Expertises des Systèmes d'information - Novembre 2020 - N°462 - Le mensuel du droit de l'informatique et du multimédia - 391

De surcroît, les éditeurs ont
également la charge d'informer et
de recueillir le consentement des
internautes lorsqu'il est nécessaire,
que cela soit pour les cookies et
traceurs déposés et lus pour leur
propre compte ou par des tiers.
Ils devront également conserver
la preuve du consentement et
être en mesure de permettre aux
tiers de s'en prévaloir. A cet égard,
l'instrument contractuel demeure
pertinent. La Commission souligne
toutefois qu'il doit prévoir des
clauses relatives non seulement
au recueil du consentement,
mais aussi aux modalités de mise
à disposition de la preuve du
consentement. Notons d'ailleurs
que la Commission énumère des
exemples permettant de rapporter
la preuve du consentement23.
La Commission nationale de l'informatique et des libertés rappelle
qu'une relation de responsables
conjoints peut aussi être retenue
entre un éditeur de site ou d'application mobile et un tiers. Pour se
faire, la Commission s'appuie sur
l'arrêt rendu par la Cour de justice
de l'Union européenne en vertu
duquel :
« Le gestionnaire d'un site Internet,
tel que Fashion ID GmbH & Co. KG,
qui insère sur ledit site un module
social permettant au navigateur
du visiteur de ce site de solliciter
des contenus du fournisseur dudit
module et de transmettre à cet
effet à ce fournisseur des données
à caractère personnel du visiteur,
peut être considéré comme étant
responsable du traitement, au sens
de l'article 2, sous d), de la directive
95/46. Cette responsabilité est
cependant limitée à l'opération
ou à l'ensemble des opérations de
traitement des données à caractère
personnel dont il détermine
effectivement les finalités et les
moyens, à savoir la collecte et la
communication par transmission
des données en cause. »24

et traceurs. Il aurait été intéressant
que le régulateur explicite cette
qualification en présence d'un
éditeur et d'un acteur de la publicité
en ligne par exemple ou, à tout le
moins, que des hypothèses soient
envisagées.
Des questions demeurent donc
en suspens. Des clarifications
seront peut-être apportées par le
régulateur à la suite des contrôles
qui seront menés. Néanmoins, il
est fort probable que cet écosystème soit à nouveau bouleversé
dans le cadre de débats sur le
règlement « e-privacy » ou encore
des autres projets portés par la
Commission européenne (intelligence artificielle, etc.).
En attendant des éventuelles
évolutions, la mise en conformité
est à l'ordre du jour.

Garance MATHIAS
Avocat fondateur
Mathias Avocats

Aline ALFER
Avocat à la Cour
Mathias Avocats
Avec la participation de Billur
CINAR, juriste, Mathias Avocats

Notes
(1) RGPD, Considérant 30 : « Les personnes physiques
peuvent se voir associer, par les appareils, applications, outils et protocoles qu'elles utilisent, des
identifiants en ligne tels que des adresses IP et des
témoins de connexion (« cookies ») ou d'autres identifiants, par exemple des étiquettes d'identification par
radiofréquence. ».
(2) Etant précisé que la loi n°78-17 du 6 janvier 1978 modifiée vise « les informations déjà stockées dans l'équipement terminal de communications électroniques »
ou encore les « information[s] inscrite[s] dans cet
équipement ».
(3) Directive 2002/58/CE du 12 juillet 2002, article 5§3 ;
Loi n°78-17 du 6 janvier 1978 modifiée, article 82 ;
CJUE, Aff. C-673/17, 1er octobre 2019.
(4) Cnil, Délibération n° 2019-093 du 4 juillet 2019 portant
adoption de lignes directrices relatives à l'application
de l'article 82 de la loi du 6 janvier 1978 modifiée aux
opérations de lecture ou écriture dans le terminal d'un
utilisateur (notamment aux cookies et autres traceurs)
(rectificatif, publiée au JORF en date du 19 juillet 2019
(5) RGPD, articles 4, 11) et 7.
(6) Cnil, Délibération n°2020-091 du 17 septembre 2020
portant adoption de lignes directrices relatives à
l'application de l'article 82 de la loi du 6 janvier 1978
modifiée aux opérations de lecture et écriture dans le
terminal d'un utilisateur (notamment aux « cookies et
autres traceurs ») et abrogeant la délibération n°2019093 du 4 juillet 2019.
(7) Cnil, Délibération n°2020-092 du 17 septembre 2020
portant adoption d'une recommandation proposant
des modalités pratiques de mise en conformité en cas
de recours aux « cookies et autres traceurs ».
(8) CE, Section du contentieux, 10ème et 9ème chambres
réunies, 19 juin 2020, Association des agences-conseils en communication et autres, n°434684. Dans le
cadre de sa doctrine, la CNIL admet que cette pratique
du « cookies walls » doit faire l'objet d'une analyse au
cas par cas, avec une information préalable de l'internaute en y indiquant explicitement les conséquences
de ses choix.
(9) Cnil, Synthèse des contributions de la consultation
publique sur le projet de recommandation « cookies
et autres traceur ».
(10) Rapport de la Convention citoyenne pour le climat à l'issue de son adoption formelle dimanche 21 juin 2020,
version corrigée le 5 octobre 2020, Proposition C.2.2.2.
(11) Cnil, Lignes directrices, point 27.
(12) CJUE, Aff. C-673/17, Planet49 GmbH, 1er octobre 2019.
(13) Cnil, Recommandation, point 36.
(14) Cnil, Recommandation, points 37 et 39.
(15) Cnil, Lignes directrices, point 49 ; Délibération n°
2013-378 du 5 décembre 2013 portant adoption
d'une recommandation relative aux cookies et aux
autres traceurs visés par l'article 32-II de la loi du
6 janvier 1978 (abrogée).
(16) Cnil, Lignes directrices, point 50.
(17) Cnil, Lignes directrices, point 51.
(18) Cnil, Délibération n°2019-093 du 4 juillet 2019 portant
adoption de lignes directrices relatives à l'application
de l'article 82 de la loi du 6 janvier 1978 modifiée aux
opérations de lecture ou écriture dans le terminal d'un
utilisateur (notamment aux cookies et autres traceurs)
(rectificatif), article 5.
(19) Cnil, Recommandation, points 38 et 39.
(20) Proposition de règlement du Parlement européen et
du conseil concernant le respect de la vie privée et la
protection des données à caractère personnel dans les
communications électroniques et abrogeant la directive 2002/58/CE (règlement «vie privée et communications électroniques»), Version au 29 mai 2020, page
59.
(21) Délibération n° 2013-378 du 5 décembre 2013 portant
adoption d'une recommandation relative aux cookies
et aux autres traceurs visés par l'article 32-II de la loi du
6 janvier 1978 (abrogée), article 5.

Toutefois, la Commission ne fournit
aucun cas concret d'application
de cette qualification dans le
cadre de l'utilisation de cookies

(22) CE, 10ème - 9ème chambres réunies, 6 juin 2018,
n°412589, point 11.
(23) CNIL, Recommandation, points 47 et 48.
(24) CJUE, Aff. C‑40/17, Fashion ID, 29 juillet 2019.

EXPERTISES Novembre 2020

391

Expertises des Systèmes d'information - Novembre 2020 - N°462 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Novembre 2020 - N°462 - Le mensuel du droit de l'informatique et du multimédia