Cookies : la CNIL durcit le ton et annonce une plus grande sévérité dans les sanctions

Dans un article du Figaro du 3 février 2020, Madame Marie-Laure Denis, Présidente de la CNIL, annonce des « sanctions nettement plus significatives » . Elle considère désormais qu’il est temps de faire appliquer le RGPD en matière de cookies.

Consciente des enjeux pratiques, la CNIL laissera une période d’adaptation de six mois aux acteurs une fois sa recommandation définitive adoptée en avril ou mars prochain. En effet, bien que le RGPD soit entré en vigueur depuis le 25 mai 2018, la CNIL a jugé nécessaire de faire bénéficier les acteurs de l’Internet d’un temps de grâce, au vu de « l’ampleur de cette régulation qui concerne la quasi totalité des sites web« . Attention cependant, elle précise dans un entretien publié dans le journal Le Monde le 14 février que « La période d’adaptation ne porte que sur un sujet très précis : les nouvelles modalités du recueil du consentement aux traceurs. Toutes les autres dispositions relatives aux cookies restent applicables et sont déjà contrôlées par la CNIL » .

Reste à savoir dans quelle mesure son projet de recommandation sera amendé pour tenir compte des remarques des professionnels du secteur de la publicité en ligne, peu favorables au projet publié.

Cependant, le RGPD étant un texte européen d’application directe en droit national, la CNIL ne pourra que rester fidèle, dans l’ensemble, à son projet de recommandation, tout particulièrement en ce qui concerne l’exigence du caractère non équivoque du consentement de l’internaute au dépôt des traceurs.

Cookies : nouvelles recommandations de la CNIL

La recommandation de la CNIL du 5 décembre 2013 sur les cookies a été remplacée par une délibération du 4 juillet 2019, venant implémenter les exigences renforcées du RGPD en matière de consentement.

En effet, dans sa recommandation du 5 décembre 2013, la CNIL admettait que la poursuite de la navigation par un internaute dûment informé était une forme de consentement valable au dépôt des cookies sur son terminal.

Elle considère désormais que le consentement doit se « manifester par le biais d’une action positive de la personne préalablement informée des conséquences de son choix et disposant des moyens de l’exercer ». Elle précise ensuite que le fait de continuer à naviguer sur un site web ne constitue pas une action positive claire assimilable à un consentement valable.

Dans un communiqué du 18 juillet 2019, la CNIL avait indiqué laisser aux acteurs une période transitoire de 6 mois, afin qu’ils aient le temps de se conformer aux principes divergents de la précédente recommandation, dans le respect de l’exigence de prévisibilité juridique. Toutefois, le RGPD étant d’application directe depuis le 25 mai 2018, la prudence reste de mise.

Certaines associations, dont la Quadrature du Net, ont rapidement engagé des actions devant la justice administrative afin d’ordonner la suspension et l’invalidation de cette délibération de la CNIL, en soutenant qu’elle contrevient à l’article 4 du RGPD sur le consentement. Le Conseil d’état a rejeté leur recours en référé par une ordonnance du 14 août 2019. Reste à savoir ce qu’il décidera dans la procédure au fond. En attendant, la prudence incite à opter pour une mise en conformité complète et rapide de ses sites internets, notamment en recueillant un consentement expresse des internautes au dépôt des cookies pour lesquels il est nécessaire.