Surfer vaut consentement aux cookies : le Conseil d’État rejette le référé contre la CNIL
Répit de deux mois
Le 19 août 2019 à 15h00
3 min
Droit
Droit
Le Conseil d’État a rejeté la requête déposée en urgence par la Quadrature du Net et Caliopen. Les deux associations ont attaqué la décision de la CNIL de considérer que, pour un an durant, la poursuite de la navigation vaudra consentement en matière de cookies et autres traceurs. Le dossier se poursuit toutefois au fond.
Consentir à l’installation des cookies en poursuivant la navigation sur un site… Voilà le geste fait aux professionnels par la CNIL, dans la torpeur de juillet.
Une telle posture n’était pas d’une grande évidence. La question des cookies est visée par la directive ePrivacy de 2002, modifiée en 2009. Le texte exige le consentement de l’internaute, tout en renvoyant la définition de cette expression à la législation relative aux données personnelles.
Or, depuis le 25 mai 2018, le règlement général sur la protection des données personnelles (RGPD) exige un acte positif clair, contrairement aux textes antérieurs qui se satisfaisaient d’un consentement implicite.
Consentement exprès ou implicite ?
Dit autrement, depuis le 25 mai, la logique aurait voulu que l’installation des cookies publicitaires soit précédée d’un recueil de consentement dans les règles de l’art, non en déduisant l’accord de l’internaute par la poursuite de la navigation. La CNIL a justifié son report de 12 mois par la prise en compte « de l’exigence juridique de prévisibilité, en cas de changement des règles applicables, résultant notamment de la Convention européenne des droits de l’homme ».
C’est cette situation épineuse qui a contraint Caliopen et la Quadrature du Net a frapper à la porte du Conseil d’État. Les deux associations y ont déposé fin juillet un recours d’urgence et un autre au fond.
Une procédure de référé...
Dans la procédure de référé, tranchée le 14 août dernier, elles souhaitaient d’une part que la CNIL soit enjointe de suspendre sa décision, d’autre part, qu’elle publie sur son site un message prévenant que la navigation ne serait finalement pas un mode d’expression valable du consentement aux traceurs.
Dans leur référé, les deux acteurs ont dénoncé une « atteinte grave et immédiate aux intérêts qu’elles ont pour objet de défendre », notamment la protection des données personnelles dans l’environnement numérique.
... Rejeté en raison de la proximité de la décision au fond
Le Conseil d’État a toutefois rejeté leur requête, au motif que la procédure au fond est inscrite « au rôle d’une séance de jugement le 30 septembre 2019 ». Soit dans un mois et demi. D’ici là, expose la juridiction, « il n’apparaît pas que cette décision [de la CNIL, ndlr] aurait pour conséquence, d’ici à la date rapprochée de l’audience, de porter aux intérêts que les requérants entendent défendre ou à l’intérêt public une atteinte de nature à regarder la condition d’urgence (…) comme satisfaite ».
On relèvera toutefois la célérité de cette procédure où la haute juridiction va finalement boucler une affaire seulement deux mois après l'introduction des requêtes initiales.
Surfer vaut consentement aux cookies : le Conseil d’État rejette le référé contre la CNIL
-
Consentement exprès ou implicite ?
-
Une procédure de référé...
-
... Rejeté en raison de la proximité de la décision au fond
Commentaires (26)
Vous devez être abonné pour pouvoir commenter.
Déjà abonné ? Se connecter
Abonnez-vousLe 19/08/2019 à 15h12
Il doit y avoir une forte pression des lobbys du net derrière. Ça n’a aucun sens d’avoir le RGPD et de mettre en place un consentement implicite par la suite !
Ou comment mettre en place des lois, communiquer grandement dessus (surtout quand il s’agit de rassurer le citoyen), parler de protection des données, etc, pour au final commencer à la détricoter quelques mois plus tard une fois le soufflet retombé…
Une spécialité en France cela dit.
Le 19/08/2019 à 15h31
On relèvera toutefois la célérité de cette procédure où la haute juridiction va finalement boucler une affaire seulement deux mois après l’introduction des requêtes initiales.
incroyable (vraiment)
Le 19/08/2019 à 15h32
C’est même pas juste un consentement implicite, c’est un consentement obligatoire vu que la plupart des bandeaux cookies ne permettent pas de les refuser…
Le 19/08/2019 à 15h32
Il est vrai que clore un dossier en deux mois là où le Conseil d’état met généralement 2 ans voire plus pour répondre, ça laisse songeur sur les pressions qui s’exercent en coulisse.
Après, si besoin est, ça permettra aux “plaignants” de saisir plus rapidement les instances européennes pour liquider la question.
Par contre, je suis curieux de savoir comment ils vont justifier le fait que scroller sur une page web constitue un accord explicite de l’internaute: je sens venir un petit moment de solitude des magistrats
Le 19/08/2019 à 15h37
Vous vous attendiez à quoi, les mecs ??? ¯\_(ツ)_/¯ Vous pensiez sérieusement avoir la moindre petite chance de voir vos griefs entendus, alors que tous les gens à la tête de toutes ces instances sont tous membre de la même bande de potes qui s’entraident entre eux, et qui se foutent totalement que les lois leur donne tort en apparence : ce sont eux et d’autres de leurs copains qui les font, les lois ! Et pile sur mesure pour pas que eux risquent d’être gênés par elles. Vous lisez jamais NXI ou quoi ? Ils s’en cachent même plus, de se mettre eux-mêmes à l’abri de toute sanction possible (tandis que ceux qui sont pas du sérail, eux, vont assurément douiller sévère) !
Laissez juste tomber : vous n’aurez jamais gain de cause par les recours légaux, face à eux. Jamais ! Vous avez pris bien assez de claques comme ça pour enfin le comprendre, non ?! Le coup des « exégètes amateurs », ça vous parle, LQDN ? Entre les lois liberticides qui enterrent tranquillement la DDHC et la Commission Copie Privée qui est seule maîtresse à bord pour organiser son petit racket dont elle décide d’elle-même du montant et de la portée (parce que pourquoi pas ? C’est cool d’être à la fois juge et partie, surtout quand c’est des potes à toi qui sont aux places des autres juges), vous devriez avoir entériné depuis longtemps que continuer à vous entêter ainsi ne relève plus que du masochisme le plus vain qui soit.
Le 19/08/2019 à 15h41
Si l’audience de la procédure au fond est proche effectivement, le référé peut être rejeté.
En revanche, il est rare que la procédure au fond soit audiencée aussi vite et, si on va pas s’en plaindre, ça reste “inhabituel” pour un sujet qu’on pourrait croire de moindre importance par rapport à d’autres.
Le 19/08/2019 à 17h57
Une grille de lecture plausible, en deux temps.
Premier temps, le délais.En général, le Conseil d’État prévoit l’audience d’une procédure une fois qu’il considère que l’instruction est close. C’est-à-dire qu’il a reçu les mémoires en défense du Gouvernement (2-3 mois après la requête, souvent ça monte jusqu’à 6 mois), que les requérants ont eu le temps d’y répondre (1 mois), que le Gouvernement a pu re-répondre s’il le souhaitait, et que le conseiller d’État en charge de l’instruction considère que la discussion est terminée.
Dans le cas qui nous intéresse, l’audience sur le fond du dossier a été prévue très tôt. Bien avant le délai laissé à la CNIL pour répondre. Bien entendu, la CNIL a présenté une défense dans le cadre du référé, et cette défense est globalement la même sur le fond. Mais prévoir une audience alors que la requête n’est déposée que depuis quelques jours, c’est très étrange. Comment le Conseil d’État peut-il considérer que l’instruction est close, alors qu’elle vient seulement de commencer ?
Il peut y avoir une raison simple à ça : si on suit les délais usuel (entre 12 et 36 mois), c’est un déni de justice, puisque la décision sur le fond du dossier arrivera alors que la décision attaquée n’aura plus d’effet. Donc, garder le rythme normal, c’est contraindre le juge du référé à considérer que c’est urgent. Et donc, ça force le juge du référé à trancher seul.
Après tout, c’est la procédure. En référé, ça va très vite, et il y a un seul juge qui planche sur le dossier. En quoi cette procédure relativement usuelle serait un problème ?
Deuxième temps, le droit.
Et bien, il se trouve que la question que nous posons est délicate. Pas spécialement compliquée, mais délicate. Parce qu’aucun texte de loi n’en parle de manière claire, et qu’il n’existe aucune jurisprudence. La question de droit est donc nouvelle : une autorité administrative indépendante a-t-elle le droit de dire que pendant un an, elle ne sanctionnera pas un comportement manifestement illégal qu’elle est chargée de sanctionner ?
Une autorité administrative a toujours le droit, sur un dossier particulier, de considérer que les circonstances particulières du dossier font qu’elle ne sanctionne pas, quelle que soit sa raison de le faire (c’est pas si grave, ça a été corrigé, c’est une boîte avec des petits moyens, pas envie, etc). Ça, c’est certain. Et on des jurisprudences du Conseil d’État sur le sujet, y compris récentes. Mais, dire à l’avance qu’on ne sanctionnera pas pendant un an, c’est tout à fait autre chose.
D’un côté, la présidente de la CNIL peut bien décider, en son fort intérieur, qu’elle ne sanctionnera pas. Et ne pas sanctionner. Simplement, ne pas l’annoncer. Et donc, annoncer ce qu’on va faire serait simplement de la transparence.
Mais d’un autre côté, dans ce cas, cette autorité administrative peut décider qu’une loi ne s’applique pas, juste parce qu’elle n’a pas envie. Alors qu’elle relève de l’exécutif, elle aurait le pouvoir de défaire une loi, de refuser de l’appliquer, sans rendre de compte à personne. Embêtant.
Il va donc falloir que le Conseil d’État tranche cette question de droit. Et comme il est la cour suprême en matière de droit administratif, ce qu’il décidera, et ce qu’il expliquera dans cette décision, va créer la jurisprudence en la matière. On peut comprendre qu’il n’ait pas souhaité confier ça à un juge seul.
C’est, à mon sens, l’explication de ce délai aussi court pour l’audience d’une affaire devant le Conseil d’État.
Mais je ne suis pas dans leurs têtes, je peux me tromper :)
Le 19/08/2019 à 19h06
Peut être sans lien, depuis le milieu de semaine dernière, j’ai trouvé que de nombreux sites ont mis à jours leur façon de demander le consentement (souvent le fameux quancast, mais pas aue). Ca se voyait facilement parce que pour la 1ère visite, ils redemandait le consentement (ou pas) avec comme changement principal le fait que tout soit par défaut sur “non accepté”, contrairement à la dernière fois que je les avaient vu.
Le 19/08/2019 à 19h11
Tiens, je me suis dis que certains sites buggaient il y a peu parce qu’ils me mettaient le bandeau alors qu’en allant sur l’écran pour affiner tout été positionné à “non accepté” me donnant l’impression que ma saisie précédente était toujours en mémoire.
Donc même constat.
Le 19/08/2019 à 19h18
J’aime bien taper sur la CNIL, mais il faut tout de même resituer un peu le contexte.
Dans sa décision de juillet, la CNIL affirme bien que, en application du RGPD (et de 2-3 autres textes), le consentement implicite n’est pas valable. Et que donc, par défaut, implicitement, c’est forcément un refus.
En revanche, elle a assorti cette décision d’une sorte de délais de grâce, disant “On vous laisse un an pendant lequel on ne sanctionnera pas pour vous adapter”. C’est bien cette deuxième partie que nous attaquons devant le Conseil d’État.
Que quelques professionnels aient commencé à appliquer la décision de juillet sans tenir compte du délai de grâce, c’est peut-être parce qu’ils sont sages et gentils, ou c’est peut-être parce que notre référé leur fait peur (ce dont je doute un peu, quand même), ou simplement qu’ils ont préféré s’adapter sans attendre pour éviter tout risque légal. Toujours est-il que c’est une amélioration.
Le 19/08/2019 à 19h24
On relèvera toutefois la célérité de cette procédure où la haute
juridiction va finalement boucler une affaire seulement deux mois après
l’introduction des requêtes initiales.
C’est une bonne ou une mauvaise chose ?
Le 19/08/2019 à 20h34
Le 19/08/2019 à 21h43
Pour une fois que la Cnil se fait un peu embêter pour ses atermoiements… Ça me fait penser à la présidente de la Cnil face aux abus chroniques du groupe La Poste (l’un des plus gros agrégateurs de données français) :
« Cash Investigation. Données personnelles : mais à quoi sert la CNIL ?
Certaines associations caritatives vendent en toute illégalité leurs fichiers de donateurs à La Poste. Face à Elise Lucet, la présidente de la CNIL ne semble pas au courant et se déclare “surprise”. Un extrait de “Cash Investigation” diffusé sur France 2 le mardi 6 octobre à 20h55.
Les équipes de “Cash Investigation” se sont procuré la liste des entreprises partenaires de La Poste. Celles qui lui vendent leurs fichiers de données personnelles. Parmi les enseignes de la grande distribution et les entreprises stars de la vente en ligne : des associations caritatives. Et on trouve même l’Unicef, le fonds des Nations unies pour l’enfance, qui s’engage pourtant sur son site à ne pas vendre ces données.
La CNIL est-elle armée pour nous protéger ?
Elise Lucet est allée interroger Isabelle Falque-Pierrotin, qui préside la CNIL (Commission nationale de l’informatique et des libertés), le gendarme d’internet qui veille à la protection de nos données. Elle semble découvrir les faits. La CNIL est-elle bien armée pour nous protéger contre ces pratiques illicites ? Rien n’est moins sûr.
A voir dans “Cash Investigation. Marketing : les stratégies secrètes” »
https://www.francetvinfo.fr/internet/cash-investigation-donnees-personnelles-mai…
Que fait la Cnil ? Il faut regarder au cas par cas. La loi VS un problème culturel.
Le 19/08/2019 à 22h14
« J’ai pas choisi de naître ici
YouTube
Entre l’ignorance et la violence et l’ennui
J’m’en sortirai, j’me le promets
Et s’il le faut, j’emploierai des moyens légaux
[…]
Pas de question ni rebellion
Règles du jeu fixées mais les dés sont pipés
L’hiver est glace, l’été est feu
Ici, y a jamais de saison pour être mieux
J’ai pas choisi de vivre ici
Entre la soumission, la peur ou l’abandon
J’m’en sortirai, je te le jure
A coup de livres, je franchirai tous ces murs »
Envole-moi (Jean-Jacques G.)
Le 20/08/2019 à 06h08
Nan c’est même pire que ça, comme je n’autorise pas le dépôt de cookie, je ne peut même pas virer le bandeau vu qu’il revient à chaque refresh de page.
Maintenant c’est plus la pub, c’est les bandeaux RGPD, du coup on revient au même cas avec 50 % de site visible et le reste bloqué par la pub le bandeau cookie.
Bon l’avantage c’est que ça permet de faire le tri dans les sites de merde.
Le 20/08/2019 à 08h28
Mais du coup dans la pratique ça donne quoi ?
" />
C’est le fait de surfer sans cliquer sur “j’accepte” du bandeau RGPD qui revient à l’accepter quand même ?
C’est assez tordu, du coup à la première connexion le cookie est généré par défaut puis est modifié si on demande de réglé les paramètres dans le bandeau ?
Le 20/08/2019 à 08h37
Merci pour cette analyse!!
Je me doutais que le référé allait retoqué quand ceux sur les arrêtés lié à la LPGM, boites noirs, IMSI catcher & Co se sont fait retoquer. Et ce alors que leur atteinte était bien plus conséquente que cette décision de la CNIL.
Le 20/08/2019 à 08h44
Le 20/08/2019 à 12h49
Bonjour,
Twitter (9 Mai), 
Twitter (7 Juin).
“La CNIL a justifié son report de 12 mois par la prise en compte « de l’exigence juridique de prévisibilité, en cas de changement des règles applicables, résultant notamment de la Convention européenne des droits de l’homme ».“Je rappelle que le site de la CNIL lui-même ne respectait pas le RGPD pour les cookies jusqu’à la fin Juin 2019, en atteste notre vidéo du 7 Juin https://vimeo.com/340891254 et nos tweets
Dés lors il parait très compliqué d’imposer aux autres sites ce que la CNIL n’a elle-même pas su respecter, à moins que la CNIL s’auto-sanctionne…
Il me semble que la CNIL n’a pas vraiment d’autres choix que d’essayer de proposer ce délai supplémentaire de 12 mois vis à vis des autres sites non conformes et il est vrai au détriment des sites qui ont fait l’effort de respecter le RGPD.
Ce qui est pré-occupant c’est de constater le défaut de compétences techniques et juridiques de la CNIL pour comprendre et interpréter le RGPD notamment au niveau des cookies. On peut supposer que la situation va s’améliorer progressivement avec la montée en compétence du personnel de la CNIL, mais cela reste inquiétant que se soit des acteurs extérieurs à la CNIL qui soulève le non respect du droit et non pas la CNIL elle -même, ce qui ajoute de la suspicion sur la qualité des recommendations/interprétations de la CNIL elle-même.
Bien cordialement.
Le 20/08/2019 à 13h24
Le 20/08/2019 à 13h30
Autres informations suites à nos recherches et analyses, nous ne connaissons aucun gros site français respectant le RGPD au niveau des cookies et généralement ces gros sites sont clairement les plus irrespectueux de la loi en utilisant des dizaines voir centaines de cookies de traçage. On peux citer, au délà de tous les gros sites US Facebook, Twitter, Amazon, Google… des https://www.leboncoin.fr , 
Orange, https://www.labanquepostale.fr, 
République Française (peu de cookie mais pas conforme avec xiti notamment), http://www.meteofrance.com, https://www.pole-emploi.fr… Dans les gros sites free.fr apparait comme l’un des plus sage bien que des petits manquements résident.
Le Monde, 
Le Figaro (qui ne connait toujours pas le protocole SSL pour le httpS), https://www.lequipe.fr/, https://www.francetvinfo.fr/, https://www.20minutes.fr/…
Les sites de presse font partie des pires et sont quasiment tous (pas trouvé ceux qui respectent) très irrespecteux du RGPD citons notamment
Oui, tous ces acteurs pour l’instant sont hors la loi car une partie de leur business reposent sur les données récupérées gratuitement via tous ces cookies et commercialisées dans un second temps… Le RGPD au niveau des cookies est une remise en cause du business de ces acteurs (notamment des GAFA).
Est-ce que la CNIL et chaque organisation équivalente dans nos pays européens aura le pouvoir de sanctionner ces entreprises que je qualifie de bandit (extorque de l’argent au détriment de leur client) ?
Le 20/08/2019 à 15h27
#OuPas
Il ne faut pas oublier que le juridique est rentré dans l’informatique et que, pour beaucoup, il fallait que cela fonctionne pour cet été. Et qu’ils ont juste appliqués les délais prévus, par eux.
Le 20/08/2019 à 17h59
Je rajouterais que c’est pas comme s’ils avaient inventé le RGPD il y a 6 mois hein…. Donc le coup de dire “allez on est sympa on vous laisse encore un an” c’est juste une preuve flagrante de corruption qui ne se cache même plus…..
Le 20/08/2019 à 18h20
Bonsoir,
@Lesgalapagos “il fallait que cela fonctionne cet été”, désolé mais je ne vois pas ce qui justifie cette assertion, le RGPD étant à appliquer depuis Mai 2018.
@alkashee la CNIL n’a pas “inventé” le RGPD. Comme expliqué dans ma première réponse, il est difficile que la CNIL impose à d’autres ce qu’elle-même n’a pas su faire. Votre usage des termes “une preuve flagrante de corruption qui ne se cache même plus” me parait excessif, vu sous un autre angle cela pourrait être simplement du pragmatisme, les entreprises pouvant se targuer de fausses recommendations de la part de la CNIL et de la non exemplarité de celle-ci jusque fin Juin 2019.Bien cordialement.
Le 22/08/2019 à 19h25
J’ai installé pi.hole chez moi et depuis ma connexion est dépolluée, 60% de trafic inutile voire néfaste en moins, moins de saletés dans les fichiers temp de mes navigateurs, du coup on fait des économies de matériel, d’électricité, etc…
Le seul mot pour définir la publicité, que ça soit web, tv, et encore plus sur papier : NUISIBLE !
Le 24/08/2019 à 06h27
Vu le nombre de sites officiels qui utilisent ce procédé, on comprend le manque d’empressement à faire appliquer la loi.