Le cookie wall, traduit comme un « mur de traceurs », caractérise la possibilité pour un éditeur de sites web de limiter la navigation d’un utilisateur à moins que celui-ci n’accepte l’intégralité des traceurs déposés sur son terminal (ordinateurs, téléphone portable, etc.). En son article 2, alinéa 4, de la délibération n° 2019-093 du 4 juillet 2019 et sur le fondement du consentement libre, la Commission nationale de l’informatique et des libertés (Cnil) avait érigé en interdiction générale et absolue le recours aux cookie walls.

Mais à la suite de la publication de cette délibération, l’association des agences conseils en communication avait saisi les juridictions administratives. A l’issue de cette procédure, le Conseil d’Etat a condamné la Cnil, considérant que cette dernière avait outrepassé ses prérogatives en créant une interdiction absolue au titre de son pouvoir d’interprétation, lequel ne constitue qu’un instrument de droit souple. Prenant acte de cette décision, la commission vient de publier des premières lignes directrices dans le but de nuancer cette interdiction générale et absolue des cookie walls.

La remise en cause du consentement libre et éclairé

Dans un premier temps, la Cnil définissait le caractère libre du consentement comme celui que la personne concernée pouvait exercer sans subir d’inconvénients majeurs en contrepartie. A ce titre, elle considérait la pratique des cookie walls, qui consiste à bloquer l’accès d’un site web si la personne concernée n’acceptait pas l’installation de traceurs, comme non conforme au règlement 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD).

Au regard du RGPD, le consentement est l’une des bases légales sur laquelle peut se fonder un responsable de traitement afin de réaliser un traitement de données à caractère personnel. En son article 4, il est défini comme « toute manifestation de volonté, libre, spécifique, éclairée et univoque ». A ce titre et dans le but de se conformer à la décision du Conseil d’Etat, la Cnil nuance son analyse initiale et tente d’encadrer les alternatives « réelles et équitables », proposées par les éditeurs de site web aux cookie walls. A cette fin, elle propose différents critères d’évaluation. Cependant, son apport reste limité en ce qu’elle renvoie systématiquement à une étude au cas par cas des sites web mettant en place un cookie wall, sans se prononcer de manière générale sur la question ou mettre à la disposition des éditeurs des critères prévisibles et objectifs, tenant à établir une solution pérenne.

Les alternatives réelles et équitables proposées par la Cnil

Au sein de son analyse, la Cnil s’efforce de préserver la liberté du consentement de l’utilisateur du site web et les intérêts des entreprises éditrices. En premier lieu, elle se penche sur la mise en place d’un paywall, qui peut se définir comme la mise en place d’une contrepartie financière à l’accès au site web par l’internaute pour la poursuite de sa navigation. Ce système a été instauré par les éditeurs afin de compenser la perte de revenus publicitaires engendrée par le refus de l’utilisateur du dépôt de cookies sur son terminal.

Toutefois, la Cnil se focalise uniquement sur le caractère raisonnable que doit recouvrir la contrepartie financière et renvoie pour la fixation du montant à une analyse au cas par cas. Cette approche semble insuffisante en ce que la Cnil omet également de se prononcer sur les aspects dissuasifs de l’acceptation d’un paywall. En effet, il apparaît tout à fait envisageable que l’acte même de paiement, quel qu’en soit le montant, soit dissuasif pour l’utilisateur. Dès lors, pour s’éviter un processus trop long (inscription, communication de ses informations de paiement), ce dernier se déterminera finalement à « accepter tous les cookies ». Au-delà de cet aspect financier, l’internaute se retrouve dans l’obligation de communiquer ses données à caractère personnel pour accéder au contenu du site web (par exemple : nom, prénoms, adresse électronique, données bancaires). Or, cette communication de données semble aussi intrusive qu’une simple acceptation des cookies de la part de l’utilisateur.

Dans un deuxième temps, la Cnil semble également privilégier une acceptation des cookies finalité par finalité (autrement appelée « préférences cookies ») afin de préserver le consentement libre et éclairé de l’utilisateur. Néanmoins, cette solution apparaît créatrice de confusion dès lors que les cookies strictement nécessaires au bon fonctionnement du site internet restent de toute manière exemptés du consentement de l’utilisateur et que pour tout le reste des traceurs, l’immense majorité des utilisateurs se trouvera bien en peine de réaliser un choix éclairé par les dizaines de cookies soumis à son approbation…

In fine, l’utilisateur qui choisirait l’alternative aux dépôts de cookies, par le biais du pay wall ou de la création d’un compte, se poserait la question des traceurs qui sont finalement déposés sur son terminal. En effet, cet internaute ne devrait se voir imposer que des cookies strictement nécessaires au fonctionnement du site internet, lesquels ne nécessitaient donc pas son consentement. A défaut, il apparaît que les solutions alternatives de paywall ou création d’un compte sont illusoires, voire trompeuses. Les éditeurs de sites devraient donc offrir cette garantie à leurs utilisateurs, ce que la Cnil ne vise à aucun moment dans son communiqué.

Les nouvelles obligations mises à la charge de l’éditeur

Sans apporter d’éléments de réponses pratiques à l’encadrement des cookie walls, la Cnil semble continuer à encourager les éditeurs à être transparents sur leur utilisation des cookies. En remettant en cause les systèmes de cookies jusque-là élaborés par les entreprises, elle semble opérer un glissement de responsabilité renforcée en direction des éditeurs de sites. En effet, dans un souci de transparence à l’égard des utilisateurs en ce qui concerne le paywall, la Cnil suggère aux éditeurs de site web de publier les motifs qui, selon eux, justifient le caractère raisonnable de la contrepartie financière demandée. Par ailleurs, ces derniers imposant aux utilisateurs la création d’un compte devront justifier que cette obligation est proportionnée à l’objectif poursuivi.

Il découle donc des suggestions de la Cnil une double recommandation à l’attention des éditeurs : d’une part, justifier le recours à la contrepartie financière, qui impliquerait potentiellement la communication d’informations confidentielles à l’entreprise (par exemple, le chiffre d’affaires rapporté par la publicité) et, d’autre part, publier une analyse démontrant la proportionnalité entre la demande de création d’un compte utilisateur et l’objectif poursuivi par l’entreprise.

Peu d’éléments concrets et de nouvelles obligations

Le RGPD avait déjà imposé aux entreprises des obligations lourdes à mettre en œuvre. Par ses différentes recommandations, la Cnil semble diriger les éditeurs vers de nouvelles obligations qui viendraient à peser sur eux dans le futur. Pourtant, en parallèle, elle ne précise pas au plan concret ce qui serait acceptable ou non, preuve de la difficulté de l’exercice auquel elle se livre : comment en effet juger de la pertinence d’un paywall sans entrer dans un jugement de valeur concret de la qualité des contenus proposés par un site et du prix qu’en demande son éditeur ?