Le consentement au stockage de cookies exprimé au moyen d’une case pré-cochée n’est pas valable

CJUE, grande Chambre, 1er octobre 2019, C-673/17

La CJUE s’est prononcée, le 1er octobre, sur la validité du consentement au stockage et à l’utilisation de cookies exprimée par une case pré-cochée dans le cadre d’une demande préjudicielle de la Cour fédérale de justice allemande.

La demande introduite dans le cadre d’un litige opposant la fédération allemande des organisations de consommateurs à une société proposant des jeux en ligne concerne le consentement des participants à un jeu promotionnel organisé par cette société au transfert de leurs données à caractère personnel à des sponsors et partenaires de celle-ci, au stockage d’informations, et à l’accès aux informations stockées dans l’équipement terminal de ces utilisateurs.

Concrètement, les candidats souhaitant participer au jeu devaient remplir un formulaire à la fin duquel figuraient deux cases à cocher : l’une pour l’exploitation de leurs données personnelles par des sponsors et partenaires, qui n’était pas cochée par défaut ; l’autre, pré-cochée, pour l’installation de cookies.

La Cour fédérale allemande s’interrogeant sur la validité de l’obtention du consentement des utilisateurs au moyen de la seconde case à cocher au regard des dispositions combinées de l’article 5, paragraphe 3, et de l’article 2, sous f), de la directive 2002/58 « vie privée et communications électroniques », de l’article 2 sous h) de la directive 95/46/CE ainsi que de l’article 6, paragraphe 1, sous a), du règlement 2016/679 (« RGPD »), a décidé de surseoir à statuer et de s’en remettre à la CJUE.

La CJUE observe, s’agissant des termes de l’article 5 paragraphe 3 de la directive 2002/58 que si cette disposition prévoit expressément que l’utilisateur doit avoir « donné son accord » au placement et à la consultation de cookies sur son équipement terminal, cette disposition ne contient pas d’indications concernant la manière dont cet accord doit être donnée. Dans ses conclusions remises à la Cour, l’avocat général avait considéré que l’exigence d’une « manifestation » de volonté de la personne concernée évoque clairement un comportement actif et non passif, et qu’un consentement donné au moyen d’une case cochée par défaut n’implique pas un comportement actif de la part de l’utilisateur d’un site internet. Cette analyse est validée par la CJUE  car « il apparait pratiquement impossible de déterminer de manière objective si l’utilisateur d’un site Internet a effectivement donné son consentement au traitement de ses données personnelles en ne décochant pas une case cochée par défaut ainsi que, en tout état de cause, si ce consentement a été donnée de manière informée ». Il ne peut être exclu, poursuit la Cour, « que ledit utilisateur n’ait pas lu l’information accompagnant la case cochée par défaut, voire qu’il n’ait pas aperçu cette case, avant de poursuivre son activité ».

Compte tenu de ces éléments, la Cour de justice juge dès lors qu’une case pré-cochée ne suffit pas à l’expression par l’utilisateur d’un consentement valable, en l’absence d’acte positif.

La Cour précise par ailleurs, en réponse à la question subsidiaire posée par la Cour fédérale allemande, que ce principe est applicable peu important que les informations recueillies par le biais des cookies soient ou non des données à caractère personnel. La CJUE justifie cette position par le fait que la directive « vie privée et communications électroniques » vise toutes « informations », sans qualifier ces informations ni préciser que celles-ci devraient être des données à caractère personnel.

Enfin, en ce qui concerne l’information claire et complète prévue à l’article 5, paragraphe 3, de la directive 2002/58, objet de la deuxième question de la Cour fédérale allemande, la CJUE énonce que celle-ci doit mentionner la durée de fonctionnement des cookies ainsi que la possibilité ou non pour les tiers d’y avoir accès.

Cet arrêt intervient quelques mois après la délibération n° 2019-093 du 4 juillet 2019 de la Commission nationale de l’informatique et des libertés (« CNIL ») portant adoption de nouvelles lignes directrices concernant les cookies et autres traceurs.  Par ces nouvelles lignes directrices, la CNIL énonce que le consentement préalable à la pose d’un cookie doit procéder d’un acte positif clair afin de satisfaire au critère d’univocité posé par le RGPD, ce que ne permettent pas de garantir les cases pré-cochées. Rappelons que la CNIL a néanmoins fait le choix d’ouvrir une période de concertation (actuellement en cours) avec les professionnels du secteur pour définir les modalités pratiques de recueil du consentement aux cookies, précisant qu’une fois ces modalités déterminées, les professionnels disposeraient d’un délai de 6 mois pour se mettre en conformité. Cela revient à tolérer, dans l’attente de la publication de cette seconde délibération, la manifestation du consentement aux cookies par la simple poursuite de la navigation.

Quelle que soit l’issue finale de cette concertation et des recours engagés contre la délibération  précitée de la CNIL, la position exprimée par la CJUE  donne d’ores et déjà une indication claire sur la question spécifique des cases pré-cochées.