Cookies : pour la CJUE, une case pré-cochée ne correspond pas à un consentement valable

© Pixabay

La Cour de justice de l'Union européenne a rendu un arrêt, le 1er octobre 2019, dans lequel elle tranche sur la validité du consentement à la ponction et au stockage de données personnelles via une simple case d'acceptation de cookies.

Le 24 septembre 2013, la société allemande Planet49, qui propose des jeux en ligne, avait organisé un jeu promotionnel en ligne a priori banal. Sur la page de ce dernier, elle avait disposé une case cochée par défaut par laquelle les participants pouvaient donner leur accord à l'intégration de cookies. Cette pratique a été contestée la fédération allemande des associations de consommateurs devant la Bundesgerichtshof (Cour fédérale de justice d'outre-Rhin), qui a ensuite saisi la Cour de justice de l'Union Européenne (CJUE).

Cocher une case par défaut est insuffisant

Interrogée par le juge allemand à interpréter le droit de l'Union concernant la protection de la vie privée dans le cadre de la communication électronique, la CJUE a décidé, dans son arrêt du 1er octobre 2019, qu'une case cochée par défaut n'est pas suffisante pour valider le consentement de l'internaute.


Concrètement, pour la Cour, le fait de cocher une case par défaut pour donner l'autorisation à la société émettrice du jeu de stocker ou d'accéder à des informations liées à l'équipement de l'utilisateur - que ces informations constituent ou non des données à caractère personnel - ne suffit pas à rendre le consentement valable.

La CJUE pose les conditions pour un consentement valable

La juridiction européenne précise clairement que l'activation du bouton de participation au jeu promotionnel ne suffit pas pour considérer que l'utilisateur a donné son consentement au placement des cookies sur son ordinateur. Pour que l'on considère qu'il y a un véritable consentement du participant, la Cour de justice de l'Union européenne estime que les informations transmises par l'éditeur du jeu à l'utilisateur doivent comprendre la durée de fonctionnement des cookies installés ainsi que la possibilité ou non pour des tiers d'avoir accès à ces cookies.


Pour motiver sa décision, qui vient clore de manière définitive, précisons-le, la question de l'expression du consentement au stockage et à l'utilisation de cookies, la CJUE s'est fondée sur plusieurs directives, dont la fameuse directive du 27 avril 2016, que l'on connaît mieux sous le nom de Règlement général sur la protection des données, dit le RGPD.