Cookies : La CNIL lance une deuxième vague de mises en demeure

La CNIL annonce qu’une deuxième vague de mises en demeure vient d’être lancée à l'encontre de plusieurs acteurs, dont des « plateformes majeures de l’économie numérique ». Les concernés ont jusqu’au 6 septembre pour se remettre sur les rails de la législation européenne.

« Quatre plateformes majeures de l’économie numérique », « six fabricants majeurs de matériel informatique et de logiciels », « six sociétés de vente en ligne de biens de grande consommation », « deux acteurs majeurs du tourisme en ligne », ou encore « deux services publics en ligne »… Voilà quelques-unes des organisations dans le viseur de la CNIL.

Dans un communiqué, celle-ci annonce avoir adressé une nouvelle salve de mises en demeure sur fond de législation sur les cookies. « Cette nouvelle campagne de mesures vient compléter les procédures en cours devant la formation restreinte de la CNIL (organe chargé de prononcer les sanctions) et qui sont susceptibles d’aboutir à des amendes pouvant aller jusqu’à 2 % du chiffre d’affaires » (pour les structures privées).

La seule décision consistant à rendre publiques ces mises en demeure traduit une certaine exaspération de la part de l’autorité. Les structures alertées ont jusqu’à la rentrée pour rectifier leur traitement de données à caractère personnel.

La CNIL n’ayant toutefois pas été jusqu’à révéler les noms des organisations, les internautes peuvent craindre de voir leurs données illégalement alpaguées en se rendant sur chacun des sites en cause.

Selon l’autorité, « d’autres campagnes de vérifications et de mesures correctrices seront ainsi menées à la rentrée afin d’assurer le respect de la vie privée des internautes français ». Selon elle, « il s’agit d’assurer l’effectivité du travail initié par la CNIL depuis 2 ans et qui s’est notamment concrétisé, le 1er octobre 2020, par l’adoption des lignes directrices et d’une recommandation ».

2018-2021, trois longues années pour se mettre d'aplomb

En mai dernier, elle adressait déjà une première vague de mises en demeure, au terme de laquelle une « vingtaine d’organismes qui ne permettaient pas aux internautes de refuser les cookies aussi facilement que de les accepter se sont tous mis en conformité ».

Pour les sites cherchant encore la marche à suivre, rappelons que si la gestion des cookies relève de la directive e-privacy, celle-ci renvoie au RGPD le soin de définir leur consentement, à savoir « toute manifestation de volonté, libre, spécifique et informée ».

Après des mois d’hésitations et de ciselage, l’autorité a défini en septembre 2020 sa recommandation officielle. Un guide pratique doublé de lignes directrices, entrées en application non immédiatement, mais seulement le 31 mars 2021.

Voilà pourquoi, depuis le 1er avril dernier, les bandeaux aux cookies ont changé d’aspect sur un nombre incalculable de sites, au profit d’une forme tendant à être plus respectueuse du règlement de mai 2018 et de la directive e-privacy de 2002.

C’est notamment dans ce contexte que la CNIL a expliqué que la pratique du cookie wall devait être appréciée au cas par cas. Ce mur « consiste à bloquer l'accès à un site web ou à une application mobile pour l’utilisateur qui ne donnerait pas son consentement » (accès gratuit en cas d’acceptation des traceurs de publicité / un accès payant, mais sans traceurs).

Une doctrine installée dans les couloirs de l’autorité après une décision du Conseil d’État, elle-même éclairée par les conclusions du rapporteur public, Alexandre Lallet. 

• Cookie walls et autres tracking walls : légal, pas légal ?