Archives par mot-clé : Cnil

Protection des données : après 5 ans de mise à l’épreuve du RGPD, son réexamen sera le bienvenu

Publié le par

En attendant le réexamen en 2024 du règlement sur la protection des données (RGPD), les entreprises peinent à remplir certaines de leurs obligations, comme celle de transparence envers les utilisateurs, et doivent faire face au détournement du droit d’accès aux données et à la déferlante de l’IA.

Par Sandra Tubert, avocate associée, Algo Avocats

Entré en application le 25 mai 2018, deux ans après son entrée en vigueur afin de laisser aux entreprises le temps nécessaire pour se mettre en conformité, le règlement européen sur la protection des données (RGPD) affichait des objectifs ambitieux (1). La couverture médiatique dont il a fait l’objet a permis de sensibiliser les Européens à la protection de leurs données à caractère personnel, mais également au RGPD de s’imposer comme une référence pour les Etats étrangers ayant adopté une loi similaire. Pour autant, avec un recul d’un peu plus de cinq ans, le RGPD peine à remplir pleinement certains des objectifs fixés.

Internautes concernées mieux informés
Dans la lignée de la directive « Protection des données personnelles » de 1995 qui l’a précédée (2), le RGPD n’a pas choisi la voie de la patrimonialisation des données à caractère personnel. Le législateur européen n’a en effet pas créé de droit à la propriété sur les données à caractère personnel, mais s’est plutôt orienté vers une approche de protection des données permettant aux personnes concernées d’avoir une certaine maîtrise de l’utilisation faite de leurs données à caractère personnel. Deux objectifs principaux ont été associés à cette approche : renforcer la transparence sur les traitements réalisés et fournir des droits supplémentaires aux personnes concernées. C’est ainsi que le RGPD est venu renforcer l’obligation faite aux responsables du traitement de fournir une information détaillée sur les traitements mis en œuvre (3). L’objectif affiché était louable : une transparence accrue afin de permettre aux individus de comprendre en amont l’utilisation envisagée de leurs données par les entreprises et ainsi d’en avoir la maîtrise en leur laissant la possibilité d’effectuer un choix éclairé : refuser la communication de leurs données, s’opposer à certains traitements, ou bien encore donner leur consentement à la réalisation de certaines activités.
En pratique, les entreprises ont l’obligation de fournir l’intégralité des informations prévues par le RGPD de façon concise, transparente, compréhensible et aisément accessible, en utilisant des termes clairs et simples. Or répondre à ces impératifs de manière conforme à ce qui est attendu par les autorités de contrôle – comme la Commission nationale de l’informatique et des libertés (Cnil) en France – est l’une des premières difficultés que cinq ans de pratique du RGPD ont fait émerger. En effet, les organisations ont des difficultés à concilier les exigences de fourniture d’une information exhaustive et très technique – notamment concernant les bases légales du traitement et les garanties fondant les transferts des données hors de l’Union européenne (4) – avec celles de clarté et de concision. Ainsi, au titre des effets pervers de cette obligation de transparence accrue, les citoyens européens font face à des politiques de confidentialité toujours plus longues, rédigées en des termes trop techniques ou trop juridiques. De l’autre côté, les autorités de protection des données n’hésitent pas à sanctionner les manquements à cette obligation, puisque le « défaut d’information des personnes » figure parmi les manquements les plus fréquemment sanctionnés par la Cnil (5).
Cette obligation a été couplée à la fourniture de droits supplémentaires aux personnes, toujours dans une optique de leur offrir une meilleure maîtrise de leurs données. En pratique, le RGPD a repris les droits existants depuis la directive « Protection des données personnelles » (droits d’accès, de rectification, d’opposition), consacré le droit d’effacement (6) et créé de nouveaux droits (droits à la limitation du traitement et à la portabilité des données). La sensibilisation du grand public à l’existence de ces droits, grâce notamment aux actions de la Cnil et au traitement médiatique, ont eu pour effets la réception, par les entreprises, de demandes fondées sur les droits issus du RGPD de plus en plus nombreuses. Par ricochet, les autorités de protection des données ont, elles aussi, vu le nombre de plaintes déposées auprès de leurs services augmenter considérablement (7). Ainsi, la Cnil a reçu 12.193 plaintes en 2022 contre 7.703 en 2016. L’objectif fixé par le RGPD semble donc atteint sur ce point.

Droit d’accès : instrumentalisation
Néanmoins, ces dernières années ont également été témoin du détournement du droit d’accès, aussi bien dans la sphère sociale que commerciale. En effet, les entreprises reçoivent de plus en plus de demandes de droit d’accès dont l’objectif n’est pas de vérifier l’existence et la licéité du traitement des données, mais au contraire de se constituer des preuves dans le cadre d’un précontentieux ou d’un contentieux à l’encontre de l’entreprise. Cette instrumentalisation est parfaitement connue des autorités qui ont toutefois réaffirmé (8) que, dans le cadre de l’évaluation des demandes reçues, le responsable du traitement ne devait pas analyser l’objectif du droit d’accès en tant que condition préalable à l’exercice de ce droit et qu’il ne devait pas refuser l’accès au motif que les données demandées pourraient être utilisées par la personne pour se défendre en justice. Les entreprises n’ont ainsi d’autres choix que de donner suite à ces demandes, en restreignant la nature des données communiquées aux seules données relatives à la personne concernée et en veillant à ne pas porter atteinte aux droits des tiers (9).

Des obligations de sécurité renforcées
La protection des données à caractère personnel passant nécessairement par la sécurité de celles-ci, le RGPD est venu renforcer les obligations à la charge des entreprises au moyen de deux mécanismes assez efficaces : • l’obligation pour les responsables du traitement de notifier les violations de données aux autorités de contrôle (10), voire directement aux personnes concernées, respectivement lorsqu’elles présentent des risques ou des risques élevés pour les personnes; • l’obligation pour les responsables du traitement et les sous-traitants (11) de mettre en œuvre des mesures de sécurité appropriées aux risques présentés par le traitement.
Il est assez difficile de déterminer si les objectifs de sécurisation des données fixés par le RGPD sont atteints. Néanmoins, dans un contexte où les attaques par rançongiciel (ransomware) se multiplient chaque année (12), les autorités de contrôle sont particulièrement vigilantes quant au respect de ces deux obligations. En témoigne notamment le fait qu’en 2022, un tiers des sanctions prononcées par la Cnil concernait un manquement à l’obligation de sécurité. Ce même manquement a conduit cette dernière à prononcer sa première sanction publique à l’encontre d’un sous-traitant (13), un éditeur de logiciel, pour un montant de 1,5 million d’euros. Elle n’a pas non plus hésité à sanctionner une entreprise qui n’avait pas informé les personnes concernées de la violation de données intervenue, alors qu’elle présentait un risque élevé pour ces dernières.
Sur le respect de l’obligation de notification des violations de données, il est assez difficile de tirer de réels enseignements des chiffres disponibles, même si l’on constate des disparités importantes quant au nombre de notifications de violation de données réalisées chaque jour en fonction des pays. A titre d’exemple, il y a environ 14 notifications par jour en France, contre 27 notifications par jour au Royaume-Uni.
Cette disparité se retrouve également dans le nombre de sanctions prononcées chaque année par les autorités de contrôle et l’approche suivie par ces dernières. Si l’autorité espagnole prononce énormément de sanctions, l’autorité irlandaise est régulièrement épinglée (y compris par ses homologues) pour sa clémence et le peu de sanctions prononcées depuis l’entrée en application du RGPD, alors même qu’elle fait office d’autorité chef de file de la plupart des GAFAM (14). C’est finalement sur ce point que le RGPD peine à convaincre et à remplir pleinement ses objectifs, à savoir inciter les entreprises à se mettre en conformité au moyen d’un arsenal répressif dissuasif. En effet, à l’exception des quelques fortes sanctions (dont la dernière en date de 1,2 milliard d’euros à l’encontre de Meta), prononcées principalement à l’encontre des GAFAM et des géants du Net, les sanctions à l’encontre des sociétés sont moins fréquentes que ce qui était escompté par les associations de protection des données. Et les montants des sanctions financières sont assez éloignés des montants maximums encourus (4 % du chiffre d’affaires mondial consolidé). En France, en dehors des sanctions prononcées à l’encontre des GAFAM (dont beaucoup pour des manquements en matière de cookies, non régulés par le RGPD) et très récemment de Criteo (40 millions d’euros), le montant des sanctions prononcées par la Cnil sur le fondement du RGPD oscille depuis cinq ans entre 125.000 et 3 millions d’euros (15).
L’association Noyb (16), à l’origine de nombreuses sanctions prononcées en Europe au cours des cinq dernières années, dénonce une certaine résistance des autorités de contrôle et des tribunaux nationaux dans l’application effective du RGPD (17). Elle appelle à suivre l’initiative de la Commission européenne d’adopter un règlement sur les règles de procédure relatives à l’application du RGPD (18), ce qui permettrait selon Noyb d’uniformiser l’approche procédurale des autorités et ainsi de favoriser une meilleure application du RGPD.
Par ailleurs, si les entreprises ont pu craindre la multiplication des actions de groupe en matière de protection des données, cette modalité d’action est à l’heure actuelle peu utilisée par les associations de protection des données. En France, seulement deux actions de groupe ont été portées devant les juridictions : l’ONG Internet Society France contre Facebook et l’association UFC-Que-Choisir contre Google. Ce qui pourrait changer au regard des dernières annonces faites par Noyb suite à l’entrée en application des dispositions issues de la directive « Recours collectifs » de 2020 (19).

Vers un réexamen du RGPD en 2024
Enfin, le paysage législatif européen pourrait également avoir un impact sur l’application du RGPD. En effet, plusieurs textes européens adoptés récemment (DSA, DGA) ou en cours d’adoption (DA, AIA) ont des champs d’application recoupant celui du RGPD, ce qui va notamment nécessiter de veiller à garantir leurs bonnes articulations. A cette occasion, ou au titre de l’article 97 du RGPD (réexamen tous les 4 ans à compter du 25 mai 2020), il serait souhaitable de voir le législateur européen adresser certaines des difficultés rencontrées par les entreprises dans la mise en application pratique du RGPD. @

L’Italie bouscule la France en interdisant ChatGPT

Publié le par

En fait. Le 31 mars, la « Cnil » italienne – la GPDP – a adopté une décision à l’encontre de la société américaine OpenAI, éditrice de l’intelligence artificielle ChatGPT, en interdisant temporairement ce robot conversationnel. En France, la Cnil a finalement reçu début avril deux plaintes contre cette IA.

En clair. Edition Multimédi@ relève que la Commission nationale de l’informatique et des libertés (Cnil) a eu – lors de sa séance plénière du 9 février – une démonstration de ChatGPT (1). Depuis, c’était « silence radio ». Jusqu’à cette décision du 31 mars dernier de son homologue italienne, la GPDP, interdisant dans la péninsule le robot conversationnel de la société californienne OpenAI, laquelle a jusqu’au 20 avril pour « se conformer à l’ordonnance, sinon une amende pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial total pourra être imposée » (2).
En France, la Cnil est donc sortie de son silence : « Sur les bases d’apprentissage et les IA génératives, l’objectif de la Cnil est de clarifier le cadre légal dans les prochains mois », a-t-elle indiqué le 1er avril à Marc Rees, journaliste juriste à L’Informé. L’autorité française de la protection des données lui a précisé ce jour-là qu’elle « n’a pas reçu de plainte » contre ChatGPT et n’a « pas de procédure similaire en cours » (3). Mais le 5 avril, deux premières plaintes contre OpenAI sont révélées (4). La Cnil dit « s’[être] rapprochée de son homologue italienne afin d’échanger sur les constats qui ont pu être faits ». Elle n’est bien sûr pas la seule, d’autant que toutes les « Cnil » des Vingt-sept sont compétentes pour « instruire » le cas ChatGPT. « OpenAI n’a pas d’établissement dans l’Union européenne ; donc le mécanisme du guichet unique ne lui est pas applicable. Il n’y a de ce fait pas d’autorité cheffe de file », indique à Edition Multimédi@ le Comité européen de la protection des données (EDPB) – réunissant à Bruxelles les « Cnil » des Vingt-sept sous la houlette de la Commission européenne. Il nous a répondu que son programme de travail 2023-2024 prévoit des « lignes directrices sur l’interaction entre le règlement sur l’IA [Artificial Intelligence Act, ndlr] et le RGPD [règlement général sur la protection des données] » (5).
L’AI Act devrait être voté d’ici fin avril par Parlement européen (6), d’après le commissaire européen au Marché intérieur, Thierry Breton, qui est intervenu le 3 avril sur Franceinfo. « Tout ce qui sera généré par l’IA devra obligatoirement être signalé comme étant fait par une intelligence artificielle », a-t-il prévenu. L’Europe, elle, n’a d’ailleurs pas de champion de l’IA générative. Une nouvelle colonisation numérique… @

Assistants vocaux : voici un marché sur lequel l’Autorité de la concurrence devrait s’autosaisir

Publié le par

« Ok Google », « Alexa », « Dis Siri », « Hi Bixby » … Dites-nous si vous êtes sur un marché suffisamment concurrentiel et si vos écosystèmes sont ouverts et interopérables, voire transparents pour vos utilisateurs dont vous traitez les données personnelles ?

C’est à se demander si l’Autorité de la concurrence ne devrait pas s’autosaisir pour mener une enquête sectorielle sur le marché des assistants vocaux et autres agents conversationnels, tant la concentration aux mains d’une poignée d’acteurs – principalement Google avec Google Assistant, Amazon avec Alexa ou encore Apple avec Siri – et l’enfermement des utilisateurs dans ces écosystèmes posent problème. Contacté par Edition Multimédi@, le gendarme de la concurrence nous a répondu : « Nous ne communiquons jamais sur l’existence d’éventuels dossiers à l’instruction ».

Un « oligopole puissant » (rapport CSPLA)
L’Autorité de la concurrence s’est déjà autosaisie sur la publicité en ligne « search » (2010) et « display » (2019), sur les fintechs (2021) ou encore sur le cloud (2022). Pour l’heure, c’est le Conseil supérieur de la propriété littéraire et artistique (CSPLA) qui s’est penché sur ce marché des assistants vocaux à travers un rapport (1) adopté lors de sa séance plénière du 16 décembre dernier. « Ce rapport n’a pas fait, à ma connaissance, l’objet d’une transmission officielle à l’Autorité de la concurrence », nous indique le conseiller d’Etat Olivier Japiot, président du CSPLA. Mais gageons que les sages de la rue de l’Echelle en ont pris connaissance.
Les trois coauteures – deux professeures et une chercheuse – Célia Zolynski (photo de gauche), professeure à l’université Paris-Panthéon Sorbonne, en collaboration avec Karine Favro (photo du milieu), professeure à l’université de Haute-Alsace, et Serena Villata (photo de droite), chercheuse au CNRS – dressent un état des lieux inquiétant au regard du droit de la concurrence et des droits des utilisateurs. Elles pointent du doigt la constitution d’un marché oligopolistique : « Concernant l’accès au marché, l’effet réseau est particulièrement développé sur le marché des assistants vocaux en ce qu’il influence les négociations entre les différents acteurs d’un marché déployé en écosystème. Les acteurs structurants occupent des positions stratégiques en la forme d’oligopole puissant mais surtout, en capacité de faire adhérer les entreprises utilisatrices à leur environnement. Ces acteurs [peuvent] filtrer les contenus, ce qui tient à la nature de moteur de résultat de l’assistant vocal ». Ce n’est pas la première fois qu’une étude considère les assistants vocaux dans une situation d’oligopole, puisque le rapport du CSPLA fait référence à l’analyse de la chercheuse russe Victoriia Noskova, à l’université technologique d’Ilmenau en Allemagne. Publié dans le European Competition Journal le 10 octobre dernier, son article – intitulé « Les assistants vocaux, les gardiens [gatekeepers, dans le texte, ndlr] de la consommation ? Comment les intermédiaires de l’information façonnent la concurrence » – démontre au moins deux choses au regard du règlement européen Digital Markets Act (DMA) : que « les assistants virtuels en tant que gatekeepers de la consommation [contrôleurs d’accès aux contenus, ndlr] devraient être énumérés dans la liste des services de base [services de plateforme essentiels, ndlr] », ce qui a été finalement pris en compte dans la liste des services de plateforme essentiels (core platform services)du DMA (2) ; que « certaines des obligations doivent être adoptées pour s’adapter aux particu-larités des assistants virtuels » (3). Amazon avec Alexa, Google avec Google Assistant ou encore Apple avec Siri ont d’ailleurs rencontré un réel succès mondial grâce à leurs enceintes connectées respectives : Echo pour Amazon, Google Home pour la filiale d’Alphabet ou encore HomePod pour Apple (4). Le CSA et l’Hadopi (devenus depuis l’Arcom) avaient aussi estimé en 2019 – dans leur rapport sur les assistants vocaux et enceintes connectées (5), réalisé en concertation avec l’Autorité de la concurrence, l’Arcep et la Cnil (et cité par le CSPLA) – que « la position d’intermédiaire des exploitants d’assistants vocaux, entre éditeurs et utilisateurs, et leur puissance leur confèrent la possibilité de capter une part importante de la valeur et d’en imposer les conditions de partage (commissions sur les ventes ou sur les recettes publicitaires, niveau de partage des données d’usages, etc.) ».

Lever les restrictions et l’autopréférence
Les trois auteures missionnées par le CSPLA ont en particulier examiné « les points névralgiques qui permettront un accès non discriminatoire et équitable au marché de manière à garantir la liberté de choix de l’utilisateur ». Elles préconisent « une démarche en trois temps » : lever les restrictions liées à « l’autopréférence » des opérateurs d’assistants vocaux qui privilégient leurs propres services ; imposer l’interopérabilité des systèmes et des applications pour assurer le pluralisme et la liberté de choix (désabonnement ou droit de sortie) ; garantir à l’utilisateur un droit d’accès aux données techniques (paramétrage) et aux siennes jusqu’à la portabilité de ses données. @

Charles de Laubier

Copié par les géants du Net, le réseau social audio Clubhouse persévère au bout de trois ans

Publié le par

En mars, cela fera trois ans que la société californienne Alpha Exploration Co a lancé le réseau social audio Clubhouse. Après avoir fait parler de lui, surtout en 2021, cette agora vocale est retombée dans l’oubli. Copiée par Facebook, Twitter, LinkedIn ou Spotify, l’appli tente de rebondir.

La pandémie de coronavirus et les confinements avaient fait de Clubhouse l’application vocale du moment, au point d’atteindre en juin 2021 un pic de 17 mil- lions d’utilisateurs actifs par mois. Deux mois plus tôt, Twitter faisait une offre de 4 milliards de dollars pour l’acquérir. C’est du moins sa valorisation à l’époque après une levée de fonds qui avait porté à 110 millions sa collecte auprès d’investisseurs, dont la société de capital-risque Andreessen Horowitz (1). Mais les discussions entre la licorne Alpha Exploration Co et l’oiseau bleu n’aboutirent pas.

Entre marteau (Big Tech) et enclume (Cnil)
Depuis, d’après la société d’analyse SensorTower, les installations de l’appli (sur Android ou iOS) ont chuté de plus de 80 % depuis son heure de gloire. Disruptif à ses débuts, Clubhouse a très vite été copié par Twitter avec « Spaces », Facebook avec « Live Audio Rooms », LinkedIn avec « Live Audio Events » ou encore Spotify avec « Live » (ex-Greenroom). Snapchat avait subi les conséquences de ce copiage, tout comme BeReal aujourd’hui. Clubhouse sera-t-il racheté par un géant du Net avant d’être fermé, à l’image de Periscope après son rachat en mars 2015 par Twitter ?
Alpha Exploration Co a dû aussi se battre en Europe. Les gendarmes des données personnelles et de la vie privée avaient mis sous surveillance Clubhouse. Cela a abouti en Italie à une amende de 2 millions d’euros infligée en décembre 2022 par la « Cnil » italienne, la GPDP, qui lui a reproché de « nombreuses violations : manque de transparence sur l’utilisation des données des utilisateurs et de leurs “amis” ; possibilité pour les utilisateurs de stocker et de partager des enregistrements audio sans le consentement des personnes enregistrées ; profilage et partage des informations sur les comptes sans qu’une base juridique correcte ne soit trouvée ; temps indéfini de conservation des enregistrements effectués par le réseau social pour lutter contre d’éventuels abus » (2). En France, la Cnil avait ouvert de son côté une enquête dès mars 2021 après avoir été saisie d’une plainte à l’encontre de Clubhouse qui était aussi la cible d’une pétition (3). « Les investigations sont désormais clôturées après plusieurs échanges avec la société [Alpha Exploration Co], indique la Cnil à Edition Multimédi@. Nous restons évidemment vigilants sur les traitements de données à caractère personnel qu’elle met en œuvre, en particulier en cas de nouvelles plaintes ». Pour tenter de se démarquer des Big Tech « copieuses », Clubhouse a fait de son mieux pour offrir une meilleure expérience audio en direct, en ajoutant des fonctionnalités comme le sous-titrage en temps réel et la diffusion audio de haute qualité. Il y a un an, a été ajoutée une messagerie instantanée – des chats – pour ceux qui veulent participer aux discussions mais sans prendre la parole. Cet « in-room chat » (écrits et/ou émoji en direct) permet à ceux qui ne se sentent pas à l’aise à l’oral de participer quand même – « parce que même sur Internet, le trac existe » (4). Clubhouse a aussi lancé Wave pour entamer des échanges plus rapidement autours de « petits moments intimes ou spéciaux » (5). Mais c’est surtout le lancement de Houses qui marque un tournant pour Clubhouse : chacun peut créer son propre « clubhouse » privé. Cette fonctionnalité fut annoncée par le cofondateur Paul Davison (photo de gauche) dans un tweet le 4 août 2022 : « Grande nouvelle 🙂 @clubhouse se divise… en plusieurs clubs. C’est une énorme évolution de l’application sur laquelle @rohanseth [Rohan Seth, l’autre cofondateur (photo de droite), ndlr], l’équipe et moi travaillons depuis des mois » (6).
Autrement dit, chaque utilisateur peut devenir l’administrateur où il instaure ses propres règles. Pour attirer les participants dans sa « maison », le « clubhouseur » dispose d’icônes pour indiquer les sujets (« topics ») abordés. La variété des thèmes a été étoffée depuis le 6 février dernier (7). C’est un change- ment stratégique d’Alpha Exploration Co, alors que – jusqu’au lancement de Houses – Clubhouse était un espace ouvert mais sur invitations seulement en fonction d’intérêts communs. Le réseau social devenu à la fois audio et textuel permet de créer des espaces privés avec des connaissances personnelles.

Des licenciements et des recrutements
Clubhouse se veut moins élitiste et plus démocratisé. Après être sorti d’abord sous iOS uniquement, l’appli a été rendue disponible seulement en mai 2021 sous Android (pourtant le système d’exploitation le plus répandu au monde), puis depuis janvier 2022 en version web (8). Ce changement de stratégie a amené la licorne à licencier du personnel, selon Bloomberg en juin dernier (9), dont la journaliste Nina Gregory qui était responsable de l’information et éditeurs média. Mais depuis, Alpha Exploration Co cherche toujours à recruter (10) mais des profils ingénieurs logiciel, « data scientist » et designers. @

Charles de Laubier

Cookies et consentement des internautes : les leçons à tirer des récentes sanctions de la Cnil

Publié le par

En décembre 2021 et en décembre 2022, la Cnil a sanctionné Google, Facebook, TikTok, Apple, Microsoft et Voodoo d’une amende allant de 3 millions à 90 millions d’euros. Il leur est reproché de ne pas faciliter aux internautes le refus des cookies publicitaires aussi facilement que leur acceptation.

Par Vanessa Bouchara et Florian Viel, cabinet Bouchara Avocats

Pour la seconde année consécutive, le mois de décembre aura été riche en décisions rendues par la Commission nationale de l’informatique et des libertés (Cnil) sur la thématique de la gestion des cookies. Alors que le mois de décembre 2021 voyait le gendarme de la protection des données personnelles et de la vie privée prononcer des sanctions administratives contre Google (1) et Facebook (2), ce sont en décembre 2022 les sociétés TikTok (3), Apple (4), Microsoft (5) et Voodoo (6) qui ont fait à leur tour l’objet de sanctions pour des manquements à loi française « Informatique et Libertés » dans le cadre de la gestion de leurs cookies.

Pas de consentement, pas de cookies
Google a eu une amende de 90 millions d’euros, Facebook de 60 millions d’euros, TikTok de 5 millions d’euros, Apple de 8 millions d’euros, Microsoft de 60 millions d’euros et Voodoo de 3 millions d’euros. Il ressort de toutes ces décisions deux principaux manquements récurrents que tout éditeur de site Internet ou d’application mobile devrait appréhender afin de les éviter.
Comme le rappelle la Cnil dans l’ensemble de ces décisions, « tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant : 1° de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ; 2° des moyens dont il dispose pour s’y opposer » (7). Se faisant, ces accès ou inscriptions – via l’utilisation de traceurs – ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement. Par exception à ce qui précède, il est prévu deux cas spécifiques dans lesquels certains traceurs bénéficient d’une exemption au consentement : soit lorsque ceux-ci ont pour finalité exclusive de permettre ou faciliter la communication par voie électronique, soit lorsqu’ils sont strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur (8). Ainsi, afin de déterminer si l’utilisation de cookies nécessite le recueil préalable du consentement de l’abonné ou de l’utilisateur, l’éditeur du site en ligne ou de l’application mobile doit déterminer si l’ensemble des finalités associées à ces cookies sont exemptées ou non de consentement. Comme le souligne expressément la Cnil dans ses décisions à l’encontre de respectivement Apple et de Microsoft, à l’appui de ses lignes directrices du 17 septembre 2020 (9), l’utilisation d’un même traceur pour plusieurs finalités, dont certaines n’entrent pas dans le cadre de ces exemptions, nécessite de recueillir préalablement le consentement des personnes concernées. Sans consentement, l’éditeur du service en ligne devra alors s’abstenir d’utiliser ce cookie pour la finalité non exemptée de consentement.
En effet, en considérant que les éventuelles différentes finalités fonctionnelles et non fonctionnelles d’un même cookie sont indissociables les unes des autres, l’utilisation de cette catégorie de traceurs reviendrait alors à détourner les dispositions de la loi « Informatique et Libertés » puisque le consentement de l’utilisateur ne serait plus jamais sollicité préalablement au dépôt de cookies. Par extension à ce qui précède et comme le remarque la Cnil dans sa décision à l’encontre de la société Voodoo, le refus exprès d’un utilisateur à l’utilisation de cookies pour des finalités non exemptées de consentement se doit d’être respecté par l’éditeur du service concerné, à défaut de quoi ce dernier prive d’effectivité le choix exprimé par l’utilisateur.

Aussi facile d’accepter que de refuser
Depuis l’entrée en application du RGPD, le « consentement » prévu à l’article 82 de la loi « Informatique et Libertés » précité doit s’entendre au sens du règlement général européen sur la protection des données (RGPD), c’est-à-dire qu’il doit être donné de manière libre, spécifique, éclairée et univoque, et se manifester par un acte positif clair. Dans ses décisions prononcées à l’encontre des sociétés Google, Facebook, TikTok et Microsoft, la Cnil rappelle que le considérant 42 du RGPD : « Le consentement ne devrait pas être considéré comme ayant été donné librement si la personne concernée ne dispose pas d’une véritable liberté de choix ou n’est pas en mesure de refuser ou de retirer son consentement sans subir de préjudice ». La Cnil précise par ailleurs que, comme mentionné dans ses lignes directrices et ses recommandations (10) datées du même jour, et confirmées par un arrêt du Conseil d’Etat du 19 juin 2020 (11), il doit être aussi aisé de refuser ou retirer son consentement aux traceurs que de le donner.

Inventivité des éditeurs et « dark pattern »
Le caractère « libre » du consentement implique en effet un choix et un contrôle réel pour les personnes concernées (12). Or, dès lors qu’un éditeur rend le refus d’utilisation de cookies non fonctionnels plus complexe que son acceptation, celui-ci incite l’internaute qui souhaite pouvoir visualiser le site Internet ou utiliser l’application rapidement, à accepter ces cookies en le décourageant à les refuser – viciant ainsi son consentement qui n’est plus libre. Les modalités proposées à l’utilisateur pour manifester son choix ne doivent donc pas être biaisées en faveur du consentement, comme l’indique la Cnil dans sa décision à l’encontre de Microsoft.
Par ailleurs, si le refus de l’utilisateur de consentir aux cookies peut potentiellement se déduire de son silence, c’est à la stricte condition que l’utilisateur en soit pleinement informé, et que l’équilibre entre les modalités d’acceptation et de refus soit respecté. Ainsi, si l’utilisation d’un bouton « tout accepter » est commune sur les bandeaux cookies, cette modalité de recueil du consentement de l’utilisateur ne sera licite que si l’utilisateur dispose d’un bouton « tout refuser » présent au même niveau et sur le même format, afin de ne pas altérer la liberté de son choix. La pratique encore commune des éditeurs de sites web ou d’applications mobiles d’opposer un bouton « tout accepter » à un bouton « paramétrer » ou « personnaliser » (ou équivalent), n’est donc pas licite et constitue un « dark pattern », comme l’indique la Cnil dans ses décisions à l’encontre des sociétés Facebook et Google.
A propos de ces « dark pattern », la délégation de la Cnil – qui a effectué un contrôle en ligne sur le site web « facebook.com » – mentionne d’ailleurs une étude universitaire de 2020 intitulée « Les “dark patterns” au temps du RGPD : récupération des fenêtres de consentement et démonstration de leur influence » (13). Les chercheurs – provenant notamment des universités de Cambridge et du MIT – ont démontré que 93,1 % du panel des internautes confrontés à des bandeaux cookies s’arrêtent au premier niveau et que seule une faible minorité d’entre eux vont au second niveau pour personnaliser ou refuser. Cette étude démontrait également que le fait de reléguer le bouton du refus au second niveau augmentait en moyenne de 23,1 points de pourcentage le taux de consentement aux cookies. Enfin, pour que le consentement de l’internaute soit libre, l’éditeur du site ou de l’application doit également veiller à ce que l’information relative à ses cookies et transmise à l’internaute – avant le recueil de son éventuel consentement – soit complète, visible et mise en évidence. Cette information doit en particulier porter sur les finalités poursuivies par les opérations de dépôt et de lecture des cookies, et sur les moyens dont l’utilisateur dispose pour s’y opposer. Une description générale et approximative des finalités de l’ensemble cookies non fonctionnels déposés, par l’utilisation de termes généraux tels que « améliorer votre expérience sur nos sites web » et « à des fins d’analyse et de marketing », est imprécise et constitue un manquement à la loi « Informatique et Libertés » (14), comme le mentionne la Cnil dans sa décision à l’encontre de TikTok.
Il résulte ainsi de ces six décisions, rendues par la Cnil sur les seuls mois de décembre 2021 et 2022, des rappels de règles bien établies ou en phase de l’être depuis l’entrée en vigueur du RGPD (15) – à savoir depuis le 25 mai 2018. Si ces règles sont claires, leur application n’est toutefois pas toujours l’objectif des éditeurs de sites et d’applications qui font preuve d’inventivité pour limiter la chute du taux de consentement de leur utilisateurs ou abonnés (16) à l’utilisation de cookies non fonctionnels, comme le démontre le Comité européen de la protection des données (CEPD) dans son rapport « Cookie Banner » publié le 18 janvier 2023 (17). Ces éditeurs considèrent en effet que leur intérêt à utiliser des cookies non fonctionnels, en particulier à des fins de publicités ciblées ou analytiques, prévaut sur le respect du consentement de leurs utilisateurs ou abonnés, et par extension acceptent le risque de sanctions administratives et d’actions judiciaires qui en résulte.

Sanctions plus rapides et solutions alternatives
Les modifications de la loi « Informatique et Libertés » et de son décret d’application, intervenues le 24 janvier puis le 8 avril 2022, ont pour ambition de permettre une plus grande souplesse dans le recours aux mises en demeure ou aux sanctions. Si la réforme des procédures correctrices de la Cnil (18) – permettant à celle-ci de prononcer des sanctions plus rapidement – ne sera probablement pas suffisante pour convaincre toutes les entreprises et organisations de changer leurs pratiques, le développement de solutions alternatives aux cookies non exemptés de consentement pourrait l’être. @

* Vanessa Bouchara, avocate et spécialiste en droit
de la propriété intellectuelle, a fondé
le cabinet Bouchara Avocats (www.cabinetbouchara.com).