorités de régulation dans l’exercice de leurs missions sont susceptibles de faire l’objet d’un recours pour excès de pourvoir.

Ce dernier est possible dès que les actes précités d’une autorité de régulation, telle la Cnil :

  • revêtent le caractère de dispositions générales et impératives,
  • énoncent des prescriptions individuelles dont ces autorités pourraient ultérieurement censurer la méconnaissance
  • sont de nature à produire des effets notables, notamment de nature économique
  • ont pour objet d’influer de manière significative sur les comportements des personnes auxquelles ils s’adressent.

En l’espèce, le Conseil d’Etat relève que les communiqués de presse des 28 juin et 18 juillet 2019 constituent une prise de position publique de la Cnil qui a pour objet d’une part, d’influer sur le comportement des entités auxquels le plan d’actions s’adresse et, d’autre part, de produire des effets notables tant sur les opérateurs que sur les utilisateurs et abonnés de services électroniques.

Le Conseil d’Etat prend également en compte l’objet social des associations requérantes, à savoir la défense des libertés sur internet et la protection de la confidentialité des données personnelles.

Dans ce contexte, ces associations pouvaient donc former un recours devant le Conseil d’Etat.

Quelle est la motivation du Conseil d’Etat pour rejeter le recours contre la décision de la Cnil ?

Pour rejeter la requête des associations, le Conseil d’État a retenu plusieurs éléments.

D’abord, le Conseil d’Etat précise que la Cnil dispose « d’un large pouvoir d’appréciation, en particulier pour ce qui concerne l’exercice de son pouvoir de sanction« . C’est donc à la Cnil d’apprécier « l’opportunité d’engager des poursuites de sa propre initiative« .

Ensuite, le Conseil d’Etat souligne que « la fixation d’un tel délai a pour objet de permettre, au plus tard à son terme, à l’ensemble des opérateurs de respecter effectivement les exigences » en matière de cookies. Selon la haute juridiction administrative, il s’agit d’un choix permettant à la Cnil d’accompagner les opérateurs qui sont confrontés à la nécessité de mettre en place de nouvelles modalités pour recueillir le consentement des internautes, et ce dans un objectif « d’une complète mise en conformité de l’ensemble des acteurs à l’horizon de l’été 2020 ».

Enfin, le Conseil d’Etat estime que l’acte attaqué « contribue à remédier à des pratiques ne respectant pas les exigences [relatives au consentement en matière de cookies et traceurs en ligne], en fixant pour l’ensemble des opérateurs, à une échéance raisonnable, une obligation de mise en conformité, que l’exercice du pouvoir de sanction ne serait, en tout état de cause, pas susceptible de faire respecter plus rapidement ».

Il rappelle en outre que cet acte n’exclut pas que la Cnil utilise son pouvoir répressif en cas d’atteinte particulièrement grave aux exigences relatives à l’utilisation de cookies et traceurs.

Par conséquent, le Conseil d’État estime que l’autorité de contrôle n’a pas méconnu le droit au respect de la vie privée et le droit à la protection des données, ni l’étendue de ses pouvoirs en accordant une période transitoire de 12 mois aux entités.