Faire payer le refus des cookies : c’est légal, ça ?

Certaines pratiques numériques courantes restent juridiquement ambiguës pour les non-initiés. Entre usages bien ancrés, zones grises du droit et récentes évolutions réglementaires, il est difficile de savoir précisément ce qui est autorisé, toléré ou interdit. Pour y voir plus clair, BDM publie une série d’articles qui explorent la légalité de ces pratiques, avec l’éclairage d’avocats spécialisés en droit du numérique et en propriété intellectuelle.

« Accéder au site pour 2€ TTC pendant un mois sans cookie publicitaire… ou accéder au site gratuitement en acceptant les cookies publicitaires ». Ce message, qui s’affiche lors de l’ouverture de certains sites, ne surprend plus personne. Il agace, tout au plus, tant il est devenu courant.

Depuis plusieurs années, certains sites – notamment ceux des groupes Webedia et Prisma Media – conditionnent l’accès à leurs contenus à l’acceptation des cookies, ces traceurs utilisés pour la publicité ciblée. En principe, le choix est simple : soit l’on accepte que le site partage nos préférences à ses partenaires commerciaux, soit l’on paie une somme modique, souvent entre un et deux euros par mois.

La pratique, vivement critiquée, porte un nom : le cookie wall, ou mur de traceurs en français. Mais est-elle vraiment licite ? Et si oui, quelles sont les limites fixées par le RGPD et la CNIL en la matière ? BDM a posé la question à Maître Alan Walter, du cabinet Walter Billet Avocats, et à Maître Debora Cohen, du cabinet DC Avocat.

Pourquoi certains sites ont-il mis en place des cookie walls ?

Pour comprendre comment les cookie walls ont fleuri sur le web français, il faut revenir au 1er avril 2021. Ce jour-là, la Commission nationale de l’informatique et des libertés (CNIL) applique de nouvelles directives, annoncées quelques mois plus tôt, qui imposent davantage de transparence. Pour échapper à d’éventuelles sanctions, les éditeurs doivent dorénavant expliquer à quoi servent les cookies et, surtout, permettre à l’internaute de les refuser aussi facilement que de les accepter. Exit, donc, le consentement implicite : ce mécanisme qui permet jusqu’alors de considérer qu’un utilisateur, en poursuivant sa navigation, donne son accord à la collecte de données à des fins publicitaires. Un flou qui assurait à certains sites des revenus complémentaires. Et dont la disparition a incité plusieurs d’entre eux à remplacer l’ancienne bannière dédiée à la collecte du consentement par des cookie walls, histoire de compenser le manque à gagner.

Or, le cookie wall était, dans un premier temps, interdit par les lignes directrices de la CNIL, qui estimait « que l’accès à un site internet ne pouvait jamais être subordonné à l’acceptation des cookies », pouvait-on lire dans un communiqué de l’époque. Une position fondée sur le principe de liberté de consentement. « L’article 42 du RGPD dispose que le caractère libre du consentement impose que celui-ci ne devrait pas être considéré comme ayant été donné librement si la personne concernée ne dispose pas d’une véritable liberté de choix ou n’est pas en mesure de refuser ou de retirer son consentement sans subir de préjudice », contextualise Alan Walter. En agissant ainsi, la CNIL s’alignait simplement sur la position européenne. « Le Comité européen de protection des données personnelles (CEPD) ayant estimé que l’accès à un site internet ne pouvait pas être subordonné à l’acceptation des cookies, la CNIL a, dans un premier temps, suivi ce courant », rembobine Débora Cohen.

Une pratique légale en France, mais encadrée

Mais alors, que s’est-il passé ? Si certains éditeurs ont déployé des cookie walls sans craindre de sanctions financières, c’est parce que dans ce dossier, la CNIL a été désavouée par le Conseil d’État, saisi par plusieurs associations et syndicats du secteur de la publicité en ligne, de l’e-commerce et des médias. « Dans une décision du 19 juin 2020, le Conseil d’État a considéré que la CNIL ne pouvait pas se fonder sur le RGPD pour poser une interdiction générale des cookie walls. Ainsi, actuellement en France, le fait de conditionner l’accès à un site au consentement des cookies n’est pas illicite », explique Debora Cohen.

La pratique n’est donc pas illégale à l’heure actuelle, mais reste strictement encadrée, notamment par les principes du RGPD. Par exemple, « la CNIL sanctionne les cookie walls lorsqu’un refus de consentement entraîne l’exclusion de l’utilisateur, détaille Alan Walter. C’est le cas notamment lorsque le retrait d’un consentement aux cookies entraîne la fermeture d’un service de messagerie électronique, sans alternative payante ». En revanche, une alternative jugée équitable, comme une offre d’abonnement à un tarif qui n’est pas rédhibitoire, de l’ordre d’un ou deux euros, reste autorisée. « Si le site souhaite proposer une alternative payante en cas de refus des cookies, la CNIL recommande que le tarif soit raisonnable afin que ce paiement soit une réelle alternative et qu’elle ne dissuade pas l’utilisateur de choisir entre l’acceptation des cookies et le paiement pour accéder au site », complète Débora Cohen.

La France est moins stricte que certains de ses voisins

Peut-on espérer un durcissement de la position du régulateur sur les cookie walls ? Rien n’est moins sûr. Ce qui est clair, en revanche, c’est que la France se montre moins stricte que certains de ses voisins européens sur la possibilité de conditionner l’accès aux contenus à l’acceptation des cookies.

« La position française diverge de celle d’autres pays européens où les cookie walls sont interdits. C’est le cas, par exemple, en Italie où l’autorité de contrôle en matière de protection des données, la Garante per la protezione dei dati personali, a émis des lignes directrices en 2021, dans lesquelles elle considère que l’utilisation des cookie walls est en principe interdite », explique Debora Cohen. Même chose en Belgique, où « l’Autorité de Protection des Données considère également que le cookie wall est une pratique qui n’est pas conforme au RGPD, dans la mesure où l’utilisateur est obligé de consentir à l’installation ou à la lecture de cookies pour pouvoir accéder au site web concerné ».

Alan Walter, Avocat chez Walter Billet Avocats

Avocat au Barreau de Paris depuis 2006, Alan Walter a exercé son activité au sein de plusieurs cabinets spécialisés en nouvelles technologies, comme Alain Bensoussan Avocats et Kahn & Associés, avant de cofonder son propre cabinet en 2015. Il intervient également à Télécom Paris et l’université Paris-Nanterre.

Debora Cohen, Avocate chez DC Avocat

Debora Cohen a fondé le cabinet DC Avocat, entièrement consacré au droit du numérique, intervenant dans toutes les activités liées à Internet. Elle exerce également en tant que déléguée à la protection des données (DPO) externalisée.