Non, le Conseil d’État n’a pas dit ça.

Il a dit que la CNIL ne pouvait pas dire dans un document de “lignes directrices” qu’il y avait une “interdiction générale et absolue” à conditionner l’accès à un site au consentement de l’utilisateur à ce que ses données soient traitées.

Rien n’empêche dans la décision du Conseil d’État de juger au cas par cas qu’il y a bien une interdiction vis-à-vis du RGPD. Mais elle ne peut pas le faire dans le cadre du “droit souple” que sont des lignes directrices.

Ceux qui pensent comme toi qu’ils ont un blanc-sein du Conseil d’État pourront bien avoir des surprises.

Patch a dit:

C’est pourtant ce que j’ai compris dans leur communiqué.

Un communiqué ne vaut jamais le texte de la décision (en lien un peu plus haut) :
D’autre part, la CNIL affirme, à ce même article 2, que la validité du consentement est soumise à la condition que la personne concernée ne subisse pas d’inconvénient majeur en cas d’absence ou de retrait de son consentement, un tel inconvénient majeur pouvant consister, selon elle, dans l’impossibilité d’accéder à un site Internet, en raison de la pratique des « cookies walls ». En déduisant pareille interdiction générale et absolue de la seule exigence d’un consentement libre, posé par le règlement du 27 avril 2016, la CNIL a excédé ce qu’elle peut légalement faire, dans le cadre d’un instrument de droit souple,

Comme?

La CNIL pourra sanctionner chaque site ayant mis un “cookies wall” pour violation du RGPD en jugeant chaque cas séparément et en démontrant que le consentement n’était pas libre ou pour un autre motif tiré du RGPD.
Par exemple, le 4 de l’article 7 dispose que : “Au moment de déterminer si le consentement est donné librement, il y a lieu de tenir le plus grand compte de la question de savoir, entre autres, si l’exécution d’un contrat, y compris la fourniture d’un service, est subordonnée au consentement au traitement de données à caractère personnel qui n’est pas nécessaire à l’exécution dudit contrat.”. Je pense qu’il y a là matière à sanctionner parce que le “contrat d’un site d’information, de recette de ciné ou autre avec ses utilisateurs, c’est de fournir des infos, des recettes, etc. et le traitement des données personnelles sert à faire de la publicité ciblée qui n’est pas l’objet du contrat.

Le 1 de l’article 21 Droit d’opposition est peut aussi être utile pour balayer les “cookies walls) : “La personne concernée a le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant fondé sur l’article 6, paragraphe 1, point e) ou f), y compris un profilage fondé sur ces dispositions. Le responsable du traitement ne traite plus les données à caractère personnel, à moins qu’il ne démontre qu’il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée” : là, les intérêts légitimes se transforment en motifs légitimes et impérieux qui doivent être démontrés.