Alors que le Conseil d’État avait jugé que la licéité des Cookie Walls devait s’analyser au cas par cas, la CNIL a publié des critères permettant d’évaluer les pratiques respectueuses de la liberté de choix des internautes, et celles potentiellement illicites.
Cookies, Cookie Walls : définitions
Les cookies sont de petits fichiers stockés par un serveur dans le terminal d’un utilisateur pour des finalités diverses : mémoriser des identifiants, améliorer l’expérience utilisateur, tracer sa navigation à des fins publicitaires.
Certains cookies collectent des données à caractère personnel et sont soumis à la directive ePrivacy, au RGPD et à la Loi Informatique et Libertés.
Un Cookie Wall ou « mur de traceurs » est une pratique qui consiste à conditionner l’accès aux contenus et/ou aux services proposés par un site internet à l’acceptation, par l’utilisateur, du dépôt de cookies sur son terminal (ordinateur, tablette, smartphone etc.)
Si l’internaute refuse le dépôt de cookies, il ne pourra pas accéder au site ou à certains contenus.
Pour les éditeurs, les cookies peuvent constituer une source de revenus importante, voire l’unique, permettant ainsi de financer leurs services. C’est le cas notamment des services en ligne qui monétisent les données personnelles de leurs utilisateurs, en ayant recours à de la publicité ciblée.
Cookie Wall : légal ou pas légal ?
On peut distinguer deux sortes de cookies : ceux nécessaires au bon fonctionnement d’un site Internet, tels que ceux indispensables à sa sécurité et ceux sans lesquels le site pourrait fonctionner normalement.
La première catégorie de cookies peut être déposée par l’éditeur sans qu’il ne soit nécessaire de recueillir le consentement de l’utilisateur, ce dernier doit simplement être informé de l’existence et de la finalité desdits cookies.
En revanche, ceux qui ne sont pas indispensables, comme les cookies de mesure d’audience ou à finalité publicitaire, sont soumis au consentement des utilisateurs préalablement à leur dépôt.
Or, pour être valable, le consentement doit être donné librement.
Dans ses lignes directrices du 4 juillet 2019 portant notamment sur l’utilisation des cookies et autres traceurs, la CNIL s’était positionnée de manière catégorique : selon elle, les Cookie Walls n’étaient pas licites[1].
En cause, les « inconvénients majeurs en cas d’absence ou de retrait du consentement » : l’impossibilité d’accéder au site soumis à un Cookie Wall privait l’utilisateur d’un choix libre. Pour la CNIL, l’inconvénient est trop important, le choix n’en est pas vraiment un, le consentement est donc vicié.
Dans une décision du 19 juin 2020[2], le Conseil d’État avait annulé les lignes directrices de la CNIL sur ce point, jugeant qu’une interdiction « générale et absolue » de la pratique des Cookie Walls n’était pas justifiée, mais qu’une appréciation au cas par cas devait être conduite.
Prenant acte de cette décision, la CNIL avait procédé à la modification de ses lignes directrices en septembre 2020, reprenant à son compte la nécessité de se livrer à une appréciation au cas par cas de la licéité des Cookie Walls, sans pour autant orienter les responsables du traitement sur la manière de le faire[3].
C’est désormais chose faite : le 16 mai 2022, la CNIL a publié ses premiers critères d’évaluation des Cookie Walls.
L’existence d’une alternative « réelle et équitable »
La CNIL recommande aux éditeurs de proposer aux internautes qui refusent de consentir au dépôt de cookies « une alternative réelle et équitable » leur permettant d’accéder sous une autre condition au service, telle que le paiement d’une somme d’argent.
L’éditeur reste toutefois libre de ne proposer aucune alternative. Dans cette hypothèse, il doit être en mesure de démontrer qu’un autre éditeur permet d’accéder à des services équivalents sans Cookie Walls.
S’il privilégie cette solution, l’éditeur doit être particulièrement vigilant à ne pas créer un déséquilibre susceptible de priver l’utilisateur d’un véritable choix. Un tel déséquilibre pourrait notamment exister lorsque :
- l’éditeur dispose d’une exclusivité sur les contenus ou services proposés (par exemple, les sites des services administratifs) ;
- l’internaute n’a que peu ou pas d’alternative au service (par exemple, lorsque l’éditeur est un service dominant ou incontournable).
La CNIL précise que, dans le cas où le risque d’un tel déséquilibre existe, l’éditeur doit « veiller à la facilité d’accès pour l’utilisateur à cette alternative ».
La formulation n’est pas parfaitement claire : si l’éditeur dispose d’une exclusivité sur un service ou qu’il n’existe aucune alternative car il est en situation de monopole, comment pourrait-il faciliter l’accès à une alternative sur le marché, qui, par définition, n’existe pas ?
Il semble donc plus prudent d’envisager une alternative sur son propre site Internet, d’autant que faire reposer sa conformité sur l’existence d’alternatives tierces impose à l’éditeur d’effectuer une veille régulière de l’état du marché pour s’assurer que ses concurrents n’ont pas décidé, eux aussi, d’avoir recours à un Cookie Wall.
Le PayWall peut être licite sous réserve d’un tarif « raisonnable »
En pratique, le Cookie Wall prend souvent la forme d’un PayWall ou « mur à péage numérique ». Au lieu de contraindre l’internaute à accepter les cookies ou à lui interdire l’accès au contenu, le PayWall offre à l’internaute une alternative : il peut payer pour accéder au contenu, sans avoir à accepter le dépôt de cookies sur son terminal.
Tout d’abord, la CNIL rappelle qu’il est possible de conditionner l’accès à un site Internet au paiement d’une somme d’argent. Toutefois, cette contrepartie monétaire doit être « raisonnable » afin de ne pas priver l’internaute d’un véritable choix.
Se référant à la décision du Conseil d’État, la CNIL relève que le caractère raisonnable du prix fixé doit s’apprécier in concreto, s’abstenant ainsi de fixer un quelconque seuil.
Elle formule néanmoins quelques recommandations :
- Privilégier les micropaiements pour accéder au contenu qui intéresse l’utilisateur, plutôt que de le contraindre à payer un abonnement pour accéder à l’intégralité du site,
- Faciliter ces micropaiements à l’aide de porte-monnaie virtuels,
- Éviter de contraindre l’utilisateur à créer un compte pour pouvoir souscrire à l’abonnement permettant d’accéder au contenu, en l’absence de finalité déterminée (par exemple l’accès au contenu sur un autre terminal).
Cookie ou alternative aux cookies : quels traceurs peuvent être déposés par l’éditeur ?
Dans l’hypothèse où l’internaute ne souhaite pas recourir à l’alternative proposée par l’éditeur et accepte le dépôt de cookies, l’éditeur n’est néanmoins pas autorisé à déposer tout type de cookies sur le terminal de l’utilisateur.
Seuls les Cookies qui permettent une « juste rémunération du service » peuvent être déposés. Pour les autres, l’internaute doit se voir offrir la possibilité de les refuser ou de les accepter librement, en fonction de leur finalité.
L’éditeur est alors tenu d’informer clairement les internautes des finalités pour lesquelles il est nécessaire qu’ils consentent au dépôt de traceurs pour accéder au site, tels que la publicité ciblée.
Enfin, dans le cas où l’internaute choisit l’alternative au dépôt des cookies, et décide par exemple de payer, l’éditeur est autorisé à déposer seulement les cookies nécessaires au bon fonctionnement du site.
L’éditeur peut toutefois demander le consentement de l’utilisateur au dépôt de cookies lorsqu’ils sont imposés pour accéder à un contenu ou un service hébergé sur un site tiers qui requiert l’utilisation de cookies, comme la lecture d’une vidéo en ligne ou l’activation des boutons de partage sur les réseaux sociaux.
Lire la publication de la CNIL relative aux critères permettant d’évaluer la légalité des Cookie Walls
[1] CNIL, Délibération n° 2019-093 du 4 juillet 2019.
