À la suite de l’entrée en vigueur du règlement général sur la protection des données (RGPD), la Commission nationale de l’informatique et des libertés (CNIL) a en effet adopté en 2019 de nouvelles lignes directricesDélibération n° 2019-093 du 4 juillet 2019 de la Commission nationale de l’informatique et des libertés (CNIL) portant adoption des lignes directrices à l’application de l’article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture et écriture dans le terminal d’un utilisateur. relatives aux « cookies » et autres traceurs de connexion déposés par les éditeurs de sites internet dans les ordinateurs, tablettes ou téléphones des utilisateurs à des fins, notamment, de ciblage publicitaire.

Sous couvert d’un acte de droit souple, la CNIL ne peut édicter une interdiction générale et absolue

Diverses associations professionnelles ont saisi le Conseil d’État d’une requête tendant à l’annulation de ces lignes directrices à propos notamment de la pratique dite des « cookie walls » par laquelle les éditeurs de sites internet bloquent l’accès à leurs sites lorsque l’internaute ne consent pas au suivi de sa navigation au moyen du dépôt de cookies et des traceurs de connexion. 

La haute juridiction administrativeCE, 19 juin 2019, n° 434684, Association des agences-conseils en communication et a. estime qu’en déduisant une telle interdiction de la seule « exigence d’un consentement libre de l’utilisateur au dépôt de traceurs », posée par le règlement général sur la protection des données (RGPD), la CNIL a excédé ce qu’elle pouvait légalement faire dans le cadre d’un acte dit « de droit souple » [Les actes de droit souple désignent les instruments, telles que les lignes directrices des autorités de régulation, qui ne créent pas de droit ou d’obligation juridique pour quiconque mais influencent fortement, dans les faits, les pratiques des opérateurs économiques.] et c’est ainsi que sans se prononcer sur le fond de la question qui lui était soumise, le Conseil d’État a considéré que la CNIL ne pouvait, sous couvert d’un acte de droit souple, énoncer une telle interdiction générale et absolue.

Le consentement de l’utilisateur doit être précédé d’une information spécifique pour chacune des finalités du traitement de données

Il était également critiqué les lignes directrices concernant le fait que les utilisateurs doivent « être en mesure de donner leur consentement de façon indépendante et spécifique pour chaque finalité distincte » et sur ce point les juges du Palais-Royal relèvent que les dispositions de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés disposent effectivement que « lorsque que le recueil du consentement est effectué de manière globale », il doit être précédé d’une « information spécifique à chacune des finalités » mais pour le Conseil d’État, le passage querellé des lignes directrices « se borne à rappeler cette exigence », sans nullement imposer aux opérateurs des modalités techniques particulières — consentement global ou finalité par finalité — pour le recueil du consentement.

La légalité de tous les autres points contestés des lignes directrices, qu’il s’agisse notamment de la facilité de refus ou de retrait du consentement aux cookies, de la durée recommandée de conservation des cookies ou de l’information des utilisateurs sur les cookies non soumis au consentement préalable, sont confirmés.