Focus jurisprudentiel de la veille juridique de l'Union des marques 2020-3.
Cookies et traceurs publicitaires
Dans cet arrêt faisant suite à l'action de neuf associations professionnelles contre la délibération de la CNIL publiée le 19 juillet dernier, le Conseil d'Etata apporte de nombreuses précisions concernant le recueil du consentement en matière de cookies et traceurs publicitaires.
CE, 19 juin 2020, n°434684, Association des agences-conseils en communication et autres c/ CNIL
(Cookies et traceurs publicitaires – consentement libre – cookies wall – choix – destinataires – finalités – consentement spécifique)
Neuf associations professionnelles du secteur des médias, de la communication et du marketing digital parmi lesquelles l’Union des marques (les autres associations étant le SRI, le GESTE, l’UDECAM, l’AACC, le SNCD, la FEVAD, MMA France et IAB France) avaient déposé en septembre dernier un recours devant le Conseil d’Etat contre la délibération de la CNIL publiée le 19 juillet 2019 relative au consentement aux cookies et autres traceurs.
Dans cette décision, le Conseil d’Etat prononce l’annulation de la précision apportée par la CNIL concernant l’interdiction des cookies wall selon laquelle le consentement ne pouvait être valable au sens du RGPD seulement si l’utilisateur était en mesure d’exercer valablement son choix et ne subissait pas « d’inconvénients majeurs en cas d’absence ou de retrait du consentement ». Elle s’appuyait sur une déclaration du CEPD sur la révision de la directive ePrivacy selon laquelle la pratique consistant à bloquer l’accès à un site web ou une application mobile pour qui ne consent pas à être suivi n’est pas conforme au RGPD dès lors que le refus entrainait des conséquences négatives, « en l’occurrence l’impossibilité d’accéder au site consulté ».
Le Conseil d’Etat a estimé : « en déduisant pareille interdiction générale et absolue de la seule exigence d’un consentement libre, posé par le règlement du 27 avril 2016, la CNIL a excédé ce qu’elle peut légalement faire dans le cadre d’un instrument de droit souple ». Le 4ème alinéa de l’article 2 des lignes directrices est donc censuré. Ce faisant, le Conseil d’Etat suit les conclusions du rapporteur public qui avait estimé que le fait de ne pouvoir accéder à un site internet n’affectait que « très marginalement » la liberté de choix : « la clé nous paraît résider dans la nature du besoin que l’utilisateur cherche à satisfaire, et, surtout, dans l’existence, la disponibilité et l’accessibilité d’alternatives raisonnables permettant d’atteindre un résultat équivalent ». Il avait également précisé : « Il n’appartient ni à la CNIL, ni au juge de prendre la plume à la place du législateur européen ».
Puis le Conseil d’Etat revient sur l’indépendance, la spécificité et le caractère éclairé du consentement.
En premier lieu, le Conseil d’Etat limite la liste des « partenaires » et l’indication de leur identité aux seuls responsables de traitement. Les destinataires des données ne sont pas concernés : « l’utilisateur doit pouvoir identifier l’ensemble des entités ayant recours à des traceurs avant de pouvoir y consentir dans la mesure où ces entités, au nombre desquelles ne figurent pas les destinataires de données, apparaissent comme responsables ou co-responsables du traitement de données ». En revanche, le Conseil d’Etat prend le soin de préciser que l’utilisateur doit pouvoir disposer de la liste des destinataires ou des catégories de destinataires de données : les destinataires ne seront donc par indiqués nommément mais par catégories. Sur ce point, le Conseil d’Etat a de nouveau suivi les conclusions du rapporteur public.
En second lieu, le Conseil d’Etat confirme qu’il est nécessaire d’offrir aux utilisateurs un choix granulaire par finalité y compris ultérieure (« toute finalité ultérieure, compatible avec la ou les finalités initiales, assignée au traitement de données est soumise au recueil d’un consentement propre »). Sur ce point, l’opinion du rapporteur public différait, dès lors que se fondant sur les articles 4 et 6§1, a) du RGPD ainsi que sur l’arrêt de la CJUE du 1er octobre 2019 « Planet49 » (C-673/17), il estimait que le consentement ne devait pas être donné par finalité mais seulement que « le consentement à un traitement de données à caractère personnel doit être recueilli de manière distincte du consentement à d’autres obligations ayant un objet différent ».
Enfin, le Conseil d’Etat revient sur les autres obligations formulées par la délibération de la CNIL.
S’agissant du refus et du retrait du consentement, il considère que la CNIL n’a pas entaché sa délibération d’aucune méconnaissance des règles en indiquant qu’il devait « être aussi facile de refuser ou de retirer son consentement que de le donner ». Ce faisant, la Haute juridiction considère que la CNIL « s’est bornée à caractériser les conditions de refus de l’utilisateur sans définir de modalités techniques particulières d’expression d’un tel refus ». Il rappel que le consentement doit être exprimé par un « acte positif clair » et qu’à défaut, l’utilisateur doit être considéré comme ayant refusé l’accès au terminal ou à l’inscription d’informations dans ce dernier. La décision du Conseil d’Etat n’apporte néanmoins aucune précision quant à la poursuite de la navigation comme modalité pour le recueil du consentement dès lors que celle-ci n’était pas visée par le recours.
Par ailleurs, le Conseil d’Etat précise que la CNIL peut fixer des durées obligatoires. S’agissant des cookies de mesure d’audience, la délibération attaquée précisait en effet que pour être exemptés et être dispensés du recueil du consentement, ces cookies ne devaient pas avoir une durée de vie excédant treize mois et que les informations collectées ne devaient pas être conservées pendant une durée supérieure à vingt-cinq mois.
Le Conseil d’Etat relativise l’obligation d’information sur les cookies non soumis à consentement. Dans sa délibération, la CNIL avait en effet précisé qu’afin d’assurer l’objectif de transparence pleine et entière, les utilisateurs devaient être informés de l’existence et de la finalité de ces cookies. Pour la Haute juridiction, la CNIL a seulement entendu « favoriser la diffusion de bonnes pratiques pour l’utilisateur des traceurs non soumis au consentement préalable ».
Les différentes questions préjudicielles portées dans le recours des associations à des fins d’harmonisation européennes n’ont pas été retenues.
NB : voir infra les Lignes de l’EDPB sur le consentement actualisées le 4 mai 2020
Mécénat et valorisation du nom de l'entreprise
Le Conseil d’Etat rappelle dans cet arrêt que le bénéfice de réduction d’impôt prévu par l’article 238 bis du code général des impôts ne peut trouver à s’appliquer à une valorisation du nom de l’entreprise trop importante, telle qu’elle aurait la nature de prestation publicitaire.
CE, 20 mars 2020, Ministre de l’action et des comptes publics c/ EURL M2I Fayard
(Mécénat – article 238 bis du code général des impôts – réduction d’impôt – nom de l’entreprise – valorisation du nom de l’entreprise – avantage publicitaire)
Suite à une vérification de comptabilité, une entreprise a été assujettie, s’agissant des exercices clos en 2010 et 2011, à des cotisations supplémentaires d’impôt sur les sociétés, résultant notamment de la remise en cause de la réduction d’impôt prévue à l’article 238 bis du code général des impôts. Déboutée de sa demande de décharge en première instance, sa demande est satisfaite en appel. Le ministre de l’action et des comptes publics se pourvoit devant le Conseil d’Etat en demandant l’annulation de l’arrêt d’appel.
En l’espèce, la société s’était prévalue de l’article 238 bis du code général des impôts pour des dons à une association de promotion du sport automobile féminin. Son nom était alors apposé sur les véhicules de course et le camion semi-remorque utilisés par les membres de l’association.
L’article 238 bis du CGI prévoit que la réduction d’impôt trouve à s’appliquer « même si le nom de l’entreprise versante est associé aux opérations réalisées par ces organismes ».
Toutefois – et c’est ce que rappelle cet arrêt du Conseil d’Etat – « si le bénéfice de la réduction d’impôt prévue par ces dispositions n’est pas susceptible d’être remis en cause par la seule circonstance que le nom de l’entreprise versante soit associé aux opérations réalisées par l’organisme bénéficiaire du versement, il ne saurait toutefois être admis qu’à la condition que la valorisation du nom de l’entreprise ne représente, pour cette dernière, qu’une contrepartie très inférieure au montant du versement accordé ».
Or, le Conseil d’Etat a estimé qu’en n’appréciant pas la valeur de la contrepartie dont avait bénéficié la société, la Cour administrative d’appel avait commis une erreur de droit (« alors qu’il lui appartenait de rechercher si l’avantage publicitaire ainsi retiré par la société n’avait pas représenté pour cette dernière qu’une contrepartie très inférieure au montant des versements accordés, la cour administrative d’appel a commis une erreur de droit »). L’arrêt est annulé et l’affaire est renvoyée devant une nouvelle cour administrative d’appel.
Par cet arrêt, le Conseil d’Etat vient rappeler que la possibilité d’associer le nom de l’entreprise versante aux opérations réalisées n’a toutefois pas vocation à admettre dans le cadre du mécénat les prestations publicitaires qui relèvent des dispositions relatives au parrainage.