Le 21 mars 2019, l’avocate générale Szpunar a rendu ses conclusions devant la Cour de Justice de l’Union Européenne (CJUE) qui doit répondre à une question préjudicielle relative au traitement des données personnelles, au consentement et à l’utilisation de cookies.

La procédure porte sur un jeu-concours organisée par une société allemande en 2013 et qui présentait deux mentions accompagnées de cases à cocher :

• La première n’était pas cochée par défaut et portait sur l’autorisation par l’internaute de recevoir des publicités de partenaires et sponsors (avec un lien permettant de choisir ses sponsors ou de les refuser)
• La seconde était pré-cochée et portait sur l’autorisation donnée par l’internaute à la dépose de cookies.

La participation au jeu n’était possible qu’après avoir coché la première case.

Pour pouvoir juger de la licéité de cette pratique, la Cour fédérale de justice allemande a considéré que la CJUE devait répondre aux deux questions préjudicielles suivantes.

La première question posée porte sur l’éventuelle différenciation qui doit être faite entre les consentements à la dépose de cookies exigée par les différentes réglementations.

Les cookies sont considérés comme un traitement de données personnelles font ainsi appel à trois réglementations : la directive Eprivacy, la directive 95/46 abrogée depuis le 25 mai 2018 (mais applicable à la date du jeu concours en cause) par le RGPD (2016/679). La question posée à la CJUE porte sur les exigences relatives au consentement éclairé et libre à la collecte de données personnelles via les cookies et au traitement différencié qu’il faudrait peut-être en faire du fait des instruments juridiques applicables.

L’avocate générale établit dans un premier temps que pour que le consentement soit libre et éclairé il doit être actif mais également distinct. Sans surprise, les conclusions considèrent que la case pré-cochée ne satisfait pas aux critères relatifs à un consentement libre et éclairé, qui suppose une attitude active de l’internaute et que la participation au jeu ne peut en elle-même valoir consentement à la dépose de cookies.

La deuxième question posée porte sur le niveau d’information qui doit être donné à l’internaute sur les cookies

Les conclusions indiquent que l’information à fournir doit être claire, complète et suffisamment détaillée afin que l’utilisateur puisse facilement déterminer les conséquences du consentement qu’il pourrait donner. A minima ces informations doivent porter sur la durée de conservation des cookies et la question de savoir si des tiers, ou non et si oui, lesquels, ont accès aux cookies.

 

Emmanuelle Behr
Avocate associée
Redlink