Retour aux articles

Placement de cookies : l'analyse de la CJUE

Affaires - Immatériel
01/10/2019
La Cour de justice de l’Union européenne (CJUE) considère dans un arrêt du 1er octobre 2019 que le placement de cookies requiert le consentement actif des internautes. Une case cochée par défaut n’est donc pas suffisant.
La demande de décision préjudicielle portait sur l’interprétation de l’article 2, sous f), et de l’article 5, paragraphe 3, de la directive 2002/58/CE du 12 juillet 2002 (directive « vie privée et communications électroniques ») modifiée par la directive 2009/136/CE lus en combinaison avec l’article 2, sous h), de la directive 95/46/CE du 24 octobre 1995 (directive « données personnelles ») ainsi que de l’article 6, paragraphe 1, sous a), du règlement (UE) 2016/679 du 27 avril 2016 (règlement général sur la protection des données).
 
Elle a été introduite dans le cadre d’un litige opposant le Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV (fédération des organisations et associations de consommateurs – fédération allemande des organisations de consommateurs) (la « fédération ») à Planet49 GmbH, société proposant des jeux en ligne à propos du consentement des participants à un jeu promotionnel organisé par cette société au transfert de leurs données à caractère personnel à des sponsors et partenaires de celle-ci ainsi qu’au stockage d’informations et à l’accès à des informations stockées dans l’équipement terminal de ces utilisateurs.

Dans le cadre d’une mise en demeure qui est restée sans suite, la fédération a soutenu que les déclarations d’accord sollicitées par Planet49 au moyen des première et seconde cases à cocher ne remplissaient pas les conditions requises par les dispositions de la législation allemande sur la concurrence déloyale.
Elle a alors introduit devant le Landgericht Frankfurt am Main (Tribunal régional de Francfort-sur-le-Main) un recours demandant à ce que Planet49 cesse de solliciter de telles déclarations d’accord ; recours auquel il a partiellement fait droit.

À la suite d’un appel interjeté par Planet49 devant l’Oberlandesgericht Frankfurt am Main (tribunal régional supérieur de Francfort), elle a estimé que la demande de la fédération n’était pas fondée dès lors que l’utilisateur avait connaissance de la possibilité de décocher cette case et que celle-ci était présentée dans une typographie suffisamment claire et donnait des informations sur les modalités d’utilisation des cookies, et ce sans qu’il soit nécessaire de divulguer l’identité des tiers susceptibles d’avoir accès aux informations recueillies.

Le Bundesgerichtshof (Cour fédérale de justice), saisi par la fédération d’un recours en Revision, a considéré que l’issue du litige au principal dépend de l’interprétation des dispositions combinées des textes précités.
Ayant des doutes sur la validité de l’obtention, par Planet49, du consentement des utilisateurs du site internet en cause au moyen de la seconde case à cocher ainsi que sur l’étendue de l’obligation d’information prévue à l’article 5, paragraphe 3, de la directive 2002/58, le Bundesgerichtshof a décidé de surseoir à statuer et de poser à la Cour plusieurs questions préjudicielles.

Elles portent en conséquence sur le consentement au stockage d’informations et à l’accès à des informations déjà stockées dans l’équipement terminal de l’utilisateur, c’est-à-dire à des cookies, dans le contexte spécifique des dispositions de la directive 2002/58, lues en combinaison avec celles de la directive 95/46 ou du règlement 2016/679.

La CJUE considère, tout d’abord, que « le consentement visé par (les dispositions en cause) n’est pas valablement donné lorsque le stockage d’informations ou l’accès à des informations déjà stockées dans l’équipement terminal de l’utilisateur d’un site Internet, par l’intermédiaire de cookies, est autorisé au moyen d’une case cochée par défaut que cet utilisateur doit décocher pour refuser de donner son consentement ».

Elle estime également qu’« (elles) ne doivent pas être interprétés différemment selon que les informations stockées ou consultées dans l’équipement terminal de l’utilisateur d’un site Internet constituent ou non des données à caractère personnel, au sens de la directive 95/46 et du règlement 2016/679 ».

Elle considère enfin que « l’article 5, paragraphe 3, de la directive 2002/58, telle que modifiée par la directive 2009/136, doit être interprété en ce sens que les informations que le fournisseur de services doit donner à l’utilisateur d’un site internet incluent la durée de fonctionnement des cookies ainsi que la possibilité ou non pour des tiers d’avoir accès à ces cookies ». 
Cette décision très attendue n'est pas réellement surprenante dans la mesure où en se prononçant en ce sens, la Cour suit les conclusions de l’avocat général Maciej Szpunar présentées le 21 mars 2019.

 

Source : Actualités du droit