Le Conseil d'État a rejeté, cette semaine, le recours d'un utilisateur qui contestait les pratiques de La Poste concernant les cookies et le transfert de données personnelles, confirmant une décision de la CNIL.
Le Conseil d'État a rejeté, le 12 mars 2025, le recours d'un utilisateur qui contestait les pratiques numériques de La Poste. Ce litige, qui portait sur l'utilisation de cookies techniques et le transfert de données vers les États-Unis depuis le service Digiposte, s'est soldé par une victoire pour l'entreprise postale. La haute juridiction a entièrement validé l'analyse préalable de la CNIL, et rappelé au passage les distinctions essentielles entre les cookies qui nécessitent un consentement, et les cookies techniques exemptés de cette obligation.
Pourquoi la CNIL a donné raison à La Poste sur les cookies sans consentement
Le conflit a commencé lorsqu'un utilisateur, que nous nommerons « Monsieur BA », a saisi la CNIL le 30 janvier 2023 pour dénoncer deux problèmes distincts dans les pratiques de La Poste. À l'époque, il reproche au groupe le transfert de données personnelles des utilisateurs du service Digiposte vers les États-Unis, ainsi que l'utilisation de cookies sans consentement préalable.
La CNIL, donc le gendarme des données, a d'abord examiné la plainte et est intervenue auprès de La Poste concernant les transferts de données vers les États-Unis. Puis elle a clôturé le dossier en novembre 2023.
Sur la question du transfert de données vers les États-Unis, sujet particulièrement sensible depuis l'invalidation du Privacy Shield en 2020, la CNIL semble avoir obtenu des garanties satisfaisantes de la part de La Poste, quant aux mesures de protection mises en place. Mais après le recours gracieux du plaignant, l'autorité administrative a rouvert l'instruction, et procédé à de nouvelles vérifications.
En mai 2024, la CNIL a définitivement conclu, de son point de vue, à l'absence de manquement de la part de La Poste. La Commission a notamment estimé que les cookies utilisés étaient de nature technique et qu'ils étaient donc exemptés de l'obligation de consentement préalable. Sauf qu'insatisfait, Monsieur BA a porté l'affaire devant le Conseil d'État.
Une décision qui clarifie les règles sur certains cookies pour les utilisateurs
Qu'a donc répondu le Conseil d'État ? Dans sa décision du 12 mars prise en 10ème chambre, dont Clubic a pu prendre connaissance, la juridiction a confirmé que les cookies en question servaient uniquement à l'élaboration de statistiques de fréquentation et de performance. Ils ne permettaient pas un suivi de la navigation des utilisateurs. Autrement dit, ces cookies aidaient le site à fonctionner correctement et à mesurer son efficacité, sans tracer les habitudes de navigation des internautes.
Les juges ont également validé le fait que les pages d'information de La Poste sur les cookies permettaient aux utilisateurs de faire un choix éclairé quant à leur acceptation ou refus, ce qui est conforme aux exigences légales d'information des consommateurs.
Cette décision rappelle en tout cas un principe important pour tous les internautes : ayons à l'esprit que tous les cookies ne sont pas soumis aux mêmes règles. Certains, indispensables au fonctionnement technique d'un site, peuvent être déposés sans consentement explicite sur nos appareils, contrairement aux cookies publicitaires ou de traçage, qui nécessitent votre accord préalable.
La CNIL, sollicitée ici comme premier recours en cas de doute sur le respect de vos données personnelles, a très bien joué son rôle. L'affaire confirme aussi que la justice administrative peut être évidemment saisie si vous n'êtes pas d'accord et décidez de contester une décision de la CNIL, même si les tribunaux tendent à respecter l'expertise technique de cette autorité.
13 mars 2025 à 19h31
