Pour la justice européenne, avant comme après le 25 mai 2018, entrée en vigueur du RGPD, une case précochée ne peut valoir consentement à l’enregistrement des cookies. C'est ce qu'il ressort d'un arrêt rendu le 1er octobre 2019 .

Vous arrivez sur un site. Un bandeau vous informe du mitraillage de cookies sur votre appareil connecté. Par curiosité, vous fouillez les « paramètres avancés », voire « la liste des partenaires autorisés » et découvrez un déluge de cases précochées. Légal, pas légal ?

Depuis l’entrée en vigueur du règlement général sur la protection des données personnelles, cela ne fait plus de doute : c’est illicite, tant le « consentement » (et donc l’accord) doit être explicite. Mais pour la période précédente ? Lundi, la Cour de justice de l'Union européenne a rendu un arrêt éclairant.

En septembre 2013, la société Planet49 organisait un jeu sur le site dein-macbook.de. Les candidats devaient évidemment remplir un formulaire. La case d’exploitation de leurs données personnelles à des fins publicitaires était décochée, mais une seconde case était, elle, cochée par défaut.

Première case (décochée) :

« J’accepte que des sponsors et partenaires m’informent par voie postale, par téléphone, par courrier électronique ou par message SMS de promotions dans leur domaine d’activité respectif. Je peux les déterminer ici moi-même faute de quoi l’organisateur les sélectionnera. Je peux revenir à tout moment sur mon acceptation. Pour plus d’informations à ce sujet, ici. »

Seconde case (cochée par défaut) :

« J’accepte que le service d’analyse du web Remintrex soit mis en œuvre chez moi. En conséquence, l’organisateur du jeu promotionnel, [Planet49], installera des cookies après avoir été agréé pour le jeu promotionnel, ce qui lui permettra d’exploiter par Remintrex mes navigations sur le web et mes visites sur les sites web des partenaires publicitaires et d’adresser de la publicité centrée sur mes intérêts. Je peux supprimer les cookies à tout moment. Lire les détails ici. »

« Il n’était possible de participer au jeu promotionnel qu’après avoir coché, à tout le moins, la première case à cocher » détaille la cour, qui prévient aussi qu’un lien menait vers une liste d’une soixantaine de partenaires. Et l’internaute devait sélectionner individuellement chacun d’eux pour éviter que ses données personnelles soient exploitées par ces tiers. À défaut, Planet49 s’accordait le droit de choisir 30 sponsors.

Le lien relatif aux cookies donnait des informations sur les finalités de ces traceurs, à charge pour l’internaute désireux de s’y opposer de modifier les paramètres de son navigateur. Par contre, pour revenir sur son accord, il était nécessaire d’adresser un courrier au service clientèle. Un vrai parcours du combattant.

Outre-Rhin, la Fédération des organisations de consommateur avait attaqué cette forme de « cookie wall », avant que le dossier ne remonte jusque devant la justice européenne.

Quand le traceur bat le beurre