Cookies : l’égalité de simplicité entre acceptation et refus du consentement

L’article 82 de la loi Informatique et Libertés, transposant l’article 5, paragraphe 3, de la directive ePrivacy, impose d’informer clairement l’utilisateur et de recueillir son consentement avant toute lecture ou inscription d’informations dans son terminal. Depuis l’entrée en application du RGPD, ce consentement doit être libre, spécifique, éclairé et univoque, conformément à l’article 4, paragraphe 11, du RGPD.

La formation restreinte retient que la liberté du consentement implique une véritable liberté de choix. Le mécanisme permettant de refuser les cookies doit donc présenter le même degré de simplicité que celui permettant de les accepter. Un bouton d’acceptation immédiate ne peut être opposé à un refus nécessitant plusieurs étapes de personnalisation et de validation.

La juridiction écarte le moyen tiré du principe non bis in idem : la précédente procédure portait sur l’information des utilisateurs, le dépôt sans consentement et un mécanisme d’opposition partiellement défaillant, tandis que la nouvelle procédure concernait les modalités concrètes de refus et deux sites distincts. Elle refuse également le sursis à statuer, l’article 66 du règlement intérieur de la CNIL visant la suspension d’une séance et non celle de la procédure de sanction.

La CNIL est reconnue compétente sur le fondement des articles 16 et 20, paragraphe III, de la loi Informatique et Libertés. Les sociétés sont regardées comme déterminant conjointement les finalités et les moyens des traitements. Le manquement est constitué dès lors que cinq actions sont nécessaires pour refuser les cookies contre une seule pour les accepter.

⬇️Télécharger la décision version officielle

Un contrôle a montré que l’acceptation des cookies s’effectuait en un clic, tandis que leur refus nécessitait plusieurs manipulations. Les sociétés ont contesté la compétence de la CNIL, le principe non bis in idem et la poursuite de la procédure. Ces arguments ont été rejetés et un manquement aux règles du consentement a été retenu.

Deux sociétés d’un groupe international proposent des services accessibles depuis la France, notamment un moteur de recherche et un service en ligne. Elles utilisent des cookies sur leurs sites afin de lire ou d’inscrire des informations dans le terminal des utilisateurs.

Après une première procédure portant notamment sur l’information des utilisateurs et le dépôt de cookies sans consentement, plusieurs plaintes ont dénoncé les modalités de refus proposées sur les sites concernés. Un contrôle en ligne a constaté qu’un utilisateur pouvait accepter les cookies en cliquant une seule fois sur un bouton, tandis que leur refus nécessitait d’ouvrir une interface de personnalisation, de désactiver plusieurs catégories puis de confirmer son choix.

Les sociétés ont contesté la compétence de la CNIL, invoqué le principe non bis in idem et demandé la suspension de la procédure dans l’attente d’une instance devant le Conseil d’État et de travaux européens. La formation restreinte a rejeté ces arguments et retenu un manquement aux règles applicables au consentement.

• Informer clairement l’utilisateur des finalités et des moyens d’opposition.
• Recueillir un consentement libre, spécifique, éclairé et univoque.
• Garantir une liberté réelle de choix entre acceptation et refus.
• Proposer un refus aussi simple et accessible que l’acceptation.
• Éviter toute interface incitant l’utilisateur à accepter les cookies.
• Établir les rôles déterminants dans la définition des finalités et moyens.

• Procès-verbal des constatations réalisées lors du contrôle en ligne.
• Interface proposant le bouton « J’accepte » au premier niveau.
• Accès au refus par le bouton « Personnaliser ».
• Parcours nécessitant la désactivation de trois catégories de cookies.
• Clic final sur « Confirmer » pour valider le refus.

Les responsables conjoints du traitement sont exposés à une sanction lorsque l’interface favorise l’acceptation des cookies. La conformité suppose de revoir le parcours utilisateur afin de rendre le refus immédiatement accessible et aussi simple que l’acceptation.

• Mettre en place un bouton de refus au premier niveau.
• Réduire le refus à un nombre d’actions équivalent à l’acceptation.
• Documenter les finalités de chaque cookie utilisé.
• Vérifier les interfaces sur chaque site et terminal.
• Répartir clairement les responsabilités entre entités du groupe.
• Conserver les éléments prouvant les contrôles de conformité.

À faire

• Afficher immédiatement les options accepter et refuser.
• Aligner le nombre d’actions nécessaires pour chaque choix.
• Décrire les finalités des cookies soumis au consentement.
• Tester le parcours sur chaque domaine concerné.
• Documenter les rôles des responsables conjoints.

À éviter

• Masquer le refus derrière un bouton de personnalisation.
• Imposer plusieurs désactivations pour refuser les cookies.
• Présenter l’acceptation comme seule action immédiate.
• Considérer une procédure antérieure comme validation générale.
• Négliger les constats et plaintes relatifs aux interfaces.

La liberté du consentement aux cookies

L’article 82 de la loi Informatique et Libertés, interprété à la lumière de l’article 4, paragraphe 11, du RGPD, exige un consentement libre, spécifique, éclairé et univoque. La liberté suppose un choix réel et l’absence de mécanisme biaisant l’utilisateur en faveur de l’acceptation.

La simplicité équivalente du refus des cookies

Le responsable du traitement doit permettre d’accepter et de refuser les cookies avec le même degré de simplicité. La formation restreinte constate qu’une acceptation en un clic, opposée à un refus en cinq actions, décourage le refus et altère la liberté du consentement, en méconnaissance de l’article 82 de la loi Informatique et Libertés.

La distinction entre procédures successives

Le principe non bis in idem ne s’applique pas lorsque les procédures ne portent pas sur les mêmes faits. La précédente procédure concernait notamment l’information et le dépôt sans consentement ; la nouvelle portait sur les modalités concrètes de refus et sur deux sites, ce qui exclut une identité d’objet.

Article 82 de la loi n° 78-17 du 6 janvier 1978, Article 16 de la loi n° 78-17 du 6 janvier 1978, Article 20, paragraphe III, de la loi n° 78-17 du 6 janvier 1978, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article 8, I, 2°, b), de la loi n° 78-17 du 6 janvier 1978, Article 4, paragraphe 11, du règlement (UE) 2016/679, Article 5, paragraphe 3, de la directive 2002/58/CE, Article L. 4 du Code de justice administrative, Article 40 du décret n° 2019-536 du 29 mai 2019