Payer pour éviter les cookies, une pratique pas si légale

Est-ce légal de demander aux internautes de payer une petite somme chaque mois, comme deux euros, pour ne pas avoir de cookies publicitaires ciblés ? Tandis qu’en France la réponse est toujours au cas par cas, la CNIL belge vient de sanctionner le groupe Roularta d’une amende 50 000 euros.

Cette première à l'échelle européenne pourrait faire jurisprudence.

Cette décision de l'autorité de protection des données belge s'explique par deux raisons. Plus de soixante cookies étaient déposés sur les deux sites de presse détenus par Roularta avant toute demande de consentement de l’internaute et surtout le groupe avait utilisé un « cookie wall » laissant le choix d’accepter des cookies publicitaires personnalisés ou de payer un abonnement pour éviter ces cookies.

« Les manquements constatés dans ce dossier portent sur des piliers du règlement général de protection des données personnelles (RGPD), comme l'information de la personne concernée et la validité de la base légale utilisée pour traiter les données. Les cookies sont omniprésents sur internet, il est donc essentiel pour la protection des données des utilisateurs en ligne qu'ils soient placés par les éditeurs de sites de manière transparente, et en adéquation avec les règles en vigueur », a expliqué Hielke Hijmans, le président de la chambre contentieuse de l'autorité de protection des données, dans un communiqué.

Le cas par cas français

En France, la Commission nationale de l'informatique et des libertés (Cnil) s’est d’abord opposée à cette pratique dans ses lignes directrices sur les cookies et traceurs de juillet 2019. D’après l’autorité indépendante « l’internaute ne devait pas subir d’inconvénients majeurs en cas d’absence ou de retrait du consentement » et l’accès à un site internet ne devrait pas être subordonné à l’acceptation de cookies.

Toutefois, le 19 juin 2020, le Conseil d’Etat, saisi de la question, a limité le caractère systématique de cette interdiction. Selon les juges administratifs la Cnil ne peut légalement interdire les « cookie wall » dans ses lignes directrices.

Pourtant, le Comité européen de protection des données personnelles (CEPD) reconnaît que cette pratique est contestable. Des alternatives équitables doivent être proposées par le même fournisseur de service et ce indépendamment du secteur d’activité et du modèle économique de l’éditeur. En conséquence, pour le moment la Cnil décide au cas par cas.

La décision de l’autorité belge, si elle est suivie par d'autres Cnil d'États membres, pourrait pousser le groupement des Cnil européennes, le G29, d'éclairer ce point. Aussi, mieux vaut éviter dès à présent de mettre en place une telle pratique.