Task force « bandeaux cookies » du CEPD : ce que les autorités ont acté

Le rapport de la task force « bandeaux cookies » du CEPD (Comité européen de la protection des données), adopté le 17 janvier 2023, est ce qui se rapproche le plus, en Europe, d’un règlement commun pour les bandeaux cookies. Il consigne les positions sur lesquelles les autorités de protection des données de l’UE et de l’EEE se sont accordées en traitant plusieurs centaines de plaintes déposées par l’association NOYB : un bandeau avec un bouton d’acceptation et sans option de refus sur la même couche constitue un manquement pour une large majorité d’autorités ; des cases précochées ne produisent jamais un consentement valable ; une option de refus cachée sous forme de lien dans un paragraphe non plus ; les couleurs et le contraste s’apprécient au cas par cas, un texte illisible étant manifestement trompeur ; et retirer son consentement doit être aussi simple que le donner. Il fait huit pages et mérite d’être lu en entier ; voici ce qu’il dit et ce qu’il ne dit pas.

Pourquoi une task force

Entre mai 2021 et août 2022, dix-huit autorités ont reçu des plaintes de NOYB sur la conception des bandeaux cookies de centaines de sites. Les cookies relèvent de la directive ePrivacy telle que transposée dans chaque pays, et non du mécanisme de guichet unique du RGPD, si bien que chaque autorité était compétente pour ses propres résidents et qu’aucune autorité chef de file ne coordonnait. Les autorités ont créé une task force sur une base volontaire, coordonnée par la CNIL et l’autorité autrichienne, et se sont réunies treize fois. L’avertissement du rapport est prudent : les positions constituent un seuil minimal, un dénominateur commun pour apprécier ces plaintes ; elles ne préjugent pas de l’analyse de chaque site, et les règles et recommandations nationales continuent de s’appliquer par-dessus.

Le cadre juridique, rappelé

Deux points de droit ouvrent le rapport. D’abord, pour le dépôt ou la lecture de cookies, le cadre applicable est uniquement la loi nationale qui transpose la directive ePrivacy ; le RGPD s’applique à ce qui advient ensuite des données collectées, y compris au consentement lorsqu’il est la base légale de ce traitement. Ensuite, les notions du RGPD, en particulier les conditions d’un consentement valable, sont indispensables pour apprécier si la loi ePrivacy nationale a été enfreinte. Le rapport confirme aussi que la base légale du dépôt ou de la lecture de cookies au titre de l’article 5, paragraphe 3, ne peut pas être l’intérêt légitime du responsable de traitement, et que lorsque l’exigence ePrivacy n’est pas satisfaite, le traitement ultérieur des données ne peut pas non plus être conforme au RGPD.

Les pratiques, une par une

Pas de bouton de refus sur la première couche (type A). Certains bandeaux avaient un bouton d’acceptation et un bouton menant à d’autres options, mais aucun bouton pour refuser. La task force rappelle d’abord qu’aucun cookie soumis au consentement ne peut être déposé sans consentement, et que le consentement doit être un acte positif. À la question de savoir si un bandeau sans option de refus sur toute couche qui comporte un bouton de consentement enfreint la directive, une large majorité d’autorités a répondu oui : l’absence d’une telle option n’est pas conforme aux exigences d’un consentement valable. Quelques autorités n’étaient pas d’accord, parce que l’article 5, paragraphe 3, ne mentionne pas littéralement d’option de refus. C’est le paragraphe qui fonde le bouton « Tout refuser » ; les conséquences pour le design sont dans le guide du bouton Tout refuser.

Cases précochées (type B). Plusieurs bandeaux proposaient des options par catégorie avec les cases précochées sur la seconde couche. La task force confirme que des cases précochées ne conduisent pas à un consentement valable, en citant le considérant 32 du RGPD : « Il ne saurait dès lors y avoir de consentement en cas de silence, de cases cochées par défaut ou d’inactivité. »

Lien de refus trompeur (type C). Certains bandeaux proposaient le refus sous forme de lien plutôt que de bouton. La task force a convenu qu’un bandeau doit indiquer clairement de quoi il s’agit, pour quoi le consentement est demandé et comment consentir, et qu’un site ne doit pas concevoir le bandeau de façon à donner l’impression que le consentement est requis pour accéder au contenu, ni pousser clairement l’utilisateur à consentir. Deux exemples qui ne produisent pas de consentement valable : un lien « refuser » ou « continuer sans accepter » inséré dans un paragraphe du texte du bandeau sans mise en évidence visuelle pour attirer l’attention, et le même lien placé hors du bandeau où se trouvent les boutons d’acceptation, là encore sans mise en évidence visuelle.

Couleurs et contraste trompeurs des boutons (types D et E). Certains bandeaux mettaient en avant le bouton d’acceptation par la couleur et le contraste. La task force a convenu qu’une norme générale de couleur ou de contraste ne peut pas être imposée ; la conformité exige une vérification au cas par cas que les couleurs et le contraste ne sont pas manifestement trompeurs et ne produisent pas un consentement involontaire. Une pratique a été nommée comme manifestement trompeuse : une alternative au consentement proposée sous forme de bouton dont le texte est illisible sur son fond pour pratiquement tout utilisateur.

Intérêt légitime invoqué, liste des finalités (type H). Certains bandeaux proposaient l’acceptation sur la première couche sans refus, et distinguaient sur la seconde couche le refus des cookies de l’opposition à des traitements présentés comme relevant de l’intérêt légitime, pour des finalités telles que créer un profil de contenu personnalisé ou sélectionner des publicités personnalisées. La task force a estimé qu’aucun intérêt légitime prépondérant ne pouvait être considéré comme existant pour de tels traitements, que placer l’intérêt légitime dans des couches plus profondes pouvait faire croire aux utilisateurs qu’ils doivent refuser deux fois, et que des cookies ne peuvent en aucun cas être déposés sur le fondement de l’intérêt légitime.

Cookies essentiels mal classés (type I). Certains sites qualifiaient d’essentiels des cookies et des traitements servant des finalités que personne n’appellerait strictement nécessaires. La task force note la difficulté pratique d’une liste stable, parce que les cookies changent constamment, et fait peser sur les éditeurs de sites la responsabilité de tenir la liste de leurs cookies, de la fournir aux autorités sur demande et de démontrer le caractère essentiel de chacun. Elle observe que les outils de scan peuvent lister les cookies déposés mais pas déterminer leur nature, si bien que c’est la documentation de l’éditeur que les autorités demanderont, et elle rappelle l’avis de 2012 du groupe de travail « Article 29 » selon lequel les cookies qui mémorisent les préférences d’un utilisateur sur un service doivent être considérés comme essentiels.

Pas d’icône de retrait (type K). Certains sites n’avaient aucune icône visible en permanence pour revenir aux réglages de confidentialité. La task force dit que les éditeurs de sites doivent mettre en place des solutions facilement accessibles pour retirer son consentement à tout moment, par exemple une petite icône flottante visible en permanence ou un lien à un endroit visible et standardisé. Elle se limite ensuite : on peut exiger des éditeurs une solution facilement accessible une fois le consentement donné, mais pas une solution précise comme une icône flottante. Le test est de savoir si se rétracter est aussi simple que consentir, apprécié au cas par cas, à côté des deux autres conditions : la possibilité de se rétracter, et de le faire à tout moment.

Ce que le rapport ne fait pas

Il ne fixe pas de norme de couleur, n’impose pas de widget de retrait précis, ne tranche aucune plainte individuelle et ne remplace pas les règles nationales. Sa valeur tient à ce que les autorités de l’UE et de l’EEE qui y ont participé ont signé le même minimum, si bien qu’un bandeau qui y échoue échoue partout. La CNIL a cité le rapport dans ses mises en demeure de décembre 2024 contre des éditeurs dont l’option de refus était un lien discret, et ses positions rejoignent les lignes directrices de la CNIL de 2020, expliquées dans notre article sur les règles de la CNIL. Les amendes qui ont suivi sont dans le tour d’horizon des amendes.

L’appliquer à votre bandeau

Le bandeau Cookiequiet est construit selon ce tableau par défaut : « Tout accepter » et « Tout refuser » de la même taille sur le premier écran, « Personnaliser » à côté, des catégories désactivées, pas de couche « intérêt légitime », un tableau des cookies généré par le scan que vous complétez avec les raisons, et un lien « Préférences de cookies » que vous pouvez placer dans le pied de page ou afficher comme bouton flottant.