La pratique des « cookie walls » (ou « murs de traceurs ») consiste à bloquer l’accès au contenu d’un site pour l’utilisateur qui n’accepte pas globalement le dépôt de cookies ou la consultation des cookies déjà enregistrés par l’éditeur du site. En pratique, un bandeau de la page d’accueil demande à l’internaute de cliquer sur le bouton « J’accepte les cookies ». A défaut, l’accès au contenu est impossible.
Dans de précédentes lignes directrices, la Cnil avait considéré « que le consentement ne peut être valable que si la personne concernée est en mesure d’exercer valablement son choix et ne subit pas d’inconvénients majeurs en cas d’absence ou de retrait du consentement » (Délib. 2019-093 art. 2, al. 4).
Estimant que cette disposition équivalait à une « interdiction générale et absolue » de la pratique des « cookie walls », alors même qu’aucune disposition de la loi de 1978 ni du RGPD ne l’interdit, le Conseil d’Etat avait jugé que la Commission excédait ainsi ce qu’elle pouvait légalement faire dans le cadre d’un instrument de « droit souple » (CE 19-6-2020 n° 434684 : BRDA 14/20 inf. 19). Pour le Conseil d'Etat, la liberté du consentement de l'utilisateur d'un site doit être appréciée au cas par cas, en tenant compte notamment de l’existence d’alternatives réelles et satisfaisantes proposées en cas de refus des cookies.
Après avoir révisé sa position dans ses dernières lignes directrices (Délib. Cnil 2020-091 et 2020-092 du 17-9-2020 : BRDA 22/20 inf. 26), et dans l'attente du futur règlement européen « ePrivacy » ou d'une décision de la CJUE, la Cnil vient de publier des critères permettant aux professionnels d'évaluer la légalité de la pratique des « cookie walls ».
L'internaute doit disposer d'une véritable alternative pour accéder au contenu du site
Dans la droite ligne de la décision du Conseil d'Etat, la Cnil recommande aux éditeurs de site internet de proposer une alternative réelle et équitable permettant d'accéder au contenu du site à l'internaute ayant refusé l'utilisation des cookies (par exemple, en cliquant sur un bouton « Tout refuser »).
A défaut, l’éditeur devra être en mesure de démontrer que son service est également accessible sur un autre site sans « cookie wall ». Dans ce cas, la Cnil recommande à l'éditeur du site utilisant un « cookie wall » de veiller à ce que cette alternative soit facile d'accès pour l'utilisateur, pour éviter tout déséquilibre entre lui et l'internaute, qui serait de nature à priver ce dernier d'un véritable choix.
Cela pourrait être le cas, précise la Commission, en cas d'exclusivité de l'éditeur sur les contenus ou services proposés (par exemple, un service administratif ne peut pas conditionner l'accès à une téléprocédure à l'acceptation de cookies non nécessaires au fonctionnement du site) ou pour les éditeurs ou services dominants ou incontournables, l'internaute ne disposant pas d'un choix réel de les consulter ou non.
Alternative payante : quel tarif ?
Un éditeur peut subordonner l’accès à son contenu soit à l’acceptation de cookies (« cookie wall »), soit au paiement d’une somme d’argent (« paywall »). La contrepartie monétaire constitue alors une alternative au consentement aux traceurs.
Cette alternative n'en est véritablement une que si le tarif est raisonnable, indique la Cnil. Elle précise que ce caractère raisonnable relève d'une analyse au cas par cas et encourage les éditeurs à publier leur analyse. Il appartiendra à ces derniers de justifier du caractère raisonnable de la contrepartie monétaire proposée.
La Commission propose cependant là encore quelques pistes : les éditeurs sont ainsi invités à tenir compte des modes de consommation du service, le financement proposé n'ayant pas systématiquement à prendre la forme d'un abonnement payant au site et l'éditeur pouvant offrir un accès ponctuel payé au moyen d'un porte-monnaie virtuel (par exemple Paypal, Apple pay, Google Pay, etc.), sans que l'internaute n'ait alors à enregistrer ses données de carte bancaire auprès de l'éditeur.
La Cnil invite par ailleurs les éditeurs de site imposant aux internautes la création d'un compte à s’assurer qu’une telle obligation est justifiée par rapport à la finalité visée, par exemple pour permettre à un utilisateur qui a souscrit à un abonnement d'en bénéficier sur d’autres terminaux. Dans ce cas, l'éditeur doit par ailleurs informer les internautes de l'usage de leurs données et limiter leur collecte aux données nécessaires à la finalité poursuivie.
Enfin, l’éditeur qui souhaite réutiliser les données collectées lors de la création du compte pour d’autres finalités devra s’assurer d’en avoir préalablement et clairement informé l’internaute et recueillir, si nécessaire, le consentement des internautes pour ces nouveaux objectifs.
Des « cookie walls » ou « paywalls » limités à l'objectif poursuivi
La Cnil indique que l'éditeur doit informer les internautes des finalités pour lesquelles il est nécessaire de consentir au dépôt de cookies pour accéder au service, le « cookie wall » ou le « paywall » devant être limité aux finalités permettant une juste rémunération du service proposé (ce que l'éditeur devra être en mesure de démontrer). Ainsi, si la rémunération d'un service est assurée par les revenus issus de la publicité ciblée, seul le consentement aux traceurs collectés en vue de cette finalité devrait être nécessaire pour accéder au service ; le refus de consentir à d’autres finalités (personnalisation du contenu éditorial, par exemple) ne devrait alors pas empêcher l’accès au contenu du site.
Traceurs imposés pour accéder à un contenu hébergé sur un site tiers
En principe, rappelle la Cnil, aucun cookie (autre que ceux qui sont nécessaires au fonctionnement du site web) ne peut être déposé sur le terminal de l'internaute ayant refusé un tel dépôt et choisi l’alternative proposée par l’éditeur. Cependant, l'accès à des contenus hébergés sur des sites tiers (par exemple, une vidéo) ou à un service demandé par l'utilisateur (par exemple, l'accès à un bouton de partage du contenu sur les réseaux sociaux) peut parfois entraîner le dépôt de traceurs, notamment publicitaires, par ce site tiers.
Dans ce cas, le consentement de l’utilisateur pourrait être recueilli lorsque l'utilisateur souhaite activer le contenu, par exemple, au sein d’une fenêtre dédiée qui s'affiche.
Retrouvez toute l'actualité en matière de droit des sociétés, droit commercial et de la concurrence dans Navis Droit des Affaires !
Pas encore abonné ? Nous vous offrons un accès au fonds documentaire Navis Droit des Affaires pendant 10 jours.
