Cookies et consentement : comment la CNIL gère les plaintes et obligations légales

La décision du Conseil d’État rappelle que la CNIL dispose d’un large pouvoir d’appréciation dans le traitement des plaintes relatives aux manquements à la législation sur les cookies. Lorsqu’elle est saisie d’une plainte, la CNIL doit examiner les faits et décider des suites à donner, en tenant compte de la gravité des manquements allégués. La simple insatisfaction du plaignant quant à l’information sur l’état d’avancement de sa plainte ne constitue pas un motif d’annulation.

Un administré a saisi la Commission nationale de l’informatique et des libertés (CNIL) le 5 juin 2024, en déposant une plainte concernant les modalités de dépôt de cookies sur le site internet de l’Agence nationale des titres sécurisés (ANTS). Suite à des vérifications effectuées par la CNIL, celle-ci a informé l’administré par courrier du 3 janvier 2025 qu’elle avait clôturé la plainte, tout en précisant qu’elle avait intervenu auprès du responsable de traitement.

L’administré a alors introduit une requête devant le Conseil d’État, demandant l’annulation de la décision de la CNIL pour excès de pouvoir et une injonction à la CNIL de réexaminer sa plainte dans un délai de trois mois. Selon les dispositions de la loi du 6 janvier 1978, la CNIL est chargée d’examiner les plaintes et de décider des suites à donner, disposant d’un large pouvoir d’appréciation.

Le Conseil d’État a examiné les arguments de l’administré, notamment le fait que la CNIL n’aurait pas suffisamment informé ce dernier de l’état d’avancement de sa plainte. Toutefois, cette circonstance a été jugée sans incidence sur la légalité de la décision contestée. De plus, les vérifications de la CNIL ont révélé que le bandeau d’information sur le site de l’ANTS avait été modifié pour recueillir le consentement des utilisateurs, et que les cookies déposés étaient, en principe, exemptés de consentement. La CNIL a rappelé à l’ANTS ses obligations légales concernant le dépôt de cookies.

En conclusion, le Conseil d’État a rejeté la requête de l’administré, considérant que la CNIL n’avait pas commis d’erreur manifeste d’appréciation dans sa décision. Les conclusions de la CNIL visant à condamner l’administré à une amende ont également été jugées irrecevables.

La CNIL peut-elle légitimement clôturer une plainte pour manquement à la législation sur les cookies sans que l’insatisfaction du plaignant concernant l’information sur l’état d’avancement de sa plainte constitue un motif d’annulation ?

La décision du Conseil d’État rappelle que la CNIL dispose d’un large pouvoir d’appréciation dans le traitement des plaintes relatives aux manquements à la législation sur les cookies, conformément aux articles 8 et 20 de la loi n° 78-17 du 6 janvier 1978. Lorsqu’elle est saisie d’une plainte, la CNIL doit examiner les faits et décider des suites à donner, en tenant compte de la gravité des manquements allégués et des indices relatifs à ces faits. Le juge de l’excès de pouvoir peut censurer la décision de la CNIL pour illégalité externe ou erreur manifeste d’appréciation. Dans cette affaire, la CNIL a constaté des modifications sur le site permettant le recueil du consentement et a rappelé au responsable de traitement ses obligations légales, sans entacher sa décision d’erreur manifeste d’appréciation. La simple insatisfaction du plaignant quant à l’information sur l’état d’avancement de sa plainte ne constitue pas un motif d’annulation. Les conclusions d’injonction à l’encontre de la CNIL ont également été rejetées, soulignant que le juge n’est pas tenu d’accéder à de telles demandes. Les praticiens doivent veiller à bien articuler les griefs et à fournir des éléments probants lors de la saisine de la CNIL pour maximiser les chances d’une suite favorable.

• Vérifications effectuées par la CNIL sur le site internet de l’ANTS.
• Modifications apportées au bandeau d’information sur le site de l’ANTS pour recueillir le consentement des utilisateurs.
• Constatation que les cookies déposés sur le site de l’ANTS étaient, en principe, exemptés de consentement.
• Rappel par la CNIL des obligations légales de l’ANTS concernant le dépôt de cookies.
• Courrier de la CNIL informant l’administré de la clôture de sa plainte.

Cette décision du Conseil d’État a des conséquences significatives pour les parties impliquées. D’une part, le plaignant, qui a saisi la CNIL, voit sa demande d’annulation de la décision de clôture de sa plainte rejetée, ce qui limite ses recours. D’autre part, la CNIL, en confirmant sa capacité d’appréciation, renforce son autorité dans le traitement des plaintes relatives aux cookies.

• Le plaignant ne peut pas contester la décision de la CNIL, ce qui limite ses options légales.
• La CNIL maintient sa position et son pouvoir d’appréciation dans le traitement des plaintes.
• Le plaignant doit fournir des éléments probants plus solides pour toute future plainte.
• La décision souligne l’importance de la conformité des sites internet aux obligations légales sur les cookies.
• Les responsables de traitement doivent être vigilants quant à leurs obligations en matière de consentement.
• Le plaignant pourrait envisager d’autres voies de recours, mais avec des chances de succès incertaines.

À faire

• Vérifier les modifications apportées sur le site pour le recueil du consentement.
• Documenter les manquements allégués avec des éléments probants.
• Examiner la gravité des manquements avant de saisir la CNIL.
• Informer le plaignant de l’état d’avancement de sa plainte.
• Respecter les obligations légales concernant le dépôt de cookies.

À éviter

• Ne pas se baser uniquement sur l’insatisfaction du plaignant.
• Omettre de fournir des preuves lors de la saisine de la CNIL.
• Ignorer les rappels d’obligations légales de la CNIL.
• Attendre sans agir sur les modifications nécessaires.
• Contester sans fondement légal ou preuve tangible.

Quelle est la règle de droit applicable en matière de traitement des plaintes par la Commission nationale de l’informatique et des libertés (CNIL) ?

La règle de droit applicable est issue des dispositions combinées des articles 8 et 20 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. Ces articles stipulent qu’il appartient à la CNIL de procéder à l’examen des faits à l’origine d’une plainte ou d’une réclamation et de décider des suites à donner, en tenant compte de la gravité des manquements allégués, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte et des intérêts généraux dont elle a la charge.

Quels sont les critères de recevabilité d’une plainte auprès de la CNIL ?

La recevabilité d’une plainte auprès de la CNIL repose sur la capacité de l’auteur à démontrer des griefs fondés sur des manquements aux obligations légales relatives à la protection des données personnelles. La CNIL dispose d’un large pouvoir d’appréciation pour évaluer la gravité des manquements allégués et la pertinence des éléments fournis par le plaignant.

Quel est l’office du juge en matière de contrôle des décisions de la CNIL ?

Le juge de l’excès de pouvoir a pour office de censurer la décision de la CNIL en cas d’illégalité externe, ainsi que d’examiner le bien-fondé de la décision au regard d’éventuelles erreurs de fait ou de droit, d’erreurs manifestes d’appréciation ou de détournement de pouvoir.

Quelles sont les conséquences d’un défaut d’information de l’auteur de la plainte par la CNIL ?

La circonstance que la CNIL n’aurait pas suffisamment informé l’auteur de la plainte de l’état d’avancement de celle-ci est sans incidence sur la légalité de la décision attaquée. Cela signifie que le défaut d’information ne constitue pas un motif d’annulation de la décision de la CNIL.

Quels éléments déterminants la CNIL a-t-elle pris en compte pour décider de la clôture de la plainte ?

La CNIL a pris en compte les résultats de ses vérifications, qui ont révélé que le bandeau d’information sur le site internet de l’Agence nationale des titres sécurisés (ANTS) avait été modifié pour permettre le recueil du consentement des utilisateurs. De plus, elle a constaté que les cookies déposés sur le site étaient, en principe, exemptés de consentement. La CNIL a également rappelé à l’ANTS ses obligations légales concernant le dépôt de cookies, ce qui a justifié sa décision de clôturer la plainte sans erreur manifeste d’appréciation.