Consentement préalable aux traceurs publicitaires et compétence de la CNIL au regard de l’article 82

L’article 82 de la loi Informatique et Libertés, transposant l’article 5, paragraphe 3, de la directive 2002/58/CE, soumet à un consentement préalable les opérations d’accès ou d’inscription d’informations dans le terminal d’un utilisateur, sauf lorsqu’elles sont strictement nécessaires à la fourniture du service demandé ou au fonctionnement des communications électroniques. La CNIL est compétente pour contrôler ces opérations, y compris lorsqu’elles s’inscrivent dans un traitement transfrontalier. Le mécanisme de guichet unique de l’article 56 du RGPD ne s’applique pas à ce contrôle, qui relève de la réglementation ePrivacy.

La lecture et l’écriture d’identifiants sur le terminal, destinées à personnaliser des annonces et à mesurer leur affichage, relèvent de l’article 82, même si des mesures de protection de la vie privée limitent ensuite le rattachement des données à l’identité de l’utilisateur. Ces mesures ne dispensent pas du consentement préalable.

Un paramétrage activé par défaut ne constitue pas une manifestation positive, univoque et valable du consentement au sens de l’article 4, paragraphe 11, du RGPD. Le caractère tardif et facultatif de l’accès au réglage renforce l’irrégularité. La mise en conformité ultérieure n’efface pas le manquement passé, mais une nouvelle fenêtre présentée avant toute lecture et rédigée en français peut permettre un consentement valable.

La formation restreinte a retenu une amende administrative en application de l’article 20, paragraphe III, de la loi Informatique et Libertés, en tenant compte des critères de l’article 83 du RGPD, ainsi qu’une mesure de publicité.

⬇️Télécharger la décision version officielle

Le paramètre de publicité ciblée était activé par défaut sur des téléphones mobiles. La CNIL a constaté l’écriture ou la lecture d’identifiants et d’informations permettant de personnaliser et mesurer les annonces, sans consentement préalable valable. Les réglages étaient pré-cochés et difficilement accessibles. Une nouvelle fenêtre de consentement a ensuite été jugée conforme pour l’avenir, sans effacer le manquement passé.

Une association a saisi la CNIL au sujet des traitements mis en œuvre sur des téléphones mobiles pour personnaliser des annonces dans un magasin d’applications. Le paramètre autorisant la publicité ciblée était activé par défaut.

La CNIL a réalisé plusieurs contrôles en ligne, sur pièces et sur place. Les investigations ont établi que des informations et identifiants étaient écrits ou lus sur le terminal afin d’authentifier un compte, d’associer l’activité de navigation à des segments publicitaires, de sélectionner des annonces et d’en mesurer les affichages.

La société soutenait que les opérations relevaient d’une authentification sécurisée ou de la protection de la vie privée, et que les traitements ultérieurs relevaient du mécanisme européen du guichet unique. La formation restreinte a écarté ces arguments. Elle a considéré que le consentement préalable exigé par l’article 82 de la loi Informatique et Libertés n’avait pas été valablement recueilli, les réglages étant pré-cochés et difficilement accessibles. Une nouvelle fenêtre de consentement a ensuite été jugée conforme pour l’avenir, sans effacer le manquement passé.

• Accès ou inscription d’informations dans le terminal de l’utilisateur.
• Finalité de personnalisation ou de mesure des annonces publicitaires.
• Absence de nécessité stricte pour fournir le service demandé.
• Consentement préalable, univoque et résultant d’une action positive.
• Information permettant à l’utilisateur de comprendre les conséquences du choix.
• Paramètres non pré-cochés et accessibles avant toute opération de lecture.
• Prise en compte de la gravité, portée, durée et avantage financier pour l’amende.

• Procès-verbaux des contrôles en ligne des 8 et 16 juin 2021.
• Constatations des paramètres publicitaires activés par défaut.
• Audition et déclarations techniques relatives aux identifiants de compte.
• Observations techniques sur la lecture des identifiants et segments stockés.
• Registres des traitements et documents communiqués lors des contrôles.

La société responsable du traitement est sanctionnée pour les opérations passées réalisées sans consentement valable. La nouvelle fenêtre de consentement permet une mise en conformité prospective, mais ne neutralise ni l’amende ni la publicité de la décision.

• Exclusion du consentement fondé sur des paramètres pré-cochés.
• Maintien de la compétence de la CNIL pour les accès au terminal.
• Amende administrative fixée à huit millions d’euros.
• Publication de la décision pendant deux ans sous identification nominative.
• Déploiement préalable d’une fenêtre de consentement claire et accessible.

À faire

• Identifier chaque opération de lecture ou d’écriture sur le terminal.
• Présenter le consentement avant toute activation des identifiants publicitaires.
• Supprimer les paramètres publicitaires pré-cochés par défaut.
• Documenter l’information fournie et l’action positive de l’utilisateur.
• Vérifier la disponibilité et la compréhension de la fenêtre en français.

À éviter

• Assimiler protection de la vie privée et exemption de consentement.
• Lire des identifiants avant l’affichage de la fenêtre de consentement.
• Renvoyer l’utilisateur vers un réglage tardif et facultatif.
• Invoquer le guichet unique pour les opérations relevant d’ePrivacy.
• Considérer une mise en conformité ultérieure comme effaçant le manquement.

La compétence de la CNIL pour les opérations sur les terminaux

La CNIL contrôle et sanctionne les opérations de lecture ou d’écriture d’informations dans les terminaux situés en France sur le fondement de l’article 82 de la loi Informatique et Libertés. Le guichet unique de l’article 56 du RGPD ne s’applique pas à ces mesures relevant de la directive 2002/58/CE. Les traitements ultérieurs de données peuvent relever séparément du RGPD.

Le consentement préalable aux identifiants publicitaires

L’accès à des identifiants et à des segments déjà stockés sur le terminal constitue une opération soumise à l’article 82. La protection de la vie privée dès la conception ou le remplacement d’identifiants ne supprime pas cette obligation. Le consentement doit être préalable, univoque et résulter d’une action positive, conformément à l’article 4, paragraphe 11, du RGPD.

La validité des paramètres publicitaires pré-cochés

Des paramètres de ciblage activés par défaut ne traduisent pas un acte positif clair. L’accès tardif et facultatif au réglage, après le parcours d’initialisation, ne permet pas davantage de recueillir valablement le consentement. Une nouvelle fenêtre présentée avant toute lecture des identifiants peut, en revanche, constituer un mécanisme valable.

Article 82 de la loi n° 78-17 du 6 janvier 1978, articles 20, 22 et 25 de la loi n° 78-17 du 6 janvier 1978, article 4, paragraphe 11, du RGPD, articles 25, 40, 42, 56, 58 et 83 du RGPD, article 5, paragraphe 3, de la directive 2002/58/CE, article 15 bis de la directive 2002/58/CE