Traduction
C-673/17 - 13
Observations de la défenderesse
Affaire C-673/17 *
Pièce déposée par :
Planet49 GmbH
Nom usuel de l’affaire :
Planet49
Date de dépôt :
26 mars 2018
[omissis]
[Or. 2]
Textes juridiques
Nous visons les textes juridiques suivants dans les présentes observations :
– directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995,
relative à la protection des personnes physiques à l’égard du traitement des
données à caractère personnel et à la libre circulation de ces données (ci-après
la « directive sur la protection des données ») ;
– directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002
concernant le traitement des données à caractère personnel et la protection de la
vie privée dans le secteur des communications électroniques (directive vie
privée et communications électroniques) (ci-après la « directive vie privée
électronique ») ;
– directive 2009/136/CE du Parlement européen et du Conseil du 25 novembre
2009 modifiant la directive 2002/22/CE concernant le service universel et les
droits des utilisateurs au regard des réseaux et services de communications
électroniques, la directive 2002/58/CE concernant le traitement des données à
caractère personnel et la protection de la vie privée dans le secteur des
communications électroniques et le règlement (CE) no 2006/2004 relatif à la
coopération entre les autorités nationales chargées de veiller à l’application de
la législation en matière de protection des consommateurs (ci-après la
« directive sur les cookies ») ;
* Langue de procédure : l’allemand.
FR
AFFAIRE C-673/17 - 13
– règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril
2016 relatif à la protection des personnes physiques à l’égard du traitement des
données à caractère personnel et à la libre circulation de ces données, et
abrogeant la directive 95/46/CE (règlement général sur la protection des
données) (ci-après le « RGPD ») ;
– Gesetz gegen den unlauteren Wettbewerb (loi contre la concurrence déloyale)
dans la version publiée le 3 mars 2010 (BGBl I, p. 254), modifiée en dernier
lieu par l’article 4 de la loi du 17 février 2016 (BGBl I, p. 233) (ci-après
l’« UWG ») ;
– Telemediengesetz (loi sur les médias électroniques) du 26 février 2006 (BGBl
I, p. 179), modifiée en dernier lieu par l’article 1er de la loi du
28 septembre 2017 (BGBl I, p. 3530) (ci-après la « TMG »)
[Or. 3]
– Bundesdatenschutzgesetz (loi fédérale sur la protection des données) dans la
version du 14 janvier 2003 (BGBl I, p. 66) modifiée en dernier lieu par
l’article 10, paragraphe 2, de la loi du 31 octobre 2017 (BGBl I, p. 3618)
(ci-après la « BDSG »).
1
I.
Sur l’affaire qui a donné lieu au litige
2
Consentement à la publicité et consentement relatif à la protection des
données
3
La procédure a pour objet un jeu promotionnel financé par la publicité. Pour
pouvoir participer au jeu promotionnel, l’utilisateur doit cliquer sur un bouton de
participation après avoir enregistré ses données personnelles tels ses nom et
adresse.
4
À proximité immédiate du bouton de participation figurent deux formules de
déclaration de consentement (voir plus avant LG Frankfurt a.M., jugement du
10 décembre 2014, 2-06 O 030/14 p. 5) :
5
D’une part au-dessus du bouton de participation se trouve une formule de
déclaration de consentement dans laquelle le participant déclare consentir à ce que
l’organisatrice du jeu promotionnel et les sponsors du jeu promotionnel
nommément cités par domaine d’activité lui fassent parvenir de la publicité par
téléphone et par e-mail ou SMS (voir sur ses termes BGH, ordonnance du
5 octobre 2017, I ZR 7/16, point 2). Ces formules de consentement préétablies
(ci-après la « formule de consentement à la publicité ») concernent un
consentement sur la forme publicitaire. La publicité par téléphone requiert un
consentement au titre de l’article 78, paragraphe 2, point 2, UWG (base juridique
de droit européen : article 13, paragraphes 3 et 5, de la directive sur la vie privée
électronique) et celle par e-mail ou SMS au titre de l’article 78, paragraphe 2,
point 3, UWG (base juridique de droit européen : article 13, paragraphe 1, de la
directive sur la vie privée électronique). Le texte avec le « consentement à la
publicité » est précédé d’une case vierge que l’utilisateur doit cocher
. [Or. 4]
2
PLANET49
6
D’autre part, immédiatement au-dessous du bouton de participation figure une
clause visant un consentement relatif à la protection des données (voir sur le texte
plus avant BGH, ordonnance du 5 octobre 2017, 1 ZR 7/16, points 3 et 6). En
adhérant à cette déclaration de consentement relatif à la protection des données,
les participants sont censés déclarer consentir à ce que l’organisateur du jeu
promotionnel (la défenderesse) installe un cookie recensant le comportement de
l’utilisateur visitant d’autres sites en permettant ainsi à la défenderesse (et
uniquement à la défenderesse) de faire une publicité ciblée par courrier
électronique (« Remintrex »). Le comportement de l’utilisateur n’est pas recensé
sur toutes les pages tiers mais uniquement sur les pages tiers de partenaires
publicitaires qui ont indiqué de leur côté dans leur déclaration relative à la
protection des données participer au programme de recensement (« Remintrex »).
La formule de consentement évoque clairement et intelligiblement ces
recensements de données protégées. À côté de la formule de consentement figure
une case précochée qui peut être décochée. Nous appellerons par la suite
« formule de consentement sur les données protégées » cette deuxième formule de
consentement qui est censée permettre le placement d’un cookie et la collecte et
l’utilisation des données rassemblées par le cookie.
7
Un utilisateur qui participe au jeu promotionnel de la défenderesse fait ainsi une
triple déclaration en activant le bouton de participation :
8
– Il déclare vouloir participer au jeu promotionnel.
9
– Il donne un consentement à la publicité, c’est-à-dire qu’il déclare consentir, dans
les limites tracées par la formule de consentement à la publicité, à ce que la
défenderesse et les sponsors du jeu promotionnel envoient de la publicité par
courrier électronique ou par téléphone. Cela ne vaut cependant que lorsqu’il a
préalablement coché la case figurant à côté de la formule de consentement à la
publicité.
10 – Il donne un consentement relatif à la protection des données c’est-à-dire qu’il
déclare consentir au placement du cookie et à la collecte et utilisation de données
comme décrit dans la formule de consentement sur les données protégées. Cela ne
vaut cependant que lorsqu’il n’a pas décoché la case précochée figurant à côté de
la formule de consentement à la publicité avant d’activer le bouton de
participation.
[Or. 5] Seul ce consentement relatif à la protection des données fait
l’objet des questions préjudicielles du BGH.
11 Il est tout-à-fait courant dans les contrats de faire ainsi plusieurs déclarations de
volonté dans un seul acte. Il est fréquent, précisément sur l’Internet, en particulier
dans les contrats liés, que, en activant le bouton de commande, un utilisateur fasse
en une seule fois plusieurs déclarations contractuelles (visées à travers le bouton
de commande) (par exemple acquisition d’un appareil de téléphonie mobile,
conclusion d’un contrat relatif au réseau fixe, conclusion d’un contrat de
téléphonie mobile, conclusion d’un contrat d’assurance, etc.).
3
AFFAIRE C-673/17 - 13
12 Dans sa question préjudicielle, le BGH méconnaît les faits. Le BGH considère que
le consentement relatif à la protection des données est donné du fait que
l’utilisateur ne décoche pas la case figurant à côté de la [formule] de consentement
sur les données protégées et que l’autorisation est ainsi donnée par une « case
cochée par défaut que l’utilisateur doit décocher pour refuser de donner son
consentement ».
13 En réalité, le consentement est donné du fait que, en activant le bouton de
participation tout en connaissant la formule de consentement sur les données
protégées, l’utilisateur indique activement vouloir également donner le
consentement relatif à la protection des données énoncé dans la formule de
consentement sur les données protégées.
14
2.
Objet du consentement relatif à la protection des données
15 Le contenu du consentement relatif à la protection des données est décrit dans la
formule de consentement sur les données protégées. Le participant au jeu
promotionnel qui ne désactive pas la case et clique ensuite sur le bouton de
participation, fait une déclaration dont le contenu est décrit dans la formule de
consentement sur les données protégées. Par cette déclaration de consentement
relatif à la protection des données, il autorise la défenderesse à placer un cookie
permettant de saisir et de recenser le comportement des utilisateurs dans leur
utilisation des sites de partenaires publicitaires et pouvoir ainsi adresser par
courrier électronique de la publicité en fonction des objectifs et intérêts. Ce
recensement de données protégées enrichit
[Or. 6] les données à caractère
personnel des participants détenues par la défenderesse. C’est la raison pour
laquelle il ne s’agit pas ici de la collecte d’informations anonymes mais du
recensement et de l’utilisation de données à caractère personnel.
16
3. Présentation de l’ordre dans lequel nous répondons aux questions
17 Dans la question 1, sous a), le BGH aborde, selon nous, les conditions requises
d’un consentement à un cookie qui ne collecte aucune donnée à caractère
personnel tandis que la question 1, sous b), concerne le consentement à un cookie
destiné à recueillir et utiliser des données à caractère personnel. S’agissant en
l’espèce d’un cookie destiné à recueillir et utiliser des données à caractère
personnel, la question décisive dans le litige est donc la question 1, sous b). Nous
voulons dès lors commencer par répondre à cette question et ne répondre
qu’ensuite aux questions 1, sous a), 1, sous c), et 2.
18
II.
Sur la question 1, sous b)
19 Aux termes de l’article 4, paragraphe 1, de la BDSG et de l’article 12,
paragraphe 1, de la TMG, la conservation d’informations à caractère personnel ou
l’accès à des informations à caractère personnel, déjà conservées dans l’appareil
de l’utilisateur, ne sont admises qu’avec le consentement de l’utilisateur ou
lorsque les conditions d’une autorisation légale sont réunies. Ces règles procèdent
des dispositions combinées de l’article 7, sous a), et de l’article 2, sous h), de la
4
PLANET49
directive sur la protection des données. Aux termes de celle-ci (ou de la
disposition de droit interne de l’article 4bis de la BDSG), le consentement est
« toute manifestation de volonté, libre, spécifique et informée par laquelle la
personne concernée accepte que des données à caractère personnel la concernant
fassent l’objet d’un traitement ».
20 L’article 4 bis de la BDSG ne régit en ordre principal que le consentement écrit.
On considère unanimement qu’en principe un consentement peut également être
donné sous forme électronique pour autant qu’il ne soit pas expressément exclu
(voir notamment Simitis, Bundesdatenschutzgesetz, 8ème édition 2014, article 4bis,
point 36).
[Or. 7]
21 Le consentement relatif aux données protégées peut en principe ne pas être
uniquement donné par une déclaration spéciale c’est-à-dire distincte d’autres
déclarations de volonté. Plusieurs déclarations peuvent au contraire être liées entre
elles même si elles ne portent pas sur des données protégées. Dans ce cas, la
formule de consentement sur les données protégées doit cependant être
particulièrement mise en évidence (article 4bis, paragraphe 1, quatrième phrase,
de la BDSG), pour garantir une transparence suffisante et une déclaration en
connaissance de cause suffisante de la part du déclarant. On n’aperçoit pas de
conditions plus strictes qui seraient requises par la directive sur la protection des
données.
22 Pour le consentement relatif à la protection des données, le BGH a déjà décidé à
ce titre en 2008 que l’accord relatif à la protection des données peut être lié à la
commande d’une carte de client (BGH, arrêt du 16 juillet 2008, VIII ZR 348/06,
MMR 2008, 731 et suiv. – Payback). Le BGH a indiqué en particulier à cet égard
que la directive sur la protection des données ne s’oppose pas à pareille
combinaison. Tel est à tout le moins le cas, dans la conception du BGH, lorsque la
clause du consentement relatif à la protection des données, que l’utilisateur
accepte en commandant une carte de client, est assortie d’une faculté de refus.
23 L’idée du BGH qui se dégage de l’arrêt Payback, selon laquelle un consentement
relatif à la protection des données peut également être lié à d’autres déclarations
de volonté, correspond aussi à la conception du groupe de travail institué en vertu
de l’article 29 de la directive sur la protection des données, qui est le groupe de
conseillers indépendants de la Commission européenne en matière de protection
des données : selon lui, le consentement relatif à la protection des données requiert
une manifestation de volonté. La forme de cette manifestation de volonté ne
connaît aucune restriction, seul un comportement purement passif ne suffira pas.
Le consentement est libre lorsque la personne concernée a une réelle possibilité de
choix et ne subit pas de pression. Cette condition est indubitablement remplie
lorsque l’utilisateur a la possibilité de décocher la case correspondant à la
déclaration. De surcroît, le consentement doit être donné pour le cas concret et on
ne peut dès lors pas donner de consentement global sans en indiquer l’objet précis.
[Or. 8] De surcroît, la personne concernée doit connaître tous les faits et effets de
son consentement. Enfin, et c’est ce qui est décisif, la directive sur la protection
5
AFFAIRE C-673/17 - 13
des données ne requiert pas d’Opt-In exprès spécial en sorte qu’une combinaison
avec d’autres déclarations est possible (voir sur ce point dans son ensemble, l’avis
15/2011 sur la définition du consentement, adopté le 13 juillet 2011 par le groupe
de travail institué en vertu de l’article 29 de la directive sur la protection des
données, WP 187, p. 13 à 24, p. 30).
24 d)
Dans l’arrêt Payback, le Bundesgerichtshof a cependant également exposé
que des conditions plus strictes seront requises lorsque le consentement sera
recueilli non pas (uniquement) pour la protection des données mais également
pour la forme publicitaire (courrier électronique ou publicité par téléphone) étant
un consentement sur la publicité. Dans ce cas, le BGH estime qu’il faudra une
déclaration de consentement « spéciale » c’est-à-dire distincte d’autres
déclarations. Le BGH estime que cette condition est remplie lorsque l’utilisateur
doit cocher à côté de la déclaration de consentement une case qui n’est pas
précochée.
25 Le BGH fonde cette condition requise sur le considérant 17 de la directive sur la
vie privée électronique qui suppose « d’indiquer » le consentement « de manière
spécifique ». Toutefois, cet argument de texte a été réfuté de manière
convaincante dans l’intervalle : la condition requise « d’indiquer de manière
spécifique » est une simple imprécision dans la traduction en langue allemande
[spezifischen Angabe] (voir Funke, Die datenschutzrechtliche Einwilligung im
Zivilrecht, 2017, S. 100 f.; Hanloser, CR 2008, 713, 717 ; Rogosch, Die
Einwilligung im Datenschutzrecht, 2013, p. 121 f.; von Zimmermann, Die
Einwilligung im Internet, 2014, p. 132). Dans les autres versions linguistiques en
effet, la directive sur la vie privée électronique se réfère littéralement et sur le
fond à la définition du consentement donnée dans la directive sur la protection des
données.
26 C’est ainsi que le considérant 17 se lit comme suit en langue anglaise :
« (17) For the purposes of this Directive, consent of a user or subscriber,
regardless of whether the latter is a natural or a legal person, should have the
same meaning as the
[Or. 9] data subject’s consent as defined and further
specified in Directive 95/46/EC. Consent may be given by any appropriate
method enabling a freely given specific and informed indication of the
user’s wishes, including by ticking a box when visiting an Internet
website ».
27 D’après le considérant, le consentement voulu par la directive sur la vie privée
électronique est soumis aux mêmes conditions que celles visées à l’article 2,
sous h), de la directive sur la protection des données. On y lit à nouveau dans la
version en langue anglaise :
« the data subject’s consent’ shall mean any freely given specific and
informed indication of his wishes by which the data subject signifies his
agreement to personal data relating to him being processed ».
6
PLANET49
28 Les principes de la directive sur la vie privée électronique sont réglés en droit
allemand à l’article 7, paragraphe 2, points 2 et 3, de l’UWG. Pour leur
interprétation, il en ressort que l’exigence d’une déclaration spéciale ne peut en
tout cas pas être déduite de la directive sur la vie privée électronique (Funke, Die
datenschutzrechtliche Einwilligung im Zivilrecht, 2017, S. 316).
29 C’est la raison pour laquelle, dans un arrêt récent, le BGH a considéré à juste titre
qu’un consentement à la publicité et un consentement relatif à la protection des
données peuvent tout de même être combinés à tout le moins dans un lien
thématique étroit (BGH, arrêt du 1er février 2018, Az. III ZR 196/17 ;
BeckRS 2018, 1448 et suiv.).
30 Dans l’affaire en cause ici il ne s’agit absolument pas de savoir si un
consentement à la publicité au titre de la directive sur la vie privée électronique
peut être combiné à un consentement relatif à la protection des données. La
défenderesse a en effet, dans le respect de l’enseignement de l’arrêt Payback,
établi comme condition particulière, pour donner le consentement à la publicité,
de cocher une case non précochée.
31 Pour le consentement relatif à la protection des données, qui fait l’objet des
questions préjudicielles du BGH, contrairement à l’enseignement de l’arrêt
Payback, l’organisateur a renoncé à recueillir une déclaration de consentement
distincte. Ainsi que nous l’avons exposé plus haut, cette façon de procéder
[Or. 10] était également admise. Dans une mise en évidence graphique
correspondante, il aurait même été admis de placer à proximité immédiate du
bouton de commande la formule de consentement sur les données protégées sans
même prévoir une case susceptible d’être décochée. Même dans ce cas la
déclaration de consentement aurait été faite en activant le bouton de participation.
La seule chose qui soit décisive c’est que le participant soit conscient, en activant
le bouton de participation, de donner également un consentement sur les données
protégées et que la formule de consentement soit suffisamment mise en évidence.
Ces conditions sont remplies dans le cas d’espèce où la mise en évidence est
encore accentuée par le placement d’une case susceptible d’être décochée, car une
telle configuration montre particulièrement clairement que plusieurs déclarations
de volonté sont ici liées.
32 Il s’ensuit que la question 1, sous b), peut recevoir la réponse suivante :
33 Lorsqu’aucune clause d’autorisation légale ne joue, le stockage d’informations à
caractère personnel ou l’accès à de telles données à caractère personnel requiert un
consentement relatif à la protection des données. Pareil consentement ne peut pas
être donné par un simple silence ni par l’acceptation d’une case précochée car le
consentement au traitement de données à caractère personnel présuppose une
action, une manifestation de volonté.
34 Un consentement relatif à la protection des données est cependant donné
lorsqu’un utilisateur participe à un jeu promotionnel et, en activant le bouton de
7
AFFAIRE C-673/17 - 13
participation, consent également à une utilisation de données décrite dans une
formule de consentement figurant à proximité immédiate du bouton de
participation. Tel est à tout le moins le cas lorsque, comme en l’espèce, le texte
comportant la déclaration relative aux données protégées est mis en évidence et
que l’utilisateur peut apercevoir, du fait d’une case précochée susceptible d’être
désactivée, qu’en participant au jeu promotionnel il fait également une déclaration
distincte de consentement relatif à la protection des données.
[Or. 11]
35
II.
Sur la question 1, sous a)
36 Si on lit la question 1, sous a), à ce point restrictivement qu’elle ne vise que la
collecte et le traitement de données sans caractère personnel (sinon la question
complémentaire 1, sous b), n’a aucun sens), cette question préjudicielle
n’intéresse par le litige au principal, car le consentement litigieux est censé
autoriser la collecte et le traitement de données à caractère personnel.
37 Ainsi que le BGH l’expose à juste titre, la réponse à la question 1, sous a), requiert
d’interpréter l’article 5 et l’article 2, sous f), de la directive sur les cookies lus
conjointement avec l’article 2, sous h), de la directive vie privée électronique.
38 L’article 6, paragraphe 1, sous a), du RGPD ne peut en revanche pas avoir
d’incidence sur l’interprétation car cette disposition n’était pas encore en vigueur
au moment où la clause a été utilisée et il est exclu qu’une règle future ait une
incidence rétroactive sur l’interprétation de règles en vigueur.
39 Dans l’article 5, paragraphe 3, de la version initiale de la directive vie privée
électronique, en cas de mise en place et d’utilisation d’un cookie recueillant des
informations sans caractère personnel, l’utilisateur devait être informé de manière
claire et complète des finalités du traitement et du droit de refuser le traitement.
Dans sa nouvelle version introduite par la directive cookie, l’article 5,
paragraphe 3 requiert également le consentement de l’utilisateur.
40 À l’article 15, paragraphe 3, TMG, le législateur allemand a trouvé une solution
d’opposition qui se lit comme suit :
41 À des fins publicitaires, d’étude de marché ou pour configurer les médias
électroniques selon les besoins, le fournisseur de service peut établir des profils
d’utilisation en employant des pseudonymes, pour autant que l’utilisateur ne s’y
oppose pas. Il appartient au fournisseur de service d’informer l’utilisateur
[Or. 12]
de son droit d’opposition dans le cadre des renseignements à fournir au titre de
l’article 13, paragraphe 1. Ces profils d’utilisation ne peuvent pas être fusionnés
avec des données relatives aux titulaires de pseudonyme.
42 Le législateur allemand a estimé que cette réglementation n’a pas dû être modifiée
après l’entrée en vigueur de la directive cookie. Le législateur allemand considère
ainsi, à l’instar d’autres pays (par exemple la Finlande, la Tchéquie, la Slovaquie,
la Hongrie, la Bulgarie et l’Irlande), que le consentement à l’utilisation d’un
cookie recueillant des informations sans caractère personnel peut aussi être obtenu
8
PLANET49
par une solution Opt-out. C’est aussi l’avis de la Commission européenne
puisqu’elle a confirmé qu’elle considère que la directive cookie est transposée en
Allemagne (Rauer/Ettig, ZD 2015, 255, 256).
43 Le considérant 66 de la directive cookie montre que cette conception est exacte.
On y lit littéralement :
« …
Il est donc extrêmement important que les utilisateurs disposent
d’informations claires et complètes lorsqu’ils entreprennent une démarche
susceptible de déboucher sur un stockage ou un accès de ce type. Les
méthodes retenues pour fournir des informations et offrir le droit de refus
devraient être les plus conviviales possibles. (…) Lorsque cela est
techniquement possible et effectif, conformément aux dispositions
pertinentes de la directive 95/46/CE, l’accord de l’utilisateur en ce qui
concerne le traitement peut être exprimé par l’utilisation des paramètres
appropriés d’un navigateur ou d’une autre application. » (souligné ici
uniquement)
44 Le législateur européen détermine même qu’un consentement peut être exprimé
par des paramètres du navigateur (par exemple en admettant des cookies). Mais
c’est précisément dans tous les cas où l’admission de cookies n’est pas empêchée
par le paramètre du navigateur qu’un consentement est donné. C’est la raison pour
laquelle
[Or. 13] il importe avant tout que l’utilisateur soit suffisamment informé
du mode de fonctionnement du cookie et du droit d’opposition.
45 L’installation de cookies est souvent bénéfique aux utilisateurs car cela améliore
l’utilisation. C’est la raison pour laquelle il arrive souvent que des entreprises
installent plusieurs cookies. Il ne serait pas conforme au principe du législateur,
voulant que les méthodes soient aussi conviviales que possible pour les
utilisateurs, de devoir recueillir une déclaration distincte pour chaque cookie. Cela
n’irait en particulier pas dans le sens d’une protection active des données car
l’utilisateur serait alors contraint de poser de nombreux actes de consentement qui
aboutiraient à ce que chaque acte de consentement perdre son sens et que des
consentements (et cela vaudrait aussi pour des consentements importants dans
l’utilisation de données à caractère personnel) ne soient plus donnés
qu’instantanément et sans examen plus précis.
46
III.
Sur la question préjudicielle 1, sous c)
47 a)
Dans la mesure où des données à caractère personnel sont concernées, ce
qui a été dit pour la question 1, sous b), vaut également pour la question 1, sous c.
La question 1, sous c), n’a cependant aucun intérêt pour l’affaire en cause car il
s’agit de l’utilisation de données intervenue avant l’entrée en vigueur du RGPD.
48 b)
Aucun consentement isolé ne sera requis même sous l’empire du RGPD.
Aux termes de l’article 6, sous a), du RGPD, le traitement n’est licite que si la
personne concernée a consenti au traitement de ses données à caractère personnel
pour une ou plusieurs finalités spécifiques. La réunion de plusieurs déclarations
9
AFFAIRE C-673/17 - 13
est ainsi déjà inscrite dans la règle. Le considérant 32, quatrième phrase, du RGPD
indique dès lors qu’un consentement à différentes finalités de traitement peut être
donné dans une déclaration (voir Krohn/Müller-Peltzer, ZD 2017, 551, 552). Ce
qui importe uniquement c’est qu’il y ait une déclaration expresse ce qui sera le cas
lorsque, comme ici, pour faire une déclaration il faut cliquer sur un bouton et pas
seulement rester sans réaction face à une case précochée.
[Or. 14]
49 L’interdiction de lier les consentements, récemment introduite à l’article 7,
paragraphe 4, du RGPD, ne fait pas obstacle à un consentement valable. C’est
ainsi que le considérant 43 du RGPD indique que le caractère libre [du
consentement] peut être mis en cause si un consentement distinct ne peut pas être
donné à différentes opérations de traitement des données à caractère personnel. Il
s’ensuit qu’il est toujours admis de lier plusieurs consentements lorsque seul
l’utilisateur, comme en l’espèce, se voit donner la possibilité, en pouvant décocher
une case, de nuancer les différentes déclarations.
50 Dans la mesure où la question 1, sous c), renvoie à la question 1, sous a), on doit
dire que le RGPD ne comporte aucune règle régissant une utilisation de données
sans caractère personnel.
51
IV.
Sur la question 2
52 a)
Il incombe au fournisseur de service de donner à l’utilisateur, dans le cadre
des informations claires et complètes à fournir au titre des dispositions combinées
de l’article 7, sous a), et de l’article 2, sous h), de la directive sur la protection des
données, l’ensemble des informations dont celui-ci a besoin pour pouvoir donner
un consentement informé. En font notamment partie les informations relatives au
mode de fonctionnement des cookies placés ainsi que sur les données couvertes
par ceux-ci.
53 Dans la mesure où des tiers obtiennent un accès à un cookie, il faut en informer
[l’utilisateur]. Mais lorsque, comme en l’espèce, seul le fournisseur de service qui
veut installer le cookie a accès au cookie dans une utilisation normale, il suffit de
faire état de cette circonstance ainsi que cela a été fait dans la formule de
consentement en cause. Lorsque, à l’inverse, d’autres fournisseurs n’ont pas accès,
il ne faut pas encore en faire état distinctement. Une telle obligation de donner une
double information ne serait pas conforme à l’intention du législateur de voir les
textes relatifs à la protection des données agréables à la lecture et de ce fait les
plus concis possible.
[Or. 15]
54 La durée de fonctionnement des cookies ne fait pas partie des informations à
donner. Pareille information n’aurait de toute façon pas de sens dès lors que la
durée de stockage est avant tout le fait de l’utilisateur. Celui-ci peut en particulier
révoquer à tout moment son consentement, ainsi qu’il en est aussi informé, ou
effacer lui-même les cookies. Ici aussi un simple doublement n’apporterait rien de
nouveau si l’utilisateur devait être informé que le cookie est stocké pour une durée
illimitée, tant que l’utilisateur ne révoque pas son consentement ou efface le
10
PLANET49
cookie. Il n’y a pas non plus de durée établie à partir de laquelle le cookie en
cause serait superflu en sorte qu’une limite de temps serait arbitraire. Certains
fournisseurs de cookies indiquent une durée de plusieurs décennies pour satisfaire
à certains auteurs qui exigent d’indiquer la durée de vie. Une telle indication serait
contre-productive en ce qu’elle gonflerait la formule de consentement sans valeur
ajoutée pour l’utilisateur.
55 La formule de consentement en cause a donné aux utilisateurs toutes les
informations dont ils avaient besoin pour prendre une décision informée en
connaissance de cause sur l’émission du consentement. L’Oberlandesgericht
Frankfurt l’a également déterminé (OLG Frankfurt a.M., jugement du
17 décembre 2015, Az. 6 U 30/15, GRUR-RR 2016, 252 ; approuvé par
Meyer/Lachermann, MMR 2016, 245, 248, selon lesquels le consentement en
cause répond aux conditions de transparence requises).
[Or. 16]
56
Résumé
57 En résumé, nous estimons qu’il convient dès lors de répondre comme suit aux
questions du juge de renvoi :
58 Il convient de répondre à la question 1, sous b), en ce sens qu’aucun consentement
ne peut être déclaré par une simple case précochée. Dans la mesure où l’utilisateur
ne décoche pas la case précochée figurant à côté de la formule de consentement
relatif à la protection des données et clique ensuite sur le bouton de participation,
il y a néanmoins un consentement valide relatif à la protection des données.
59 Il convient de répondre à la question 1, sous a), en ce sens qu’en l’absence de
caractère personnel d’un cookie, une case précochée peut être un consentement au
sens de l’article 5, paragraphe 3, de la directive sur la vie privée électronique dans
la version telle que modifiée par la directive cookie lorsque l’utilisateur a choisi
un paramètre de navigateur qui n’empêche pas l’installation de ce cookie et que
l’utilisateur est informé de la teneur du cookie et de son droit d’opposition sans
qu’une opposition ait été déclarée.
60 Ce qui a été dit sur la question 1, sous b), vaut tout d’abord aussi pour la
question 1, sous c). Indépendamment de cela, le clic sur le bouton de participation
dans les circonstances évoquées constitue un consentement valable au sens de
l’article 6, paragraphe 1, sous a), du RGPD, étant entendu que les objectifs de
l’interdiction du doublement peuvent aussi être remplis en prévoyant une case de
contrôle préremplie à côté de la formule de consentement relatif à la protection
des données. Le RGPD est muet quant au placement de cookies permettant de
recueillir des données sans caractère personnel.
61 En ce qui concerne la question 2, il convient de déterminer que les utilisateurs
doivent être informés de manière claire, complète et intelligible avant la
déclaration de consentement sur le placement d’un cookie destiné à recueillir des
données à caractère personnel et l’utilisation ultérieure des données. Il convient
11
AFFAIRE C-673/17 - 13
également d’indiquer qui a accès au cookie sans devoir dire dans le même temps
que d’autres entreprises non nommées n’y ont pas accès.
[Or. 17]
Il n’est en revanche pas nécessaire de donner une information explicite sur la
durée de fonctionnement des cookies dans la mesure où cette durée de
fonctionnement n’est pas établie.
(sé)
Me Martin Jaschinski
avocat
12