La directive de 2009 (ayant modifié la directive n°2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002) « vie privée et communications électroniques » (directive ePrivacy) s’applique en matière de publicité comportementale en ligne (Online Behavioural Advertising – consentement déduit des poursuites de la navigation (soft opt-in) d’un internaute), quel que soit le type de données collectées.

L’article 5 (3)[1] de cette directive concerne l’utilisation des cookies pour stocker des informations sur l’ordinateur d’un internaute ou y accéder. Il est donc possible d’installer des cookies, à condition que l’internaute reçoive « des informations claires et complètes » et qu’il lui soit offert la possibilité d’opter pour cette installation.

Cette information doit se faire en amont de l’installation des cookies, selon les lignes directrices sur le recueil du consentement pour le dépôt de cookies adoptées par le G29 en date du 2 octobre 2013.

Cette directive a été transposée dans la législation nationale des Etats membres sous diverses formes. Certains ont opté pour une obligation de consentement actif et explicite (c’est le cas de l’Italie par exemple) tandis que d’autres ont opté pour un consentement implicite (en France notamment.).

Dans le deuxième cas de figure, si l’internaute continue à utiliser les services fournis par un site Web suite à l’affichage des informations relatives aux cookies, c’est qu’il y a consenti implicitement. Il faut savoir que cette approche constitue l’exception, et que dans la plupart des Etats membres, le consentement ne peut pas être déduit des poursuites de la navigation (soft opt-in) d’un internaute.

Aujourd’hui, la France semble revenir sur sa position de consentement implicite. La CNIL a décidé de changer de politique en matière de « cookies » et de publier de nouvelles lignes directrices sur le sujet, sans attendre la mise en vigueur du règlement e-Privacy.  En effet, l’autorité de contrôle française fait état d’un grand nombre de plaintes  relatives au marketing en ligne : « en 2018, 21 % des plaintes reçues concernait le marketing au sens large »[2]. En réaction, elle déploie un plan d’action en 2 étapes, avec une première étape relative à la publication de nouvelles lignes qui prendra effet dès le mois de juillet, rendant caduque sa recommandation cookies de 2013, devenue obsolète à certains égards (notamment sur l’expression du consentement). La deuxième étape consistera en une concertation avec les professionnels du secteur afin d’élaborer une nouvelle recommandation.

Le changement de position de la CNIL française influencera-t-il la position des autres Etats membres ayant opté pour le consentement implicite en matière de cookies, notamment l’Allemagne, le Royaume-Uni… Suite au prochain épisode.

[1] Voy. Article 5.3 : « Les États membres garantissent que l’utilisation des réseaux de communications électroniques en vue de stocker des informations ou d’accéder à des informations stockées dans l’équipement terminal d’un abonné ou d’un utilisateur ne soit permise qu’à condition que l’abonné ou l’utilisateur, soit muni, dans le respect de la directive 95/46/CE, d’une information claire et complète, entre autres sur les finalités du traitement, et que l’abonné ou l’utilisateur ait le droit de refuser un tel traitement par le responsable du traitement des données. Cette disposition ne fait pas obstacle à un stockage ou à un accès techniques visant exclusivement à effectuer ou à faciliter la transmission d’une communication par la voie d’un réseau de communications électroniques, ou strictement nécessaires à la fourniture d’un service de la société de l’information expressément demandé par l’abonné ou l’utilisateur. »

[2] Voy. Ciblage publicitaire en ligne : quel plan d’action de la CNIL ? , CNIL, 28/06/2019.