Cookies : le Conseil d’État valide le bandeau controversé de la CNIL

Pour la requérante, cela ne faisait pourtant aucun doute : une telle interface est indubitablement « trompeuse » car elle peut « détourner l’attention du visiteur » afin de favoriser un taux d’acceptation aux cookies bien plus important. Dans sa cinquantaine de pages d’écritures, consultée par l’Informé, elle fait état de tests menés par des chercheurs qui montrent que « l’attention des utilisateurs est exclusivement focalisée sur les boutons, au milieu ou en bas à droite, ici donc d’acceptation, et que la position en haut à droite est même parmi la moins visible du point de vue de l’attention des utilisateurs ». Elle soutient en outre qu’une grande partie de l’écosystème français aurait adopté cette illustration préalablement à l’installation de leurs traceurs.

Et pour PURR, « il va de soi qu’un texte ÉCRIT EN LETTRES MAJUSCULES est plus visible qu’un texte écrit en minuscules, comme la présente phrase le démontre opportunément ». Pour justifier l’annulation de ce bandeau, l’association défendue par Me Jérémy Roche a plaidé toute une série d’arguments issus des textes officiels. Déjà, le règlement général pour la protection des données (RGPD) indique que « le consentement ne devrait pas être considéré comme ayant été donné librement si la personne concernée ne dispose pas d’une véritable liberté de choix ». Le 17 janvier 2023, le Comité européen pour la protection des données, qui réunit l’ensemble des autorités de contrôle nationales, avait précisé, dans son rapport sur le sujet, qu’un site « ne doit pas concevoir des bannières de cookies d’une manière qui donne aux utilisateurs l’impression qu’ils doivent donner leur consentement pour accéder au contenu (…) ni qui pousse clairement l’utilisateur à donner son consentement ». Enfin, la CNIL se serait elle-même lourdement contredite. Dans plusieurs communications, elle a demandé que les boutons « Accepter » et « Refuser » soient présentés, en principe, « au même niveau et sur le même format ». Et dans le cœur même de sa délibération du 17 septembre 2020, où se niche la fenêtre litigieuse, le gendarme des données décourage les « pratiques de design potentiellement trompeuses », demandant aux sites « d’utiliser des boutons et une police d’écriture de même taille, offrant la même facilité de lecture, et mis en évidence de manière identique ».

À Lire aussi

La sanction CNIL contre Ledger ne sera pas communiquée aux victimes

Dans sa décision du 19 juin, le Conseil d’État n’a pas été convaincu par ces critiques : l’illustration n °5 « présente un cas dans lequel la possibilité de refuser est accessible sur le même écran et avec la même facilité que le mécanisme permettant d’exprimer le consentement et avec une taille comparable ». Toujours selon la juridiction, les termes de ce bandeau témoin sont suffisamment clairs et explicites et le lien pour s’opposer aux cookies est dans un espace immédiatement accessible. Sans plus de précision, le juge administratif a jugé ce design en rien contradictoire avec les positions de la CNIL.

Un clic ou des claques

Dans ses conclusions adressées à la partie adverse, elle avait proposé une ligne de défense proche. De son opinion, cette image n’est nullement contradictoire avec ses propres positions et ne tromperait pas l’utilisateur : « la possibilité de refuser est accessible sur le même écran et avec la même facilité que le mécanisme permettant d’exprimer un consentement. ». Il n’y aurait même aucune discrimination dans cette alternative, dès lors que l’internaute peut exprimer son choix en un seul clic et que le bouton « accepter » ne serait pas plus mis en avant que le lien refuser. Enfin, l’autorité indépendante rappelle que sa recommandation n’est… qu’une recommandation : elle n’augure pas la décision que l’autorité pourrait prendre dans un cas concret, analysé au cas par cas. Dit autrement, « la figure 5 ne préjuge aucunement de la conformité d’une bannière cookie qui contiendrait un lien “continuer sans accepter” ».

À Lire aussi

Les Américains « accidentels » demandent à la CNIL de suspendre le transfert de leurs données bancaires

Ce 6 juillet, plusieurs organismes ont écopé d’amendes CNIL dans le cadre de sa procédure dite simplifiée. Si les noms des responsables de traitement ne sont pas donnés, on sait que leurs bannières d’information n’étaient pas conformes aux standards : ces organismes « permettaient, par la présence d’un bouton, d’accepter tous les cookies immédiatement, mais, pour les refuser, il fallait cliquer sur « personnaliser » puis accéder à une interface pour activer ou désactiver les cookies ». Or, « si un site présente un moyen pour accepter tous les cookies en un clic, [il] doit également permettre de tous les refuser en un clic. »