Le Conseil d’État juge légale la décision de la CNIL d’engager une concertation pour définir les nouvelles modalités pratiques d’expression du consentement en matière de publicité ciblée, et de laisser aux acteurs du secteur une période d’adaptation pour s’y conformer.
Le nouveau règlement européen relatif à la protection des données personnelles (RGPD) et la loi du 6 janvier 1978 modifiée ont renforcé les exigences attendues des acteurs numériques, qui doivent s’assurer que l’internaute consent explicitement à ce que des « cookies » ou d’autres traceurs soient déposés dans son ordinateur ou téléphone, à des fins de publicité ciblée, lorsqu’il consulte des sites internet.
Pour tenir compte de ce nouveau cadre juridique, la Commission nationale de l’informatique et des libertés (CNIL) a adopté, en juillet dernier, une délibération explicitant les nouvelles règles de consentement en matière de publicité ciblée. Elle a par ailleurs décidé d’engager une concertation en vue de définir, au premier trimestre 2020, les modalités pratiques de recueil du consentement. Elle a également indiqué que les acteurs du secteur, une fois ces modalités arrêtées, auraient six mois pour s’y conformer. Plusieurs associations ont attaqué ces décisions.
Une période de transition destinée à assurer, à terme, un plein respect des règles relatives à la protection des données personnelles.
Le Conseil d’État rappelle tout d’abord que la CNIL, qui est une autorité administrative indépendante, dispose d’un large pouvoir d’appréciation dans l’exercice de ses missions. Il en déduit que la CNIL pouvait élaborer un tel plan d’action et le rendre public, afin de parvenir à un meilleur respect effectif du droit de la protection des données personnelles.
Le Conseil d’État juge ensuite que, dans le cadre de ce plan, le délai laissé aux acteurs du secteur pour se conformer aux règles qui seront publiées à l’issue de la concertation n’est pas illégal. Il estime en effet que cette tolérance vise à permettre aux acteurs concernés de s’approprier ces nouvelles règles, dont la CNIL a correctement explicité la teneur, et ainsi de respecter pleinement les exigences fixées par le RGPD à l’horizon de l’été 2020.
Le Conseil d’État estime enfin que la stratégie de la CNIL ne méconnaît pas le droit au respect de la vie privée car elle contribue à remédier aux pratiques prohibées de publicité ciblée, et n’empêchera pas la Commission de réaliser des contrôles pendant cette période transitoire, en sanctionnant le cas échéant les manquements les plus graves à ce nouveau cadre juridique.