Le Conseil d'État a rejeté la demande de plusieurs associations, dont la Quadrature du Net, de mettre fin au délai d'un an accordé par la CNIL aux sites Web, afin qu'ils se mettent en conformité avec le RGPD. Durant cet intervalle, il est donc toujours autorisé de recueillir le consentement des internautes de façon implicite, pour suivre leur activité via des cookies.
Retour en arrière : en mai 2018, est entré en vigueur le RGPD dans l'Union européenne. Pour mieux protéger les internautes, le nouveau règlement imposait notamment aux sites Web souhaitant déposer des cookies sur la machine de leurs visiteurs d'obtenir leur consentement explicite, manifestant leur « volonté libre, spécifique, éclairée et univoque ». Mais encore fallait-il que le RGPD soit véritablement appliqué, État par État.
Pas de sanction durant une période de transition allant jusqu'à l'été 2020
En France, c'est le cas depuis juillet dernier, avec les recommandations publiées par la Commission nationale de l'informatique et des libertés (CNIL), définissant les nouvelles règles relatives au consentement vis-à-vis de la publicité ciblée. Mais pour ne pas brusquer les acteurs présents en ligne, l'autorité a décidé d'initier une concertation, censée déboucher sur une liste de modalités pratiques, au premier trimestre 2020. Et elle a annoncé qu'elle ne sanctionnerait pas les sites contrevenant aux nouvelles règles pendant ce laps de temps, et même durant les six mois suivants.Cette temporisation n'a pas été du goût de plusieurs associations de défense des libertés individuelles, parmi lesquelles la Quadrature du Net. Celles-ci ont alors attaqué la décision de la CNIL devant le Conseil d'État, qui a rendu son verdict hier.
L'abandon de la CNIL ?
Et l'institution a rejeté la demande des associations. Elle a estimé que le délai d'un an constituait une période de transition raisonnable pour la mise en conformité des sites web. Elle a également indiqué que la CNIL conservait la possibilité de prononcer des sanctions en cas de manquements graves et rappelé qu'il existait, par ailleurs, d'autres autorités judiciaires compétentes pour punir les infractions (juge pénal ou civil).Ce dernier argument a particulièrement interpellé la Quadrature du Net, qui a publié sa réaction. L'association a bien sûr regretté le jugement du Conseil d'État, le considérant inéquitable vis-à-vis des entreprises ayant déjà investi pour se conformer au RGPD. Mais au-delà de ces considérations, l'organisation s'interroge sur le rôle joué aujourd'hui par la CNIL.
Car s'il faut se tourner directement vers la justice en cas d'atteinte à la vie privée, à quoi sert encore l'autorité administrative ? La Quadrature du Net estime ainsi assister à la démission de la CNIL, une théorie corroborée par d'autres manifestations d'impuissance, comme dans le cas du recours à la reconnaissance faciale (Alicem, entre autres).
Pour l'association, la décision du Conseil d'État témoigne donc avant tout du déclin de la CNIL. Et cette décadence pourrait faire peser une menace sur nos libertés individuelles.
Source : Conseil d'État
