Le Conseil d’État a rendu son verdict dans le conflit entre l’interprofession publicitaire et la Commission nationale de l'informatique et des libertés (Cnil). C’est une victoire pour vous ?
Étienne Drouard. Il n’y a aucun triomphalisme à avoir d’un côté ou de l’autre. C’est une victoire du droit sur les croyances, avec des clarifications utiles. Parmi les points abordés par le rapporteur public Alexandre Lallet, le Conseil d’État a validé la compétence de la Cnil pour réglementer le cookie, en présumant qu’il relève de la protection des données personnelles car rattaché à un identifiant stocké dans un terminal. Si la Cnil est compétente à propos des données personnelles, la question se posait sur les cookies. Par un raisonnement juridique fondé sur les pouvoirs de sanction de la Cnil, le Conseil d’État relève qu’il n’y a pas de raison de dissocier les cookies du reste de la loi Informatique & Libertés de 1978 et affirme sa compétence. Mais ce raisonnement permettrait alors d’en déduire que la Cnil ne serait pas compétente en matière de données de localisation, régies par une autre loi. Mais une autre question portait sur l’interdiction par la Cnil des « cookie walls » : subordonner l’accès au contenu d’un site internet au consentement de l’utilisateur à l’égard des cookies. Le Conseil d’État a invalidé cette interdiction de principe, avec des conclusions très argumentées. Selon moi, il n’y a pas de gagnant ou de perdant, juste des clarifications qui distinguent ce qui est interdit de ce qui ne l’est pas.
Sur les cookie walls justement, le raisonnement apporte de nouvelles choses, non ?
Oui, pour la première fois, plutôt que de parler de l’interdit, le rapporteur évoque ce qui est permis. Cela va aider l’interprofession dans ses choix futurs. La Cnil estimait que les cookie walls ne respectaient pas l’exigence de liberté du consentement posée dans le RGPD. Qu’en restreignant l’accès au dit-site, l’internaute était contraint d'accepter les cookies. Mais le Conseil d’État est parti du principe que “consentir” consistait à choisir face à une alternative. Et que le RGPD n’interdisait pas de proposer d’autres voies d’accès au contenu. En considérant la récolte de données comme une valeur transactionnelle, le site peut proposer des alternatives : créer un compte, acheter un article, s’abonner etc. La directive « Consommation » de novembre 2019 prévoit déjà que l’accès à un service contre des données personnelles est un contrat licite. Les sites du Spiegel ou du Zeite proposent cela depuis des mois... et ce serait interdit par le RGPD, mais uniquement en France ? Pour la première fois, c’est écrit et expliqué par une décision de justice nationale.
Ce point est très important pour vous ?
Oui, car cela clarifie le rôle de la Cnil. Un régulateur n’est pas un législateur. Le législateur définit ce qui est interdit, le régulateur ce qui est sanctionné ou permis. Cette décision reconnait le rôle de la publicité dans le financement des éditeurs en ligne et du caractère transactionnel de la donnée. À 95%, les éditeurs purement électroniques vivent de la publicité. On parle bien de contrepartie à un service. Ces conclusions sont un nouvel espoir pour un internet ouvert qui ne privilégie pas la vie privée du riche sur celle du pauvre.
