Par un communiqué publié le 28 juin 2019 sur son site internet, la CNIL dévoilait un plan d’actions précisant les règles en matière de ciblage publicitaire en ligne. Dans un second communiqué daté du 18 juillet 2019, l’autorité administrative annonçait pour le premier trimestre 2020, l’élaboration de recommandations sectorielles, précisant les modalités pratiques du recueil du consentement au dépôt de cookies et de traceurs de connexion.
Pour la mise en œuvre de ces futures règles, la CNIL dans son communiqué précisait alors qu’une période d’adaptation de six mois serait laissée aux opérateurs. Durant cette période, « la poursuite de navigation » comme expression du consentement au dépôt de cookies ne donnerait pas systématiquement lieu à sanction de la part de CNIL.
A l’occasion d’une décision du 16 octobre 2019 n°433069, le Conseil d’Etat a validé la position de la Commission nationale de l’informatique et des libertés et admis la légalité de ces communications.
Le Conseil d’Etat juge que pour l’application de l’article 20 de la loi du 6 janvier 1978, fondant le pouvoir de sanction de la CNIL, l’autorité dispose d’un large pouvoir d’appréciation, que ce soit « pour apprécier l’opportunité d’engager des poursuites de sa propre initiative ou pour décider des suites à donner aux plaintes qu’elle peut recevoir ».
Le Conseil d’Etat souligne ensuite que pour mettre en œuvre ce pouvoir, la CNIL peut tenir compte :
- De la gravité des manquements en cause au regard de la législation ou de la réglementation applicable,
- De la date à laquelle ils ont été commis,
- Du contexte dans lequel ils l’ont été,
- Et plus globalement, de l’ensemble des intérêts généraux dont elle a la charge.
Le juge administratif rappelle ainsi que la CNIL est libre de décider de rendre public les orientations qu’elle a arrêtées pour l’exercice de ses pouvoirs. En conséquence, le communiqué par lequel la CNIL expose son plan d’actions en matière de ciblage publicitaire en ligne n’est pas entaché d’illégalité.
S’agissant de l’octroi aux opérateurs d’un temps d’adaptation de six mois après la publication de la recommandation sur le recueil du consentement au dépôt de cookies et l’absence de sanction systématique, la juridiction précise que cette démarche a pour seul objet de conduire les opérateurs à se mettre en conformité.
Pour la haute juridiction administrative, durant cette période, le pouvoir de contrôle de la CNIL est maintenu et cette dernière conserve la possibilité de faire usage de son pouvoir répressif en cas d’atteinte particulièrement grave.
