This is an HTML version of an attachment to the Freedom of Information request 'Written observations in cases C-673/17 (Planet49)'.

 
Traduction  
C-673/17 - 13 
Observations de la défenderesse  
Affaire C-673/17 * 
Pièce déposée par :  
Planet49 GmbH 
Nom usuel de l’affaire :  
Planet49 
Date de dépôt :  
26 mars 2018 
 
[omissis] [Or. 2] 
Textes juridiques 
Nous visons les textes juridiques suivants dans les présentes observations : 
–  directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, 
relative  à  la  protection  des  personnes  physiques  à  l’égard  du  traitement  des 
données à caractère personnel et à la libre circulation de ces données (ci-après 
la « directive sur la protection des données ») ; 
–  directive 2002/58/CE du Parlement européen et  du Conseil du 12 juillet 2002 
concernant le traitement des données à caractère personnel et la protection de la 
vie  privée  dans  le  secteur  des  communications  électroniques  (directive  vie 
privée  et  communications  électroniques)  (ci-après  la  « directive  vie  privée 
électronique ») ; 
–  directive  2009/136/CE  du  Parlement  européen  et  du  Conseil  du  25 novembre 
2009  modifiant  la  directive  2002/22/CE  concernant  le  service  universel  et  les 
droits  des  utilisateurs  au  regard  des  réseaux  et  services  de  communications 
électroniques,  la  directive  2002/58/CE  concernant  le  traitement  des  données  à 
caractère  personnel  et  la  protection  de  la  vie  privée  dans  le  secteur  des 
communications  électroniques  et  le  règlement  (CE)  no 2006/2004  relatif  à  la 
coopération entre les autorités nationales chargées de veiller à l’application de 
la  législation  en  matière  de  protection  des  consommateurs  (ci-après  la 
« directive sur les cookies ») ; 
 
*  Langue de procédure : l’allemand. 
FR   

AFFAIRE C-673/17 - 13 
–  règlement  (UE)  2016/679  du  Parlement  européen  et  du  Conseil  du  27 avril 
2016 relatif à la protection des personnes physiques à l’égard du traitement des 
données  à  caractère  personnel  et  à  la  libre  circulation  de  ces  données,  et 
abrogeant  la  directive  95/46/CE  (règlement  général  sur  la  protection  des 
données) (ci-après le « RGPD ») ; 
–  Gesetz gegen den unlauteren Wettbewerb (loi contre la concurrence déloyale) 
dans  la  version  publiée  le  3 mars  2010  (BGBl  I,  p. 254),  modifiée  en  dernier 
lieu  par  l’article 4  de  la  loi  du  17 février  2016  (BGBl  I,  p. 233)  (ci-après 
l’« UWG ») ; 
–  Telemediengesetz (loi sur les médias électroniques) du 26 février 2006 (BGBl 
I,  p. 179),  modifiée  en  dernier  lieu  par  l’article 1er de  la  loi  du 
28 septembre 2017 (BGBl I, p. 3530) (ci-après la « TMG ») [Or. 3]  
–  Bundesdatenschutzgesetz  (loi  fédérale  sur  la  protection  des  données)  dans  la 
version  du  14 janvier  2003  (BGBl  I,  p. 66)  modifiée  en  dernier  lieu  par 
l’article 10,  paragraphe 2,  de  la  loi  du  31 octobre  2017  (BGBl  I,  p. 3618) 
(ci-après la « BDSG »). 

I. 
Sur l’affaire qui a donné lieu au litige  

Consentement  à  la  publicité  et  consentement  relatif  à  la  protection  des 
données
 

La  procédure  a  pour  objet  un  jeu  promotionnel  financé  par  la  publicité.  Pour 
pouvoir participer au jeu promotionnel, l’utilisateur doit cliquer sur un bouton de 
participation  après  avoir  enregistré  ses  données  personnelles  tels  ses  nom  et 
adresse. 

À  proximité  immédiate  du  bouton  de  participation  figurent  deux  formules  de 
déclaration  de  consentement  (voir  plus  avant  LG  Frankfurt  a.M., jugement  du 
10 décembre 2014, 2-06 O 030/14 p. 5) : 

D’une  part  au-dessus  du  bouton  de  participation  se  trouve  une  formule  de 
déclaration de consentement dans laquelle le participant déclare consentir à ce que 
l’organisatrice  du  jeu  promotionnel  et  les  sponsors  du  jeu  promotionnel 
nommément  cités  par  domaine  d’activité  lui  fassent  parvenir  de  la  publicité  par 
téléphone  et  par  e-mail  ou  SMS  (voir  sur  ses  termes  BGH,  ordonnance  du 
5 octobre  2017,  I  ZR  7/16,  point 2).  Ces  formules  de  consentement  préétablies 
(ci-après  la  « formule  de  consentement  à  la  publicité »)  concernent  un 
consentement  sur  la  forme  publicitaire.  La  publicité  par  téléphone  requiert  un 
consentement au titre de l’article 78, paragraphe 2, point 2, UWG (base juridique 
de droit européen : article 13, paragraphes 3 et 5, de la directive sur la vie privée 
électronique)  et  celle  par  e-mail  ou  SMS  au  titre  de  l’article 78,  paragraphe 2, 
point 3,  UWG  (base  juridique  de  droit  européen :  article 13,  paragraphe 1,  de  la 
directive  sur  la  vie  privée  électronique).  Le  texte  avec  le  « consentement  à  la 
publicité » est précédé d’une case vierge que l’utilisateur doit cocher. [Or. 4]  

 

PLANET49 

D’autre  part,  immédiatement  au-dessous  du  bouton  de  participation  figure  une 
clause visant un consentement relatif à la protection des données (voir sur le texte 
plus  avant  BGH,  ordonnance  du  5 octobre  2017,  1  ZR  7/16,  points 3  et  6).  En 
adhérant  à  cette  déclaration  de  consentement  relatif  à  la  protection  des  données, 
les  participants  sont  censés  déclarer  consentir  à  ce  que  l’organisateur  du  jeu 
promotionnel  (la  défenderesse)  installe  un  cookie  recensant  le  comportement  de 
l’utilisateur  visitant  d’autres  sites  en  permettant  ainsi  à  la  défenderesse  (et 
uniquement  à  la  défenderesse)  de  faire  une  publicité  ciblée  par  courrier 
électronique  (« Remintrex »).  Le  comportement  de  l’utilisateur  n’est  pas  recensé 
sur  toutes  les  pages  tiers  mais  uniquement  sur  les  pages  tiers  de  partenaires 
publicitaires  qui  ont  indiqué  de  leur  côté  dans  leur  déclaration  relative  à  la 
protection des données participer au programme de recensement (« Remintrex »). 
La  formule  de  consentement  évoque  clairement  et  intelligiblement  ces 
recensements de données protégées. À côté de la formule de consentement figure 
une  case  précochée  qui  peut  être  décochée.  Nous  appellerons  par  la  suite 
« formule de consentement sur les données protégées » cette deuxième formule de 
consentement qui  est  censée permettre  le placement d’un cookie et  la collecte et 
l’utilisation des données rassemblées par le cookie.  

Un utilisateur qui  participe au jeu promotionnel  de la défenderesse fait ainsi une 
triple déclaration en activant le bouton de participation : 

– Il déclare vouloir participer au jeu promotionnel. 

– Il donne un consentement à la publicité, c’est-à-dire qu’il déclare consentir, dans 
les  limites  tracées  par  la  formule  de  consentement  à  la  publicité,  à  ce  que  la 
défenderesse  et  les  sponsors  du  jeu  promotionnel  envoient  de  la  publicité  par 
courrier  électronique  ou  par  téléphone.  Cela  ne  vaut  cependant  que  lorsqu’il  a 
préalablement  coché  la  case  figurant  à  côté  de  la  formule  de  consentement  à  la 
publicité.  
10  –  Il  donne  un  consentement  relatif  à  la  protection  des  données  c’est-à-dire  qu’il 
déclare consentir au placement du cookie et à la collecte et utilisation de données 
comme décrit dans la formule de consentement sur les données protégées. Cela ne 
vaut cependant que lorsqu’il n’a pas décoché la case précochée figurant à côté de 
la  formule  de  consentement  à  la  publicité  avant  d’activer  le  bouton  de 
participation. [Or. 5] Seul ce consentement relatif à la protection des données fait 
l’objet des questions préjudicielles du BGH. 
11  Il  est  tout-à-fait  courant  dans  les  contrats  de  faire  ainsi  plusieurs  déclarations  de 
volonté dans un seul acte. Il est fréquent, précisément sur l’Internet, en particulier 
dans les contrats liés, que, en activant le bouton de commande, un utilisateur fasse 
en une seule fois plusieurs déclarations contractuelles (visées à travers le  bouton 
de  commande)  (par  exemple  acquisition  d’un  appareil  de  téléphonie  mobile, 
conclusion  d’un  contrat  relatif  au  réseau  fixe,  conclusion  d’un  contrat  de 
téléphonie mobile, conclusion d’un contrat d’assurance, etc.). 


AFFAIRE C-673/17 - 13 
12  Dans sa question préjudicielle, le BGH méconnaît les faits. Le BGH considère que 
le  consentement  relatif  à  la  protection  des  données  est  donné  du  fait  que 
l’utilisateur ne décoche pas la case figurant à côté de la [formule] de consentement 
sur  les  données  protégées  et  que  l’autorisation  est  ainsi  donnée  par  une  « case 
cochée  par  défaut que  l’utilisateur  doit  décocher  pour  refuser  de  donner  son 
consentement ». 
13  En  réalité,  le  consentement  est  donné  du  fait  que,  en  activant  le  bouton  de 
participation  tout  en  connaissant  la  formule  de  consentement  sur  les  données 
protégées,  l’utilisateur  indique  activement  vouloir  également  donner  le 
consentement  relatif  à  la  protection  des  données  énoncé  dans  la  formule  de 
consentement sur les données protégées.  
14  2. 
Objet du consentement relatif à la protection des données 
15  Le contenu du consentement relatif à la protection des données est décrit dans la 
formule  de  consentement  sur  les  données  protégées.  Le  participant  au  jeu 
promotionnel  qui  ne  désactive  pas  la  case  et  clique  ensuite  sur  le  bouton  de 
participation,  fait  une  déclaration  dont  le  contenu  est  décrit  dans  la  formule  de 
consentement  sur  les  données  protégées.  Par  cette  déclaration  de  consentement 
relatif  à la protection des données, il autorise la  défenderesse à placer un cookie 
permettant  de  saisir  et  de  recenser  le  comportement  des  utilisateurs  dans  leur 
utilisation  des  sites  de  partenaires  publicitaires  et  pouvoir  ainsi  adresser  par 
courrier  électronique  de  la  publicité  en  fonction  des  objectifs  et  intérêts.  Ce 
recensement  de  données  protégées  enrichit  [Or. 6]  les  données  à  caractère 
personnel  des  participants  détenues  par  la  défenderesse.  C’est  la  raison  pour 
laquelle  il  ne  s’agit  pas  ici  de  la  collecte  d’informations  anonymes  mais  du 
recensement et de l’utilisation de données à caractère personnel. 
16  3. Présentation de l’ordre dans lequel nous répondons aux questions   
17  Dans  la  question  1,  sous  a),  le  BGH  aborde,  selon  nous,  les  conditions  requises 
d’un  consentement  à  un  cookie  qui  ne  collecte  aucune  donnée  à  caractère 
personnel tandis que la question 1, sous b), concerne le consentement à un cookie 
destiné  à  recueillir  et  utiliser  des  données  à  caractère  personnel.  S’agissant  en 
l’espèce  d’un  cookie  destiné  à  recueillir  et  utiliser  des  données  à  caractère 
personnel, la question décisive dans le litige est donc la question 1, sous b). Nous 
voulons  dès  lors  commencer  par  répondre  à  cette  question  et  ne  répondre 
qu’ensuite aux questions 1, sous a), 1, sous c), et 2. 
18  II. 
Sur la question 1, sous b) 
19  Aux  termes  de  l’article 4,  paragraphe 1,  de  la  BDSG  et  de  l’article 12, 
paragraphe 1, de la TMG, la conservation d’informations à caractère personnel ou 
l’accès  à  des  informations  à  caractère  personnel,  déjà  conservées  dans  l’appareil 
de  l’utilisateur,  ne  sont  admises  qu’avec  le  consentement  de  l’utilisateur  ou 
lorsque les conditions d’une autorisation légale sont réunies. Ces règles procèdent 
des  dispositions  combinées  de  l’article 7,  sous  a),  et  de  l’article 2,  sous  h),  de  la 

 

PLANET49 
directive  sur  la  protection  des  données.  Aux  termes  de  celle-ci  (ou  de  la 
disposition  de  droit  interne  de  l’article 4bis  de  la  BDSG),  le  consentement  est 
« toute  manifestation  de  volonté,  libre,  spécifique  et  informée  par  laquelle  la 
personne concernée accepte que des données à caractère personnel la concernant 
fassent l’objet d’un traitement ». 
20  L’article 4 bis de la BDSG ne régit en ordre principal que le consentement écrit. 
On  considère  unanimement  qu’en  principe  un  consentement  peut  également  être 
donné  sous  forme  électronique  pour  autant  qu’il  ne  soit  pas  expressément  exclu 
(voir notamment Simitis, Bundesdatenschutzgesetz, 8ème édition 2014, article 4bis, 
point 36). [Or. 7]  
21  Le  consentement  relatif  aux  données  protégées  peut  en  principe  ne  pas  être 
uniquement  donné  par  une  déclaration  spéciale  c’est-à-dire  distincte  d’autres 
déclarations de volonté. Plusieurs déclarations peuvent au contraire être liées entre 
elles  même  si  elles  ne  portent  pas  sur  des  données  protégées.  Dans  ce  cas,  la 
formule  de  consentement  sur  les  données  protégées  doit  cependant  être 
particulièrement  mise  en  évidence  (article 4bis,  paragraphe 1,  quatrième  phrase, 
de  la  BDSG),  pour  garantir  une  transparence  suffisante  et  une  déclaration  en 
connaissance  de  cause  suffisante  de  la  part  du  déclarant.  On  n’aperçoit  pas  de 
conditions plus strictes qui seraient requises par la directive sur la protection des 
données.  
22  Pour le consentement relatif à la protection des données, le BGH a déjà décidé à 
ce titre en 2008 que l’accord relatif à la protection des données peut être lié à la 
commande d’une carte de client (BGH, arrêt du 16 juillet 2008, VIII ZR 348/06, 
MMR 2008, 731 et suiv. – Payback). Le BGH a indiqué en particulier à cet égard 
que  la  directive  sur  la  protection  des  données  ne  s’oppose  pas  à  pareille 
combinaison. Tel est à tout le moins le cas, dans la conception du BGH, lorsque la 
clause  du  consentement  relatif  à  la  protection  des  données,  que  l’utilisateur 
accepte en commandant une carte de client, est assortie d’une faculté de refus. 
23  L’idée du BGH qui se dégage de l’arrêt Payback, selon laquelle un consentement 
relatif à la protection des données peut  également  être lié à d’autres déclarations 
de volonté, correspond aussi à la conception du groupe de travail institué en vertu 
de  l’article 29  de  la  directive  sur  la  protection  des  données,  qui  est  le  groupe  de 
conseillers  indépendants  de  la  Commission  européenne  en  matière  de  protection 
des données : selon lui, le consentement relatif à la protection des données requiert 
une  manifestation  de  volonté.  La  forme  de  cette  manifestation  de  volonté  ne 
connaît aucune  restriction, seul  un comportement purement passif ne suffira pas. 
Le consentement est libre lorsque la personne concernée a une réelle possibilité de 
choix  et  ne  subit  pas  de  pression.  Cette  condition  est  indubitablement  remplie 
lorsque  l’utilisateur  a  la  possibilité  de  décocher  la  case  correspondant  à  la 
déclaration. De surcroît, le consentement doit être donné pour le cas concret et on 
ne peut dès lors pas donner de consentement global sans en indiquer l’objet précis. 
[Or. 8]
 De surcroît, la personne concernée doit connaître tous les faits et effets de 
son consentement. Enfin, et  c’est  ce qui  est  décisif, la directive sur la protection 


AFFAIRE C-673/17 - 13 
des données ne requiert pas d’Opt-In exprès spécial en sorte qu’une combinaison 
avec d’autres déclarations est possible (voir sur ce point dans son ensemble, l’avis 
15/2011 sur la définition du consentement, adopté le 13 juillet 2011 par le groupe 
de  travail  institué  en  vertu  de  l’article 29  de  la  directive  sur  la  protection  des 
données, WP 187, p. 13 à 24, p. 30). 
24  d) 
Dans l’arrêt Payback, le Bundesgerichtshof a cependant également exposé 
que  des  conditions  plus  strictes  seront  requises  lorsque  le  consentement  sera 
recueilli  non  pas  (uniquement)  pour  la  protection  des  données  mais  également 
pour la forme publicitaire (courrier électronique ou publicité par téléphone) étant 
un  consentement  sur  la  publicité.  Dans  ce  cas,  le  BGH  estime  qu’il  faudra  une 
déclaration  de  consentement  « spéciale »  c’est-à-dire  distincte  d’autres 
déclarations.  Le  BGH  estime que cette condition  est  remplie lorsque l’utilisateur 
doit  cocher  à  côté  de  la  déclaration  de  consentement  une  case  qui  n’est  pas 
précochée.  
25  Le BGH fonde cette condition requise sur le considérant 17 de la directive sur la 
vie  privée  électronique  qui  suppose  « d’indiquer »  le  consentement  « de  manière 
spécifique ».  Toutefois,  cet  argument  de  texte  a  été  réfuté  de  manière 
convaincante  dans  l’intervalle :  la  condition  requise  « d’indiquer  de  manière 
spécifique »  est  une  simple  imprécision  dans  la  traduction  en  langue  allemande 
[spezifischen  Angabe]  (voir  Funke,  Die  datenschutzrechtliche  Einwilligung  im 
Zivilrecht,  2017,  S. 100  f.;  Hanloser,  CR  2008,  713,  717 ;  Rogosch,  Die 
Einwilligung  im  Datenschutzrecht,  2013,  p. 121  f.;  von  Zimmermann,  Die 
Einwilligung im Internet, 2014, p. 132). Dans les autres versions linguistiques en 
effet,  la  directive  sur  la  vie  privée  électronique  se  réfère  littéralement  et  sur  le 
fond à la définition du consentement donnée dans la directive sur la protection des 
données. 
26  C’est ainsi que le considérant 17 se lit comme suit en langue anglaise :  
« (17)  For  the  purposes  of  this  Directive,  consent  of  a  user  or  subscriber, 
regardless of whether the latter is a natural or a legal person, should have the 
same  meaning  as  the  [Or. 9]  data  subject’s  consent  as  defined  and  further 
specified  in  Directive  95/46/EC.  Consent  may  be  given  by  any  appropriate 
method  enabling  a  freely  given  specific  and  informed  indication  of  the 
user’s  wishes,  including  by  ticking  a  box  when  visiting  an  Internet 
website ». 
27  D’après  le  considérant,  le  consentement  voulu  par  la  directive  sur  la  vie  privée 
électronique  est  soumis  aux  mêmes  conditions  que  celles  visées  à  l’article 2, 
sous h), de la directive sur la protection des données. On  y lit  à nouveau dans la 
version en langue anglaise : 
« the  data  subject’s  consent’  shall  mean  any  freely  given  specific  and 
informed  indication  of  his  wishes  by  which  the  data  subject  signifies  his 
agreement to personal data relating to him being processed ». 

 

PLANET49 
28  Les  principes  de  la  directive  sur  la  vie  privée  électronique  sont  réglés  en  droit 
allemand  à  l’article 7,  paragraphe 2,  points 2  et  3,  de  l’UWG.  Pour  leur 
interprétation,  il  en  ressort  que  l’exigence  d’une  déclaration  spéciale  ne  peut  en 
tout cas pas être déduite de la directive sur la vie privée électronique (Funke, Die 
datenschutzrechtliche Einwilligung im Zivilrecht, 2017, S. 316). 
29  C’est la raison pour laquelle, dans un arrêt récent, le BGH a considéré à juste titre 
qu’un  consentement  à  la  publicité  et  un  consentement  relatif  à  la  protection  des 
données  peuvent  tout  de  même  être  combinés  à  tout  le  moins  dans  un  lien 
thématique  étroit  (BGH,  arrêt  du  1er février  2018,  Az.  III  ZR  196/17 ; 
BeckRS 2018, 1448 et suiv.). 
30  Dans  l’affaire  en  cause  ici  il  ne  s’agit  absolument  pas  de  savoir  si  un 
consentement  à  la  publicité  au  titre  de  la  directive  sur  la  vie  privée  électronique 
peut  être  combiné  à  un  consentement  relatif  à  la  protection  des  données.  La 
défenderesse  a  en  effet, dans  le  respect  de  l’enseignement  de  l’arrêt  Payback, 
établi  comme  condition  particulière,  pour  donner  le  consentement  à  la  publicité, 
de cocher une case non précochée. 
31  Pour  le  consentement  relatif  à  la  protection  des  données,  qui  fait  l’objet  des 
questions  préjudicielles  du  BGH,  contrairement  à  l’enseignement  de  l’arrêt 
Payback,  l’organisateur  a  renoncé  à  recueillir  une  déclaration  de  consentement 
distincte.  Ainsi  que  nous  l’avons  exposé  plus  haut,  cette  façon  de  procéder 
[Or. 10]  était  également  admise.  Dans  une  mise  en  évidence  graphique 
correspondante,  il  aurait  même  été  admis  de  placer  à  proximité  immédiate  du 
bouton de commande la formule de consentement sur les données protégées sans 
même  prévoir  une  case  susceptible  d’être  décochée.  Même  dans  ce  cas  la 
déclaration de consentement aurait été faite en activant le bouton de participation. 
La seule chose qui soit décisive c’est que le participant soit conscient, en activant 
le bouton de participation, de donner également un consentement sur les données 
protégées et que la formule de consentement soit suffisamment mise en évidence. 
Ces  conditions  sont  remplies  dans  le  cas  d’espèce  où  la  mise  en  évidence  est 
encore accentuée par le placement d’une case susceptible d’être décochée, car une 
telle  configuration  montre  particulièrement  clairement  que  plusieurs  déclarations 
de volonté sont ici liées.  
32  Il s’ensuit que la question 1, sous b), peut recevoir la réponse suivante : 
33  Lorsqu’aucune  clause  d’autorisation  légale  ne  joue,  le  stockage  d’informations  à 
caractère personnel ou l’accès à de telles données à caractère personnel requiert un 
consentement relatif à la protection des données. Pareil consentement ne peut pas 
être donné par un simple silence ni par l’acceptation d’une case précochée car le 
consentement  au  traitement  de  données  à  caractère  personnel  présuppose  une 
action, une manifestation de volonté. 
34  Un  consentement  relatif  à  la  protection  des  données  est  cependant  donné 
lorsqu’un  utilisateur  participe  à  un  jeu  promotionnel  et,  en  activant  le  bouton  de 


AFFAIRE C-673/17 - 13 
participation,  consent  également  à  une  utilisation  de  données  décrite  dans  une 
formule  de  consentement  figurant  à  proximité  immédiate  du  bouton  de 
participation.  Tel  est  à  tout  le  moins  le  cas  lorsque,  comme  en  l’espèce,  le  texte 
comportant  la  déclaration  relative  aux  données  protégées  est  mis  en  évidence  et 
que  l’utilisateur  peut  apercevoir,  du  fait  d’une  case  précochée  susceptible  d’être 
désactivée, qu’en participant au jeu promotionnel il fait également une déclaration 
distincte de consentement relatif à la protection des données. [Or. 11]  
35  II. 
Sur la question 1, sous a) 
36  Si  on  lit  la  question  1,  sous  a),  à  ce  point  restrictivement  qu’elle  ne  vise  que  la 
collecte  et  le  traitement  de  données  sans  caractère  personnel  (sinon  la  question 
complémentaire  1,  sous  b),  n’a  aucun  sens),  cette  question  préjudicielle 
n’intéresse  par  le  litige  au  principal,  car  le  consentement  litigieux  est  censé 
autoriser la collecte et le traitement de données à caractère personnel. 
37  Ainsi que le BGH l’expose à juste titre, la réponse à la question 1, sous a), requiert 
d’interpréter  l’article 5  et  l’article 2,  sous  f),  de  la  directive  sur  les  cookies  lus 
conjointement avec l’article 2, sous h), de la directive vie privée électronique. 
38  L’article 6,  paragraphe 1,  sous  a),  du  RGPD  ne  peut  en  revanche  pas  avoir 
d’incidence sur l’interprétation car cette disposition n’était pas encore en vigueur 
au  moment  où  la  clause  a  été  utilisée  et  il  est  exclu  qu’une  règle  future  ait  une 
incidence rétroactive sur l’interprétation de règles en vigueur.  
39  Dans  l’article 5,  paragraphe 3,  de  la  version  initiale  de  la  directive  vie  privée 
électronique,  en  cas  de  mise  en  place  et  d’utilisation  d’un  cookie  recueillant  des 
informations sans caractère personnel, l’utilisateur devait être informé de manière 
claire  et  complète  des  finalités  du  traitement  et  du  droit  de  refuser  le  traitement. 
Dans  sa  nouvelle  version  introduite  par  la  directive  cookie,  l’article 5, 
paragraphe 3 requiert également le consentement de l’utilisateur. 
40  À  l’article 15,  paragraphe 3,  TMG,  le  législateur  allemand  a  trouvé  une  solution 
d’opposition qui se lit comme suit :  
41  À  des  fins  publicitaires,  d’étude  de  marché  ou  pour  configurer  les  médias 
électroniques  selon  les  besoins,  le  fournisseur  de  service  peut  établir  des  profils 
d’utilisation  en  employant  des  pseudonymes,  pour  autant  que  l’utilisateur  ne  s’y 
oppose pas. Il appartient au fournisseur de service d’informer l’utilisateur [Or. 12] 
de  son  droit  d’opposition  dans  le  cadre  des  renseignements  à  fournir  au  titre  de 
l’article 13,  paragraphe 1.  Ces  profils  d’utilisation  ne  peuvent  pas  être  fusionnés 
avec des données relatives aux titulaires de pseudonyme. 
42  Le législateur allemand a estimé que cette réglementation n’a pas dû être modifiée 
après l’entrée en vigueur de la directive cookie. Le législateur allemand considère 
ainsi, à l’instar d’autres pays (par exemple la Finlande, la Tchéquie, la Slovaquie, 
la  Hongrie,  la  Bulgarie  et  l’Irlande),  que  le  consentement  à  l’utilisation  d’un 
cookie recueillant des informations sans caractère personnel peut aussi être obtenu 

 

PLANET49 
par  une  solution  Opt-out.  C’est  aussi  l’avis  de  la  Commission  européenne 
puisqu’elle a confirmé qu’elle considère que la directive cookie est transposée en 
Allemagne (Rauer/Ettig, ZD 2015, 255, 256). 
43  Le  considérant  66  de  la  directive  cookie  montre  que  cette  conception  est  exacte. 
On y lit littéralement : 
« …  Il  est  donc  extrêmement  important  que  les  utilisateurs  disposent 
d’informations  claires  et  complètes  lorsqu’ils  entreprennent  une  démarche 
susceptible  de  déboucher  sur  un  stockage  ou  un  accès  de  ce  type.  Les 
méthodes  retenues  pour  fournir  des  informations  et  offrir  le  droit  de  refus 
devraient  être  les  plus  conviviales  possibles.  (…)  Lorsque  cela  est 
techniquement  possible  et  effectif,  conformément  aux  dispositions 
pertinentes  de  la  directive  95/46/CE,  l’accord  de  l’utilisateur  en  ce  qui 
concerne  le  traitement  peut  être  exprimé  par  l’utilisation  des  paramètres 
appropriés  d’un  navigateur  ou  d’une  autre  application
. »  (souligné  ici 
uniquement) 
44  Le  législateur  européen  détermine  même  qu’un  consentement  peut  être  exprimé 
par  des  paramètres  du  navigateur  (par  exemple  en  admettant  des  cookies).  Mais 
c’est précisément dans tous les cas où l’admission de cookies n’est pas empêchée 
par le paramètre du navigateur qu’un consentement est donné. C’est la raison pour 
laquelle [Or. 13] il importe avant tout que l’utilisateur soit suffisamment informé 
du mode de fonctionnement du cookie et du droit d’opposition. 
45  L’installation de cookies est  souvent  bénéfique  aux utilisateurs car  cela améliore 
l’utilisation.  C’est  la  raison  pour  laquelle  il  arrive  souvent  que  des  entreprises 
installent  plusieurs  cookies.  Il  ne  serait  pas  conforme  au  principe  du  législateur, 
voulant  que  les  méthodes  soient  aussi  conviviales  que  possible  pour  les 
utilisateurs, de devoir recueillir une déclaration distincte pour chaque cookie. Cela 
n’irait  en  particulier  pas  dans  le  sens  d’une  protection  active  des  données  car 
l’utilisateur serait alors contraint de poser de nombreux actes de consentement qui 
aboutiraient  à  ce  que  chaque  acte  de  consentement  perdre  son  sens  et  que  des 
consentements  (et  cela  vaudrait  aussi  pour  des  consentements  importants  dans 
l’utilisation  de  données  à  caractère  personnel)  ne  soient  plus  donnés 
qu’instantanément et sans examen plus précis.  
46  III. 
Sur la question préjudicielle 1, sous c) 
47  a) 
Dans  la  mesure  où  des  données  à  caractère  personnel  sont  concernées,  ce 
qui a été dit pour la question 1, sous b), vaut également pour la question 1, sous c. 
La  question  1,  sous  c),  n’a  cependant  aucun  intérêt  pour  l’affaire  en  cause  car  il 
s’agit de l’utilisation de données intervenue avant l’entrée en vigueur du RGPD.  
48  b) 
Aucun  consentement  isolé  ne  sera  requis  même  sous  l’empire  du  RGPD. 
Aux  termes  de  l’article 6,  sous  a),  du  RGPD,  le  traitement  n’est  licite  que  si  la 
personne concernée a consenti au traitement de ses données à caractère personnel 
pour  une  ou  plusieurs  finalités  spécifiques.  La  réunion  de  plusieurs  déclarations 


AFFAIRE C-673/17 - 13 
est ainsi déjà inscrite dans la règle. Le considérant 32, quatrième phrase, du RGPD 
indique dès lors qu’un consentement à différentes finalités de traitement peut être 
donné  dans  une  déclaration  (voir  Krohn/Müller-Peltzer,  ZD 2017,  551,  552).  Ce 
qui importe uniquement c’est qu’il y ait une déclaration expresse ce qui sera le cas 
lorsque, comme ici, pour faire une déclaration il faut cliquer sur un bouton et pas 
seulement rester sans réaction face à une case précochée. [Or. 14]  
49  L’interdiction  de  lier  les  consentements,  récemment  introduite  à  l’article 7, 
paragraphe 4,  du  RGPD,  ne  fait  pas  obstacle  à  un  consentement  valable.  C’est 
ainsi  que  le  considérant  43  du  RGPD  indique  que  le  caractère  libre  [du 
consentement] peut être mis en cause si un consentement distinct ne peut pas être 
donné à différentes opérations de traitement des données à caractère personnel. Il 
s’ensuit  qu’il  est  toujours  admis  de  lier  plusieurs  consentements  lorsque  seul 
l’utilisateur, comme en l’espèce, se voit donner la possibilité, en pouvant décocher 
une case, de nuancer les différentes déclarations. 
50  Dans la mesure où la question 1, sous c), renvoie à la question 1, sous a), on doit 
dire que le RGPD ne comporte aucune règle régissant une utilisation de données 
sans caractère personnel. 
51  IV. 
Sur la question 2 
52  a) 
Il incombe au fournisseur de service de donner à l’utilisateur, dans le cadre 
des informations claires et complètes à fournir au titre des dispositions combinées 
de l’article 7, sous a), et de l’article 2, sous h), de la directive sur la protection des 
données, l’ensemble des informations dont celui-ci a besoin pour pouvoir donner 
un consentement informé. En font notamment partie les informations relatives au 
mode  de  fonctionnement  des  cookies  placés  ainsi  que  sur  les  données  couvertes 
par ceux-ci. 
53  Dans la mesure où des tiers obtiennent  un accès  à un cookie, il faut  en informer 
[l’utilisateur]. Mais lorsque, comme en l’espèce, seul le fournisseur de service qui 
veut installer le cookie a accès au cookie dans une utilisation normale, il suffit de 
faire  état  de  cette  circonstance  ainsi  que  cela  a  été  fait  dans  la  formule  de 
consentement en cause. Lorsque, à l’inverse, d’autres fournisseurs n’ont pas accès, 
il ne faut pas encore en faire état distinctement. Une telle obligation de donner une 
double information ne serait pas conforme à l’intention du législateur de voir les 
textes  relatifs  à  la  protection  des  données  agréables  à  la  lecture  et  de  ce  fait  les 
plus concis possible. [Or. 15]  
54  La  durée  de  fonctionnement  des  cookies  ne  fait  pas  partie  des  informations  à 
donner.  Pareille  information  n’aurait  de  toute  façon  pas  de  sens  dès  lors  que  la 
durée de stockage est avant tout le fait de l’utilisateur. Celui-ci peut en particulier 
révoquer  à  tout  moment  son  consentement,  ainsi  qu’il  en  est  aussi  informé,  ou 
effacer lui-même les cookies. Ici aussi un simple doublement n’apporterait rien de 
nouveau si l’utilisateur devait être informé que le cookie est stocké pour une durée 
illimitée,  tant  que  l’utilisateur  ne  révoque  pas  son  consentement  ou  efface  le 
10 
 

PLANET49 
cookie.  Il  n’y  a  pas  non  plus  de  durée  établie  à  partir  de  laquelle  le  cookie  en 
cause  serait  superflu  en  sorte  qu’une  limite  de  temps  serait  arbitraire.  Certains 
fournisseurs de cookies indiquent une durée de plusieurs décennies pour satisfaire 
à certains auteurs qui exigent d’indiquer la durée de vie. Une telle indication serait 
contre-productive en ce qu’elle gonflerait la formule de consentement sans valeur 
ajoutée pour l’utilisateur. 
55  La  formule  de  consentement  en  cause  a  donné  aux  utilisateurs  toutes  les 
informations  dont  ils  avaient  besoin  pour  prendre  une  décision  informée  en 
connaissance  de  cause  sur  l’émission  du  consentement.  L’Oberlandesgericht 
Frankfurt  l’a  également  déterminé  (OLG  Frankfurt  a.M.,  jugement  du 
17 décembre  2015,  Az.  6  U  30/15,  GRUR-RR  2016,  252 ;  approuvé  par 
Meyer/Lachermann,  MMR  2016,  245,  248,  selon  lesquels  le  consentement  en 
cause répond aux conditions de transparence requises). [Or. 16]  
56  Résumé 
57  En  résumé,  nous  estimons  qu’il  convient  dès  lors  de  répondre  comme  suit  aux 
questions du juge de renvoi : 
58  Il convient de répondre à la question 1, sous b), en ce sens qu’aucun consentement 
ne peut être déclaré par une simple case précochée. Dans la mesure où l’utilisateur 
ne  décoche  pas  la  case  précochée  figurant  à  côté  de  la  formule  de  consentement 
relatif à la protection des données et clique ensuite sur le bouton de participation, 
il y a néanmoins un consentement valide relatif à la protection des données. 
59  Il  convient  de  répondre  à  la  question  1,  sous  a),  en  ce  sens  qu’en  l’absence  de 
caractère personnel d’un cookie, une case précochée peut être un consentement au 
sens de l’article 5, paragraphe 3, de la directive sur la vie privée électronique dans 
la  version  telle  que  modifiée  par  la  directive  cookie  lorsque  l’utilisateur  a  choisi 
un  paramètre  de  navigateur  qui  n’empêche  pas  l’installation  de  ce  cookie  et  que 
l’utilisateur  est  informé  de  la  teneur  du  cookie  et  de  son  droit  d’opposition  sans 
qu’une opposition ait été déclarée. 
60  Ce  qui  a  été  dit  sur  la  question  1,  sous  b),  vaut  tout  d’abord  aussi  pour  la 
question 1, sous c). Indépendamment de cela, le clic sur le bouton de participation 
dans  les  circonstances  évoquées  constitue  un  consentement  valable  au  sens  de 
l’article 6,  paragraphe 1,  sous  a),  du  RGPD,  étant  entendu  que  les  objectifs  de 
l’interdiction du doublement peuvent aussi être remplis en prévoyant une case de 
contrôle  préremplie  à  côté  de  la  formule  de  consentement  relatif  à  la  protection 
des  données.  Le  RGPD  est  muet  quant  au  placement  de  cookies  permettant  de 
recueillir des données sans caractère personnel. 
61  En  ce  qui  concerne  la  question  2,  il  convient  de  déterminer  que  les  utilisateurs 
doivent  être  informés  de  manière  claire,  complète  et  intelligible  avant  la 
déclaration de consentement sur le placement d’un cookie destiné à recueillir des 
données  à  caractère  personnel  et  l’utilisation  ultérieure  des  données.  Il  convient 
11 

AFFAIRE C-673/17 - 13 
également d’indiquer qui a accès au cookie sans devoir dire dans le même temps 
que d’autres entreprises non nommées n’y ont pas accès. [Or. 17]  
Il  n’est  en  revanche  pas  nécessaire  de  donner  une  information  explicite  sur  la 
durée  de  fonctionnement  des  cookies  dans  la  mesure  où  cette  durée  de 
fonctionnement n’est pas établie. 
(sé) 
Me Martin Jaschinski 
avocat 
12