À l’ère de la toute-puissance d’internet, la Cour de justice de l’UE continue de recadrer les pratiques des fournisseurs d’accès comme des propriétaires de sites. Après , la ou le , les juges de Luxembourg ont tranché mardi dans une affaire portant sur l’utilisation des cookies.
Ces omniprésents témoins de connexion tracent la navigation des visiteurs d’un site internet, collectant une multitude d’informations permettant d’améliorer le fonctionnement du site pour les plus inoffensives, mais aussi de générer des publicités personnalisées en accédant aux produits consultés ou achetés par l’internaute.
L’affaire portée devant la Cour par la Cour fédérale d’Allemagne remonte à novembre 2013. La société Planet49 organise un jeu promotionnel à l’adresse www.dein-macbook.de, dont la participation requiert de cocher ou décocher deux cases. La première, non précochée, visait à obtenir l’autorisation des internautes concernant la réception d’offres promotionnelles. La seconde, cochée par défaut, marque le consentement des internautes quant à l’installation de cookies sur leur ordinateur. Lesquels permettent de recueillir des informations à des fins commerciales pour les partenaires de Planet49.
Il ne peut être exclu que l’utilisateur n’ait pas lu l’information accompagnant la case cochée par défaut, voire qu’il n’ait pas aperçu cette case, avant de poursuivre son activité sur le site internet qu’il visite.
C’est le Bundesverband der Verbraucherzentralen und Verbraucherverbände – la fédération allemande des organisations de consommateurs – qui a saisi la justice afin de faire barrage à cette pratique.
Interrogée par la Cour fédérale de justice allemande, la Cour estime qu’«un consentement donné au moyen d’une case cochée par défaut n’implique pas un comportement actif de la part de l’utilisateur d’un site internet», d’autant qu’«il ne peut être exclu que ledit utilisateur n’ait pas lu l’information accompagnant la case cochée par défaut, voire qu’il n’ait pas aperçu cette case, avant de poursuivre son activité sur le site internet qu’il visite».
Le fournisseur de services doit donner à l’utilisateur d’un site internet (…) la durée de fonctionnement des cookies ainsi que la possibilité ou non pour des tiers d’avoir accès à ces cookies.
Nuance à relever: le fait «que les informations stockées ou consultées dans l’équipement de l’utilisateur constituent ou non des données à caractère personnel n’influe pas sur ce résultat». Même anonymisées, les données récoltées sont à considérer comme des données personnelles. «Le droit de l’Union vise à protéger l’utilisateur de toute ingérence dans sa vie privée, notamment contre le risque que des identificateurs cachés ou autres dispositifs analogues pénètrent dans son équipement à son insu», justifie la Cour.
Celle-ci ajoute enfin que «le fournisseur de services doit donner à l’utilisateur d’un site internet (…) la durée de fonctionnement des cookies ainsi que la possibilité ou non pour des tiers d’avoir accès à ces cookies».