Expertises des Systèmes d'information - Décembre 2019 - n°452 - Le mensuel du droit de l'informatique et du multimédia - 403

assimilables à un consentement
valable. Elle considère également
que l'utilisation de cases pré-cochées, tout comme l'acceptation
globale de conditions générales
d'utilisation, ne peuvent être
considérées comme un acte
positif clair visant à donner son
consentement. »
Ainsi, la simple poursuite de la
navigation sur un site ne peut plus
être regardée comme une expression valide du consentement au
dépôt de cookies. Cette règle a
déjà pu être mise en pratique par
de nombreux éditeurs de sites
internet, lesquels ont mis en
place une case à cocher afin de
recueillir le consentement des
internautes, préalable indispensable à l'installation de cookies
dans leur terminal.
A ce titre, la Cnil a annoncé que
ses recommandations définitives
relatives aux modalités pratiques
de recueil du consentement seront
publiées au premier trimestre
2020, puisque le futur règlement
ePrivacy est toujours en discussion au Parlement européen et ne
sera donc pas mis en application à
brève échéance.

Sur les conditions de fond
L'arrêt commenté est aussi l'occasion de revenir sur les conditions de
fond du consentement, lesquelles
résident notamment dans le fait
que le consentement doit être :
■	 éclairé par la délivrance préalable d'informations claires et
complètes,
■	 libre en application de l'article
7 du RGPD alinéa 4, bien que
ce dernier point n'ait pas été
soumis à son appréciation.

Quant au caractère
eclairé du consentement
La CJUE a été interrogée sur le
point de savoir si l'article 5 de
la directive ePrivacy doit être
interprété en ce sens que les
informations que le fournisseur de
services doit donner à l'utilisateur
d'un site internet incluent la durée

de fonctionnement des cookies
ainsi que la possibilité ou non
pour des tiers d'avoir accès à ces
cookies.
L'information préalable qui doit être
fournie à l'utilisateur doit respecter
les dispositions du RGPD ayant
abrogé la directive 95/46. Cette
information doit donc être claire et
complète, et porter notamment sur
les finalités du traitement poursuivi. Elle doit être formulée dans des
termes simples et compréhensibles,
afin que la personne à qui elle
s'adresse comprenne le fonctionnement des cookies ainsi utilisés.
La Cour a donc considéré que
la durée de fonctionnement des
cookies, ainsi que la possibilité ou
non pour des tiers d'avoir accès à
ces cookies font partie des éléments
d'informations à délivrer, afin
que cette information puisse être
qualifiée de claire et de complète.
Force est de constater que ces
mentions sont déjà énumérées à
l'article 13 du RGPD qui mentionne
l'ensemble des informations obligatoires qui doivent être portées à
la connaissance de la personne
concernée. En effet, cet article vise
notamment les destinataires des
données ou catégories de destinataires, ainsi que la durée de conservation des données ou les critères
utilisés pour déterminer cette durée.
En conséquence, la Cour a rappelé
que les informations que le fournisseur de services doit donner à l'utilisateur d'un site Internet incluent
la durée de fonctionnement des
cookies ainsi que la possibilité ou
non pour des tiers d'avoir accès à
ces cookies.
Cette interprétation n'est finalement qu'une stricte application des
dispositions du RGPD, et rappelle
également les termes de l'article 1
de la délibération n°2019-093 de
la Cnil qui précise : « S'agissant du
caractère éclairé du consentement,
la Commission rappelle que l'information doit être rédigée en des
termes simples et compréhensibles
EXPERTISES Décembre 2019

pour tous, et qu'elle doit permettre
aux utilisateurs d'être parfaitement
informés des différentes finalités
des traceurs utilisés. Elle considère
que l'utilisation d'une terminologie juridique ou technique
trop complexe ne répond pas à
l'exigence d'information préalable.
La Commission rappelle que
l'information doit être complète,
visible, et mise en évidence au
moment du recueil du consentement. Un simple renvoi vers les
conditions générales d'utilisation
ne saurait suffire.
Les informations devant être
portées à la connaissance des
utilisateurs, préalablement au
recueil du consentement, en
application de l'article 82, sont à
minima :
■	 l'identité du ou des responsables
de traitement ;
■	 la finalité des opérations de
lecture ou écriture des données ;
■	 l'existence du droit de retirer son
consentement. »
La CJUE, si elle ne bouleverse pas
l'état du droit, a ainsi l'occasion
de rappeler les règles applicables à
l'usage des cookies à la lumière de
la directive ePrivacy combinée au
RGPD.

Quant au caractère
libre du consentement
Il est fort regrettable de constater
que la Cour de justice de l'Union
européenne n'ait pas été saisie de la
question de savoir si la circonstance
que le consentement d'un utilisateur au traitement de ses données
à caractère personnel à des fins
publicitaires conditionne sa participation à un jeu promotionnel est
compatible avec l'existence d'un
consentement libre.
L'on aurait tendance à penser
que tel n'est pas le cas. En effet,
l'article 7 paragraphe 4 du RGPD
dispose : « Au moment de déterminer si le consentement est donné
librement, il y a lieu de tenir le
plus grand compte de la question

403
Expertises des Systèmes d'information - Décembre 2019 - n°452 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Décembre 2019 - n°452 - Le mensuel du droit de l'informatique et du multimédia
