Dans un arrêt du 6 juin 2018, le Conseil d’Etat confirme la position de la Cnil sur le fait que le paramétrage du navigateur d’un site internet n’est pas un mode valable d’opposition au dépôt de cookies.

Dans sa délibération du 18 mai 2017, la Cnil avait prononcé une sanction pécuniaire de 25 000 euros contre l’éditeur du site challenges.fr pour n’avoir pas respecté ses obligations d’information sur le dépôt de cookies sur le terminal de l’utilisateur et sur le droit d’opposition malgré une mise en demeure de le faire.

Pour rappel un cookie est un fichier contenant des informations stockées dans le terminal de l’utilisateur. Il sert à reprendre ses préférences choisies lors de la visite d’un site web. Ils impliquent des données à caractère personnel et doivent donc respecter la réglementation applicable en matière de protection  des données à caractère personnel.

L’obligation d’information et le droit d’opposition. Le Conseil d’Etat a jugé que « les éléments portés à la connaissance des utilisateurs du site www.challenges.fr ne leur permettaient ni de différencier clairement les catégories de cookies susceptibles d’être déposés sur leur terminal, ni de s’opposer seulement à ceux dont le dépôt est soumis à leur consentement préalable, ni de connaître les conséquences, en termes de navigation sur le site, attachées à leur éventuelle opposition ». Il en a conclu que le paramétrage du navigateur proposé aux utilisateurs ne constituait pas un mode valable d’opposition au dépôt de  cookies et donc à la collecte et au traitement de données personnelles.

Le Conseil d’Etat rappelle que « ne sont pas concernés par ces obligations les « cookies » qui sont essentiels au fonctionnement technique du site ni ceux qui correspondent à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur. »

Tous les autres cookies, notamment ceux ayant une finalité publicitaire, sont soumis aux obligations de la réglementation sur les données à caractère personnel.

Il appartient donc aux éditeurs de sites internet de respecter les droit des personnes concernées par notamment la mise en place du recueil de consentement des internautes dans le dépôt de cookies en leur offrant la possibilité de s’y opposer.

Durée de conservation.   L’éditeur n’avait pas donné suite à la mise en demeure de ne pas conserver les cookies au-delà de treize mois. La Cnil reprochait à l’éditeur du site de ne pas avoir défini, ni respecté de durée de conservation des données proportionnée à la finalité du traitement. Le Conseil d’Etat a jugé que « les éditeurs de site qui autorisent le dépôt et l’utilisation de tels  « cookies  » par des tiers à l’occasion de la visite de leur site doivent également être considérés comme responsables de traitement, alors même qu’ils ne sont pas soumis à l’ensemble des obligations qui s’imposent au tiers qui a émis le  «  cookie », notamment lorsque ce dernier conserve seul la maitrise du respect de sa finalité ou de sa durée de conservation ».

En conséquence,  l’éditeur de site doit s’assurer auprès de ses partenaires qu’ils n’émettent pas, par l’intermédiaire de son site, des « cookies » qui ne respectent pas la règlementation.

Il convient de préciser que cette décision a été rendue en application  de la Loi informatique et libertés applicable au moment des faits, aujourd’hui, avec l’entrée en application du Règlement Général sur la Protection des Données un tel manquement pourrait conduire à des sanctions plus lourdes.