1/32
Chambre Contentieuse
Décision quant au fond 11/2022 du 21 janvier 2022
N° de dossier : DOS-2018-05968
Objet : Plainte transfrontalière sur les cookies
La Chambre Contentieuse de l'Autorité de protection des données, constituée de Monsieur
Hielke Hijmans, président, et de Messieurs Yves Poullet et Christophe Boeraeve, membres,
reprenant l’affaire en cette composition ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel
et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur
la protection des données), ci-après RGPD;
Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après
LCA);
Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le 20
décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier ;
a pris la décision suivante concernant :
le plaignant : M. X
la défenderesse : Y. représentée par son conseil, Maître Rue, Chaussée de La Hulpe, 177/12,
1170 Bruxelles.
Décision quant au fond 11/2022 - 2/32
I- Rétroactes de procédure
1. Vu la plainte reçue via le système IMI par l’autorité de protection des données de Berlin
(Berliner Beauftragte für Datenschutz und Informationsfreiheit) le 24 août 2018 à l’Autorité de
protection des données (APD);
2. Vu la décision du 23 novembre 2018 du président de la Chambre contentieuse de transférer le
dossier au service d’inspection pour enquête ;
3. Vu le rapport d’enquête du Service d’Inspection (« SI » ci-après) du 19 octobre 2019 ;
4. Vu les échanges entre l’autorité de la protection des données de Berlin (Berliner Beauftragte
für Datenschutz und Informationsfreiheit) et l’APD, dans le contexte de l’article 60 du RGPD ;
5. Vu la décision du 29 avril 2020 du président de la Chambre contentieuse estimant que le dossier
était prêt pour traitement quant au fond en vertu des articles 95 § 1er, 1° et 98 LCA, le
président a invité les parties à conclure par courrier à la même date;
6. Vu les conclusions de la défenderesse, reçues le 9 juin 2020 ;
7. Vu l’absence de conclusions en réplique du plaignant ;
8. Vu les conclusions de synthèse de la défenderesse, reçues le 21 juillet 2020 ;
9. Vu la traduction des pièces de procédure (rapport d’inspection et conclusions de la
défenderesse) vers la langue du plaignant (allemand) ;
10. Vu l’audition du 30 avril 2021 en présence de la défenderesse représentée par son conseil Me
Rue, en l’absence du plaignant, bien qu’il a été convoqué ;
11. Vu l’envoi aux parties du PV d’audition et les commentaires des parties ;
II- Les faits de la plainte
12. Le plaignant soulève dans sa plainte que l’outil permettant de sélectionner les préférences
de publicité ne fonctionne pas, en ce que l’option de refus de cookie pour de nombreuses
tierces parties ne fonctionne pas (bien qu’il clique sur l’option refus, l’option d’acceptation
se réenclenche automatiquement). Il soulève ainsi que son consentement à ces cookies
est forcé et donc pas libre au sens de l’article 4.11 et 7 du RGPD.
13. Il avance par ailleurs que le site web oblige l’utilisateur d’accepter des cookies afin de
pouvoir sélectionner ses préférences de publicité.
Décision quant au fond 11/2022 - 3/32
14. Le cookie en question permet de renseigner la défenderesse sur le fait que le navigateur
de l’utilisateur accepte ou pas les cookies de parties tierces. La Chambre Contentieuse
comprend dès lors que le plaignant s’oppose au placement du cookie, ainsi qu’au
traitement subséquent de ses données personnelles par la défenderesse.
15. La Chambre Contentieuse examinera les faits rapportés par le plaignant, dans le cadre de
la mission de contrôle du respect du RGPD confié à l’APD (dont elle est l’organe de
contentieux administratif) par le législateur européen (article 58 du RGPD) et par le
législateur belge (article 4 LCA), tant à l’aune des articles du RGPD visés dans le formulaire
de plainte qu’il a introduit le 24 août 2018, qu’à l’aune des articles du RGPD tels
qu’examinés dans le rapport du service d’inspection.
16. Les manquements constatés dans le rapport du SI seront examinés dans un premier
temps. Les griefs soulevés par le plaignant dans sa plainte seront examinés en second lieu.
III- Constats du Service d’Inspection
17. Suite à son enquête, le SI a produit un rapport d’enquête, dans lequel il relève des
manquements combinés aux articles 5 et 6, 12 et 13, 24 et 30, 24 et 32, ainsi que 37 du
RGPD.
Constat concernant les principes relatifs au traitement des données à caractère personnel
(article 5 du RGPD) et concernant la licéité du traitement (article 6 du RGPD) :
« Le rapport d’analyse technique du 03/07/2019 (pièce n° 12), dont les éléments pertinents
aux pages 9/14 et 10/14 sont cités ci-dessous, démontre l’existence des pratiques suivantes
qui sont incompatibles avec le principe de licéité, loyauté, transparence de l’article 5 du RGPD
et avec l’obligation de licéité du traitement de l’article 6 du RGPD : « A la connexion au site
[…] lors de la page d’accueil (capture d’écran 8) un cookie est déjà chargé dans le navigateur
alors qu’aucune information n’a été délivrée à l’utilisateur. Le cookie de nom « third_party_c_t
» de valeur « hey+there %21 » provenant du domaine (…) est un cookie qui permet de
renseigner Y sur le fait que votre navigateur accepte ou pas les cookies de parties tierces »,
et ; « En choisissant le pays dans lequel vous vous situez, on arrive sur l’écran en capture
d’écran 9 qui signale que des informations non identifiables sont collectées. Le fait que les
informations ne soient pas identifiables n’en demeure pas moins qu’elles soient personnelles.
Cet encadré n’a rien de « transparent» et ne permet pas à l’utilisateur de se faire une idée de
ce qui est collecté et pour quelle raison cette collecte est opérée. »
Constat concernant la transparence des informations et des communications et modalités de
l’exercice des droits de la personne concernée (article 12 du RGPD) et les informations à
Décision quant au fond 11/2022 - 4/32
fournir lorsque des données à caractère personnel sont collectées auprès de la personne
concernée (article 13 du RGPD) :
Quant à la transparence des informations, le SI relève :
« La « politique de protection de la vie privée de […] » dont le texte se trouve aux pages 19 à 24
et des explications aux pages 9 et 10 du document […] qui a été communiqué au service
d’inspection par Y via son courriel du 17/07/2019 (pièce n° 14) n’est pas conforme à l’article
12, paragraphe 1 ni à l’article 13 du RGPD, qui sont pertinents ici, pour les raisons suivantes :
Les informations fournies ne sont pas toujours transparentes et compréhensibles pour les
personnes concernées comme imposé par l’article 12, paragraphe 1 du RGPD. D’abord le
langage utilisé n’est pas cohérent et logique vu que les notions « information personnelle » et
« données personnelles » sont utilisées tandis que le RGPD parle systématiquement de «
donnée à caractère personnel.
Puis l’usage de cookies est mentionné accompagné de deux avertissements qui indiquent
que « le fait de désactiver les cookies dans ce but empêchera l’outil de contrôle de fonctionner
efficacement et pourrait avoir des conséquences indésirables sur votre expérience de
navigation globale » et aussi que « le fait de supprimer ou rejeter des cookies pourrait avoir
des conséquences indésirables pour votre expérience de notre site internet ». Ces
avertissements ne sont pas compréhensibles pour les personnes concernées et empêchent
un consentement libre de leur part pour l’usage de cookies vu qu’ils n’expliquent pas ce que «
les conséquences indésirables » signifient concrètement.
Enfin la référence vers les « informations complémentaires » sur les sites Google, Firefox,
Windows et Safari n’est pas compréhensible pour les personnes concernées vu qu’il n’y a pas
d’explication sur cela mentionnée pour les personnes concernées ».
Quant au fait que les informations seraient incomplètes, le SI relève :
« Les informations fournies sont incomplètes parce que toutes les informations qui doivent
être fournies conformément à l’article 13 du RGPD ne sont pas effectivement fournies aux
personnes concernées. D’abord l’existence du droit de retirer son consentement à tout
moment, sans porter atteinte à la licéité du traitement fondé sur le consentement effectué
avant le retrait de celui-ci n’est pas mentionné pour ce qui concerne le traitement de données
à caractère personnel par Y ; ce droit est uniquement mentionné pour la gestion des cookies
sur le site internet accompagné de l’avertissement précité qui dit que « le fait de supprimer ou
Décision quant au fond 11/2022 - 5/32
rejeter des cookies pourrait avoir des conséquences indésirables pour votre expérience de
notre site internet».
Constat concernant le registre des activités de traitement (article 30 du RGPD)
« Le registre des activités de traitement qui se trouve dans le document « [FR] Annexe 1_(..)
Registre des contrôles RGPD » qui a été communiqué au service d’inspection par Y via son
courriel du 17/ 07/2019 (pièce n° 14) ne mentionne pas l’identification des pays tiers
auxquels les données à caractère personnel sont transmises pour plusieurs activités de
traitement. Pour ces activités de traitement, les textes « Se reporter à (…) », « Se reporter
à (…) », « Se reporter à (…) » et « Se reporter à (…) » sont mentionnés dans la colonne « Noms
des pays tiers ou des organisations internationales vers lesquels les données personnelles
sont transférées (si possible) » ».
Constat concernant la responsabilité du responsable de traitement (article 24 du RGPD) et
concernant la sécurité du traitement (article 32 du RGPD)
« Le rapport d’analyse technique du 03/07/2019 (pièce n° 12), dont les éléments pertinents
aux pages 8/14 et 9/14 sont cités ci-dessous, démontre l’existence des pratiques suivantes
qui sont incompatibles avec la responsabilité du responsable du traitement dans l’article 24
du RGPD et avec l’obligation de sécurité du traitement dans l’article 32, paragraphe 1 du
RGPD :
Sur la capture d’écran 1 on constate que le lien pour joindre le serveur est […]. Ce lien est un
lien http et pas https. Cela signifie que le protocole de communication entre le poste client et
le serveur en question est un protocole qui véhicule les données en clair, c’est-à-dire non
encapsulée dans un tunnel comme le ferait le protocole TLS pour un lien https. Ce qui signifie
que les données à caractère personnel fournies par l’utilisateur sur ce site n’ont pas la garantie
énoncée dans l’information « Protection de votre vie privée » diffusée au lien suivant […] dont
la capture d’écran 7 en montre l’extrait.
Dans ses lignes directrices sur la protection des données à caractère personnel au travers des
services web fournis par les institutions européennes l’EDPS recommande l’usage de
protocoles sécurisés dans les transmissions de données à caractère personnel dans le cadre
des services web.
L’utilisation d’un lien http au lieu d’un lien https et les conséquences pour la sécurité du
traitement comme mentionnées ci-dessus, est aussi incompatible avec la garantie énoncée
Décision quant au fond 11/2022 - 6/32
dans la « politique de protection de la vie privée de […] dont le texte se trouve aux pages 19 à
24 et des explications aux pages 9 et 10 du document « [FR] Lettre de réponse – (…)-» qui a
été communiqué au service d’inspection par Y via son courriel du 17/07/2019 (pièce n° 14). Le
Service d’inspection fait à cet égard référence aux phrases suivantes mentionnées dans le
texte précité du Y :
« Nous nous sommes engagés à respecter et à protéger la vie privée de toutes les personnes
avec lesquelles nous agissons, avons agi ou agirons. Dans le cadre de notre engagement, nous
cherchons à vous donner des informations claires et le contrôle sur les informations
personnelles que nous détenons à votre sujet, ainsi que sur d’autres données non
personnelles que nous pouvons collecter et utiliser pendant votre visite du présent site
internet. »« Aucune autre information personnelle ne sera communiquée à aucun autre tiers.
».
Constats concernant la responsabilité du responsable de traitement (article 24 du RGPD) et
concernant la désignation du délégué à la protection des données (article 37 du RGPD)
« Dans le document « [FR] Lettre de réponse – Ref (…) » qui a été communiqué au service
d’inspection par Y via son courriel du 17/07/2019 (pièce n°14) figure aux pages 10 à 11 et aux
pages 25 à 31 une motivation pour la décision de ne pas nommer un délégué à la protection
des données au sein de l’organisation ; selon « Le résumé de la conclusion est que (…) n’est
pas tenue de nommer un délégué à la protection des données dédié».
La « décision » précitée et sa motivation n’est pas conforme à l’article 24, paragraphe 1 du
RGPD, ni à l’article 37, paragraphe 1 du RGPD pour les raisons suivantes : Il n’y a pas pour le
moment de décision officielle prise par Y concernant la désignation ou pas d’un délégué à la
protection des données malgré l’obligation imposée par l’article 24, paragraphe 1 de mettre
en oeuvre « des mesures techniques et organisationnelles appropriées pour s’assurer et être
en mesure de démontrer que le traitement est effectué conformément au présent règlement
» . Le document « Re DOS·(…)-questions dans le cadre d’une enquête d’inspection_FR» qui a
été communiqué au service d’inspection par Y via son courriel du 09/ 09/ 2019 (pièce n° 17)
mentionne aux pages 10 à 11 que la décision précitée « sera inscrite à l’ordre du Jour de notre
prochain Conseil d’administration de novembre 2019, afin de s’assurer que la décision prise
ait été officiellement documentée .
Les éléments du rapport d’analyse technique du 03/ 07/ 2019 (pièce n° 12) cités ci-dessus
dans le présent rapport démontrent qu’un cookie « permet de renseigner Y sur le fait que
votre navigateur accepte ou pas les cookies de parties tierces » ce qui nécessite la
désignation d’un délégué à la protection des données sur base de l’article 37, paragraphe 1, b)
Décision quant au fond 11/2022 - 7/32
du RGPD. Ce cookie est clairement lié au fonctionnement du site internet […] vu les
explications de Y concernant ce site internet aux pages 3 à 9 du document « [FR] Lettre de
réponse – Ref (…) » qui a été communiqué au service d’inspection par Y via son courriel du
17/07/2019 (pièce n° 14) et permet un suivi régulier et systématique à grande échelle des
personnes concernées. »
18. Pour rappel, le SI est un organe indépendant de la Chambre Contentieuse ( « CC » ci-après).
Le rapport d’enquête produit ne constitue qu’un des éléments sur lequel la CC se base pour
élaborer sa décision.
IV- Motivation
IV.1- Sur la compétence de l’APD
IV.1.1- Sur la compétence de l’APD dans le cadre du système IMI
19. L’article 56. RGPD stipule que « Sans préjudice de l'article 55, l'autorité de contrôle de
l'établissement principal ou de l'établissement unique du responsable du traitement ou du
sous-traitant est compétente pour agir en tant qu'autorité de contrôle chef de file
concernant le traitement transfrontalier effectué par ce responsable du traitement ou ce
sous-traitant, conformément à la procédure prévue à l'article 60. »
20. L’article 4.23 RGPD explicite quant à lui la notion de traitement transfrontalier en les
termes suivants :
« a) un traitement de données à caractère personnel qui a lieu dans l'Union dans le cadre des
activités d'établissements dans plusieurs États membres d'un responsable du traitement ou
d'un sous-traitant lorsque le responsable du traitement ou le sous-traitant est établi dans
plusieurs États membres; ou
b) un traitement de données à caractère personnel qui a lieu dans l'Union dans le cadre des
activités d'un établissement unique d'un responsable du traitement ou d'un sous-traitant,
mais qui affecte sensiblement ou est susceptible d'affecter sensiblement des personnes
concernées dans plusieurs États membres; »
21. La défenderesse a son établissement unique en Belgique, mais ses activités (et plus
particulièrement son site web (…), étant consultable depuis tout pays membre de l’UE)
affectent sensiblement ou sont susceptibles d'affecter sensiblement des personnes
concernées dans plusieurs États membres, dont le plaignant en Allemagne. La Chambre
Décision quant au fond 11/2022 - 8/32
Contentieuse base sa compétence sur base d’une lecture combinée des articles 56 et
4.23.b) du RGPD. L’APD est saisie par l’autorité de la protection de données à Berlin, suite
à une réclamation du plaignant auprès d’une autorité dans l’État membre dans lequel se
trouve sa résidence habituelle, conformément à l’article 77.1 du RGPD, et se déclare
autorité de contrôle chef de file (article 60 du RGPD).
IV.1.2- Sur la compétence de l’APD
22. Dans la section ci-dessous, la Chambre Contentieuse rappelle que la compétence de l’APD
quant à la Directive e-privacy est développée dans des décisions antérieures de la
Chambre, notamment dans les décisions 12/2019 du 17 décembre 2019, 24/2021 du 19
février 2021, ainsi que 19/2021 du 12 février 2021. La présente section comprend un
résumé de la position de la Chambre.
23. En application de l’article 4 § 1er LCA, l'APD est responsable du contrôle du respect des
principes fondamentaux de la protection des données, tels qu’affirmés par le RGPD et
d’autres lois contenant des dispositions relatives à la protection du traitement des
données à caractère personnel.
24. En application de l’article 33 § 1er LCA, la Chambre Contentieuse est l’organe de
contentieux administratif de l’APD. Elle est, entre autres, saisie des plaintes qui lui sont
transmises via le système IMI, sur base de l’article 56 du RGPD.
25. En application des articles 51 et s. du RGPD et de l’article 4.1 LCA, il revient à la Chambre
Contentieuse en tant qu’organe de contentieux administratif de l’APD, d’exercer un
contrôle effectif de l‘application du RGPD et de protéger les libertés et droits
fondamentaux des personnes physiques à l'égard du traitement et de faciliter le libre flux
des données à caractère personnel au sein de l'Union.
26. Comme le reconnaît le défendeur, le site Internet collecte des données à caractère
personnel par le biais de 3 types de cookies, soit cookies d’audience; cookies « boite de
dialogue » et cookies de session, et traite dès lors ces données à caractère personnel.
27. La Chambre Contentieuse est compétente pour statuer dans des affaires concernant le
traitement de données à caractère personnel, en vertu de l'article 4, § 1 de la LCA , de
l'article 55 du RGPD et dans le respect de l'article 8 de la Charte des droits fondamentaux
de l’Union européenne.
28. Par ailleurs, en vertu du droit belge, l’Institut belge des services postaux et des
télécommunications (IBPT) est le contrôleur pour la Loi sur les Communications
Electroniques (LCE ci-après), y compris pour l'article 129 de la LCE qui exécute l'article 5.3
Décision quant au fond 11/2022 - 9/32
de la Directive 2002/581 (ci-après, la "Directive e-privacy "), conformément à l'article 14, §
1 de la loi du 17/01/2003 relative au statut du régulateur des secteurs des postes et des
télécommunications belges.
29. Dans son avis 5/2019 relatif à l'interaction entre la Directive eprivacy2 et le RGPD, le
Comité européen de la protection des données (ci-après : "EDPB") a confirmé que les
autorités de protection des données sont compétentes pour appliquer le RGPD aux
traitements de données, également dans le contexte où d'autres autorités seraient
compétentes, en vertu de la transposition nationale de la Directive e-privacy, pour
surveiller certains éléments du traitement de données à caractère personnel.
30. Il ressort également de cet avis que la Directive e-privacy vise à «préciser et compléter»
les dispositions du RGPD en ce qui concerne le traitement de données à caractère
personnel dans le secteur des communications électroniques, et ce faisant à garantir le
respect des articles 7 et 8 de la charte des droits fondamentaux de l’UE.
31. La Chambre Contentieuse relève, à cet égard, que l’article 8.3 de la Charte prévoit que le
traitement des données à caractère personnel est soumis au contrôle d’une autorité
indépendante, chargée de la protection des données.
32. En outre, le prédécesseur en droit de l'EDPB (le groupe de travail article 29 sur la protection
des données, ci-après : Groupe de travail sur la protection des données) a également
précisé que les exigences du RGPD pour l'obtention d'un consentement valable
s'appliquent aux situations qui relèvent du champ d'application de la Directive E-privacy3.
33. Dans l'arrêt Planet49, la Cour de justice de l'Union Européenne a notamment confirmé que
la collecte de données par le biais de cookies pouvait être qualifiée de traitement de
données à caractère personnel4. Dès lors, la Cour a interprété l'article 5.3 de la Directive
Vie privée et communications électroniques à l'aide du RGPD 5, plus particulièrement sur la
base de l'article 4.11, de l'article 6.1.a du RGPD (exigence de consentement) et de l'article
13 du RGPD (informations à fournir).
1
Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à
caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (Directive vie privée et
communications électroniques, telle que modifiée par la Directive 2009/136/CE du Parlement européen et du Conseil du
25 novembre 2009, ci-après la "Directive ePrivacy ”).
2
EDPB, Avis 5/2019 relatif aux interactions entre la directive «vie privée et communications électroniques» et le RGPD, en
particulier en ce qui concerne la compétence, les missions et les pouvoirs des autorités de protection des données, § 69
3
Groupe de travail sur la protection des données, Lignes directrices sur le consentement au sens du règlement 2016/679,
WP259, p. 4.
4
Arrêt de la Cour de 1er octobre 2019, Planet49, C-673/17, ECLI:EU:C:2019:801, point 45.
5
Ainsi qu'à l'aide de la Directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection
des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données
Décision quant au fond 11/2022 - 10/32
34. Comme indiqué supra, la compétence de l'IBPT de surveiller certains éléments du
traitement – comme le placement de cookies sur les équipements terminaux de
l'internaute – ne porte pas préjudice à la compétence générale de l'APD. Comme précisé
par l’EDPB, les autorités de protection de données restent compétentes pour des
traitements (ou éléments de traitement) pour lesquelles la Directive e-privacy ne prévoit
pas de règles spécifiques 6. Il y a bien une complémentarité des compétences entre l’IBPT
et l’APD dans le cas d’espèce, dans la mesure où sur base de l’article 4 de la LCA, l'APD est
responsable du contrôle du respect des principes fondamentaux de la protection des
données (tels qu’affirmés par le RGPD et dans les autres lois contenant des dispositions
relatives à la protection des données à caractère personnel), et que le consentement
constitue bien un principe fondamental en ce domaine.
35. La plainte porte par ailleurs sur le traitement intervenant suite au placement du cookie
contentieux.
36. Par ailleurs, l’avis 5/2019 relatif à l'interaction entre la Directive e-privacy7 et le RGPD
susmentionné de l’EDPB indique aussi que le droit procédural national détermine ce qui
doit se passer lorsqu’une personne concernée dépose une plainte auprès de l’autorité de
protection des données concernant un traitement de données personnelles (comme par
exemple la collecte de données au moyen de cookies), sans se plaindre également de
violations (potentielles) du RGPD. Ceci correspond bien au présent cas.
37. A cet égard, le Tribunal de Première Instance de Bruxelles a clairement indiqué que le
prédécesseur en droit de l'APD était compétent pour soumettre une réquisition à un
tribunal "dans la mesure où elle concerne des violations présumées de la loi vie privée du
8 décembre 1992, à laquelle l'article 129 de la LCE, qui la précise et la complète, se réfère
d'ailleurs expressément "8. Comme indiqué infra, l’article 129 LCE est l’implémentation en
droit belge de l’article 5.3 de la directive vie privée.
38. L'APD est ainsi compétente pour vérifier si l'exigence du principe fondamental que
constitue le consentement autour du cookie contesté est ou non conforme aux conditions
de consentement du RGPD.
6
EDPB, Avis 5/2019 relatif aux interactions entre la directive «vie privée et communications électroniques» et le RGPD, en
particulier en ce qui concerne la compétence, les missions et les pouvoirs des autorités de protection des données, § 69.
7
EDPB, Avis 5/2019 relatif aux interactions entre la directive «vie privée et communications électroniques» et le RGPD, en
particulier en ce qui concerne la compétence, les missions et les pouvoirs des autorités de protection des données, 12/03/2019,
§ 70
8
Tribunal Bruxelles, 24e chambre affaires civiles, 16 février 2018, n° de rôle 2016/153/A, point 26, p. 51, disponible à l'adresse
: https://www.autoriteprotectiondonnees.be/news/lautorite-de-protection-des-donnees-defend-son-argumentation-devant-
lacour- dappel-de-bruxelles.
Décision quant au fond 11/2022 - 11/32
39. L'APD est aussi compétente pour vérifier le respect de toutes les autres conditions
rendues obligatoires par le RGPD – comme la transparence du traitement (article 12 du
RGPD) ou les informations à communiquer (article 13 du RGPD).
40. Comme confirmé par la Cour de justice dans l’arrêt Facebook e.a., seul l’enregistrement et
la lecture de données à caractère personnel au moyen de cookies relève du champ
d’application de la directive 2002/58/CE, tandis que « toutes les opérations antérieures et
les activités ultérieures de traitement de ces données à caractère personnel au moyen
d’autres technologies relèvent bien du champ d’application du [RGPD] . 9
IV.2- Quant aux manquements aux principes de transparence (article 5.1.a et 12 et 13
du RGPD) et de licéité (article 6 du RGPD)
IV.2.1.1-Rappel des principes légaux de base concernant l’utilisation des outils de traçage et
cookies
41. Avant d’examiner les manquements correspondants relevés par le rapport du SI, la
Chambre Contentieuse estime utile, à titre pédagogique, de procéder à une courte
introduction en matière de cookies et de rappeler les principes légaux de base concernant
les outils de traçage des internautes, dont font partie les cookies.
42. Le terme de traceurs englobe les cookies et des variables HTTP, qui peuvent notamment
transiter par des pixels invisibles ou des « web beacon », les cookies « flash », les accès aux
informations du terminal depuis des API (LocalStorage, IndexedDB, identifiants
publicitaires tels que l’IDFA ou l’android ID, l’accès au GPS, etc.), ou tout autre identifiant
généré par un logiciel ou un système d'exploitation (numéro de série, adresse MAC,
identifiant unique de terminal (IDFV), ou tout ensemble de données qui servent à calculer
une empreinte unique du terminal (par exemple via fingerprinting).
43. Ces cookies et autres traceurs peuvent être distingués selon différents critères, comme
la finalité qu’ils poursuivent, le domaine qui les place ou encore leur durée de vie. Les
cookies peuvent ainsi être utilisés pour de nombreuses finalités différentes (entre autres,
pour supporter la communication sur le réseau -« cookie de connexion »-, pour mesurer
l’audience d’un site internet -« cookies de mesure d’audience, analytiques ou cookies
statistiques »-), à des fins de marketing et/ou de publicités comportementales, à des fins
d’authentification…).
44. On peut également distinguer les cookies selon le domaine qui les place, ils sont ainsi « de
première partie » ou « tiers ». Les cookies « de première partie » sont placés directement
9
Arrêt de la Cour de 15 juin 2021, C-645/19, ECLI:EU:C:2021:483, point 74.
Décision quant au fond 11/2022 - 12/32
par le propriétaire du site web visité, à l’inverse des « cookies tiers », mis en place par un
domaine différent de celui visité (par exemple lorsque le site incorpore des éléments
d’autres sites comme des images, des plug ins de médias sociaux -le bouton « J’aime » de
Facebook par exemple- ou des publicités). Lorsque ces éléments sont extraits par le
navigateur ou par un autre logiciel au départ d’autres sites, ceux-ci peuvent également
placer des cookies qui pourront, ensuite, être lus par les sites qui les ont placés. Ces «
cookies tiers » permettent, à ces tiers, de suivre le comportement des internautes dans le
temps et au travers de nombreux sites et de créer, à partir de ces données, des profils des
internautes.
45. On peut aussi distinguer les cookies selon leur durée de validité, entre les cookies « de
session » et ceux « persistants ». Les « cookies de session » sont effacés automatiquement
lorsqu’à la fermeture du navigateur tandis que les « cookies persistants » restent stockés
sur l’appareil utilisé jusqu’à leur date d’expiration (qui peut être exprimée en minutes, en
jours ou en années).
46. D’un point de vue légal, il convient de distinguer les traceurs devant faire l’objet d’un
consentement par l’utilisateur, de ceux ne devant pas en faire l’objet.
47. Les traceurs ne devant pas faire l’objet d’un consentement sont ceux strictement
nécessaires à la fourniture d'un service de communication en ligne expressément
demandé par l'utilisateur, ou les traceurs qui visent à permettre la transmission de la
communication par voie électronique. Ces traceurs ne nécessitent pas de consentement
des utilisateurs. Le traitement de données à caractère personnel dans ces derniers
traceurs se base en règle générale sur l’intérêt légitime du responsable de traitement
(article 6.1.f) du RGPD).
48. Ceci n’empêche néanmoins pas, dans le respect du principe de transparence, d’informer
les internautes de leur utilisation et leur rappeler que des réglages du navigateur peuvent
leur permettre de les bloquer et dans ce cas de mentionner les effets potentiellement
négatifs pour le fonctionnement du site. Les traitements de données personnelles
associés restent évidemment soumis aux principes du RGPD.
49. Parmi les cookies ne devant pas faire l’objet d’un consentement, on retrouve ceux
conservant le choix exprimé par les utilisateurs sur le dépôt de traceurs, ceux destinés à
l’authentification auprès d’un service, ceux permettant de conserver le contenu d’un
panier d’achat, ou encore ceux personnalisant l'interface utilisateur (par exemple, pour le
choix de la langue ou de la présentation d’un service), lorsqu’une telle personnalisation
constitue un élément intrinsèque et attendu du service.
Décision quant au fond 11/2022 - 13/32
50. Les autres traceurs et cookies doivent faire l’objet d’un consentement préalable. Le
traitement sur base de l’intérêt légitime est par ailleurs proscrit pour ces cookies. Tous les
cookies n’ayant pas pour finalité exclusive de permettre ou faciliter une communication
par voie électronique ou n’étant pas strictement nécessaire à la fourniture d'un service de
communication en ligne à la demande expresse de l'utilisateur nécessitent donc un
consentement préalable. Ceux-ci peuvent par exemple être liés à l’affichage de la publicité
personnalisée ou non personnalisée (dès lors que des traceurs sont utilisés pour mesurer
l’audience de la publicité affichée dans ce dernier cas) ou encore à des fonctionnalités de
partage sur les réseaux sociaux. En l'absence de consentement (dans l’hypothèse donc
d’un refus de l'utilisateur), ces traceurs ne peuvent être déposés et/ou lus sur son
terminal.10
IV.2.1- Quant au manquement concernant l’utilisation d’un cookie sans information préalable
de l’utilisateur
51. En essence, le SI relève deux manquements à cet égard :
- L'article 12.1 du RGPD dispose que le responsable du traitement doit prendre des mesures
appropriées pour fournir à la personne concernée toute information visée notamment à
l'article 13 du RGPD d'une façon concise, transparente, compréhensible et aisément
accessible, en des termes clairs et simples. L'article 12.2 du RGPD dispose que le responsable
du traitement doit faciliter les droits de la personne concernée.
- L’article 13.1 et 2 indique, concernant les informations à fournir lorsque des données à
caractère personnel sont collectées auprès de la personne concernée :
« 1. Lorsque des données à caractère personnel relatives à une personne concernée sont
collectées auprès de cette personne, le responsable du traitement lui fournit, au moment où les
données en question sont obtenues, toutes les informations suivantes:
a)l'identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant
du responsable du traitement
b) le cas échéant, les coordonnées du délégué à la protection des données;
c)les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la
base juridique du traitement;
d)lorsque le traitement est fondé sur l'article 6, paragraphe 1, point f), les intérêts légitimes
poursuivis par le responsable du traitement ou par un tiers;
10
Voir la Recommandation n° 01/2020 du Centre des Connaissances du 17 janvier 2020 relative aux traitements de données à
caractère personnel à des fins de marketing direct concernant de nombreux aspects pratiques et exemples sur une utilisation
de cookies conforme au RGPD, notamment concernant le consentement et la transparence (p78 +s). Voir également la fiche
pratique de la CNIL « Cookies et traceurs : comment mettre mon site web en conformité ? », 01 octobre 2020,
https://www.cnil.fr/fr/cookies-et-traceurs-comment-mettre-mon-site-web-en-conformite
Décision quant au fond 11/2022 - 14/32
e)les destinataires ou les catégories de destinataires des données à caractère personnel, s'ils
existent; et
f)le cas échéant, le fait que le responsable du traitement a l'intention d'effectuer un transfert de
données à caractère personnel vers un pays tiers ou à une organisation internationale, et
l'existence ou l'absence d'une décision d'adéquation rendue par la Commission ou, dans le cas
des transferts visés à l'article 46 ou 47, ou à l'article 49, paragraphe 1, deuxième alinéa, la
référence aux garanties appropriées ou adaptées et les moyens d'en obtenir une copie ou
l'endroit où elles ont été mises à disposition;
2. En plus des informations visées au paragraphe 1, le responsable du traitement fournit à la
personne concernée, au moment où les données à caractère personnel sont obtenues, les
informations complémentaires suivantes qui sont nécessaires pour garantir un traitement
équitable et transparent:
a)la durée de conservation des données à caractère personnel ou, lorsque ce n'est pas possible,
les critères utilisés pour déterminer cette durée;
b)l'existence du droit de demander au responsable du traitement l'accès aux données à caractère
personnel, la rectification ou l'effacement de celles-ci, ou une limitation du traitement relatif à
la personne concernée, ou du droit de s'opposer au traitement et du droit à la portabilité des
données;
c)lorsque le traitement est fondé sur l'article 6, paragraphe 1, point a), ou sur l'article 9,
paragraphe 2, point a), l'existence du droit de retirer son consentement à tout moment, sans
porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait de
celui-ci;
d) le droit d'introduire une réclamation auprès d'une autorité de contrôle;
e)des informations sur la question de savoir si l'exigence de fourniture de données à caractère
personnel a un caractère réglementaire ou contractuel ou si elle conditionne la conclusion d'un
contrat et si la personne concernée est tenue de fournir les données à caractère personnel, ainsi
que sur les conséquences éventuelles de la non-fourniture de ces données;
f)l'existence d'une prise de décision automatisée, y compris un profilage, visée à l'article 22,
paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique
sous-jacente, ainsi que l'importance et les conséquences prévues de ce traitement pour la
personne concernée.
52. La Chambre Contentieuse rappelle que l’objectif du principe de transparence mis en
lumière aux articles 12, 13 et 14 du RGPD est que la personne concernée devrait être,
suivant le principe de loyauté de l’article 5.1. a), en mesure de déterminer à l’avance ce que
la portée et les conséquences du traitement englobent afin de ne pas être pris au dépourvu
à un stade ultérieur quant à la façon dont ses données à caractère personnel ont été
utilisées. Les informations devraient être concrètes et fiables, elles ne devraient pas être
formulées dans des termes abstraits ou ambigus ni laisser de place à différentes
interprétations. Plus particulièrement, les finalités et fondements juridiques du traitement
des données à caractère personnel devraient être clairs.
Décision quant au fond 11/2022 - 15/32
53. Dans l'arrêt Planet4911, la Cour de justice de l’Union Européenne a estimé que pour le
placement de cookies, le responsable du traitement devait fournir des informations sur la
durée de fonctionnement des cookies ainsi que sur la possibilité ou non pour des tiers
d’avoir accès à ces cookies, afin de garantir des informations équitables et transparentes
(l’article 5.3 de la Directive vie privée et communications électroniques concernant le
placement de cookies est ainsi lu juncto avec le principe de loyauté (article 5.1. a) et les
obligations d'information de l'article 13.2 (a) et (e) du RGPD).
54. En vertu des articles 5.2 et 24 du RGPD, le responsable du traitement doit prendre des
mesures techniques et organisationnelles appropriées afin de garantir et de pouvoir
prouver que le traitement de données à caractère personnel à l'aide de cookies est réalisé
conformément aux articles 12 et 13 du RGPD.
55. Dans le cas d’espèce, le SI constate, en premier lieu, qu’à la connexion au site de la
défenderesse (page d'accueil), un cookie était déjà chargé dans le navigateur alors
qu'aucune information n'avait été délivrée à l'utilisateur. Des données personnelles ont
donc été traitées avant que l’information requise par l’article 13 RGPD ne soit
communiquée. Le cookie portait le nom « third_party_c_t », et permettait de renseigner la
défenderesse sur le fait que le navigateur de l’utilisateur acceptait ou pas les cookies de
parties tierces (les cookies de préférences des sociétés participantes).
56. La défenderesse reconnaît dans ses conclusions l’absence d’information préalable de
l’utilisateur en ce qui concerne le placement du cookie, du moins dans la version du site au
moment de l’enquête menée par le service d’inspection. Elle souligne dans un premier
temps que le cookie en question a été supprimé en avril 2020 suite à une modification du
site web. Elle ajoute qu’il s’agissait d’un cookie de première partie et qualifiable d’essentiel
(strictement nécessaire donc, ce que le rapport du SI ne conteste pas). En outre, ce cookie
ne constituait pas un risque pour les droits et libertés des personnes concernées car il ne
s’apparentait pas à un identifiant.
57. En ce qui concerne la période entre l’entrée en vigueur du RGPD, le 25 mai 2018, et la
suppression dudit cookies en avril 2020, la défenderesse indique que pour des raisons
techniques le cookie était déposé avant que la bannière d’informations sur l’utilisation de
cookies par le site n’apparaisse. Elle explique aussi qu’il était impossible de faire apparaitre
l’information concernant le cookie dans la langue de l’utilisateur puisque c’est sur cette
page que l’utilisateur devait sélectionner sa langue/pays.
58. Elle précise aussi que dans la mesure où il s’agissait d’un cookie essentiel, le consentement
de l’utilisateur n’était pas requis. Ceci n’est pas contesté dans le rapport du SI.
11
Arrêt de la Cour du 1er octobre 2019, C-673/17, ECLI:EU:C:2019:801.
Décision quant au fond 11/2022 - 16/32
59. La Chambre Contentieuse prend note de la modification du site web de la défenderesse,
qui, comme cette dernière l’indique dans ses conclusions, renforce sa conformité au
RGPD. Elle prend aussi note de la suppression en avril 2020 du cookie en question. Il n’en
demeure pas moins qu’entre l’entrée en vigueur du RGPD (le 25 mai 2018) et la
suppression dudit cookie en avril 2020, la défenderesse collectait et traitait des données
personnelles sans fournir préalablement une information à l’utilisateur.
60. Les arguments avancés par la défenderesse ne peuvent être suivis, le premier selon lequel
le cookie était chargé avant l’apparition de la bannière d’informations pour des « raisons
techniques », et le second, selon lequel l’information ne pouvait être communiquée à
l’utilisateur avant le chargement du cookie puisque c’est précisément sur la page visitée
que celui-ci devait choisir sa langue/pays. Concernant l’argument de la langue non encore
sélectionnée pas l’utilisateur, il convenait, dès lors, de faire apparaitre l’avertissement de
l’utilisation du cookie en anglais, langue répandue et communément utilisée par d’autres
sites web avant la sélection de la langue de l’utilisateur.12
61. Est de même irrelevant l’argument souligné par la demanderesse selon lequel l’impact en
termes de risques pour les droits et libertés des utilisateurs était faible : en effet,
l’obligation d’information préalable s’applique à tous les types de cookies, que leur impact
sur le droit à la protection des données des personnes concernées soit faible ou pas.
62. La Chambre Contentieuse conclut à un manquement aux articles 12 et 13 du RGPD, entre
l’entrée en vigueur du RGPD (soit le 25 mai 2018) et le retrait du cookie « third_party_c_t »
en avril 2020.
IV.2.2- Quant à la transparence de l’encadré signalant que des « informations non
identifiables » sont collectées
63. Le deuxième manquement relevé par le rapport du SI concerne l’écran qui apparaissait (au
moment de l’enquête, donc avant la modification du site web), lorsque l’utilisateur
choisissait sa langue et son pays. Cet écran indiquait : « Ce site web rassemble et utilise des
informations non identifiables pour analyser l’activité du site afin d’améliorer sa navigation.
Vous pouvez contrôler comment ces informations sont rassemblées et utilisées » et
s’accompagnait d’un hyperlien vers la page « Protection de Votre Vie Privée ».
64. Le rapport du SI souligne que bien que ces informations ne soient pas identifiables, elles
restent des données à caractère personnel. Selon le SI, cet encadré n'est pas « transparent
12
La Chambre Contentieuse renvoi par ailleurs aux nombreuses informations pratiques concernant les cookies disponibles sur
le site de l’APD à l’url : https://www.autoriteprotectiondonnees.be/citoyen/themes/internet/cookies. Voir aussi
Recommandation n° 01/2020 du 17 janvier 2020 relative aux traitements de données à caractère personnel à des fins de
marketing direct concernant de nombreux aspects pratiques et exemples sur une utilisation de cookies conforme au RGPD,
notamment concernant la transparence (p78 +s)
Décision quant au fond 11/2022 - 17/32
» et ne permet pas à l'utilisateur de se faire une idée de ce qui est collecté et pour quelle
raison cette collecte est opérée.
65. La défenderesse répond à cet égard qu’une boîte de dialogue remplace, depuis la
modification du site web, l’écran (ou encadré) en question. Elle conteste aussi que pour la
période antérieure à la modification l’encadré n’était pas transparent, en ce qu’il suffisait à
l’utilisateur de cliquer sur l’hyperlien pour obtenir les informations afférentes aux
« informations non identifiables » collectées. Cet écran restait en outre affiché durant
toute la visite de l’utilisateur, à moins qu’il ne la ferme. Elle ajoute que ces informations
étaient disponibles sur d’autres pages du site ainsi que dans le document de politique de
la vie privée du site. Elle rappelle par ailleurs que dans la mesure où ces cookies n’étaient
pas soumis à un consentement préalable (puisqu’ils étaient strictement nécessaires), le
RGPD n’exige pas que le responsable de traitement fournisse toutes les informations
utiles dans un seul encadré préalable d’informations, ce qui ne serait, selon elle, d’ailleurs
pas faisable en pratique.
66. La Chambre Contentieuse rappelle le prescrit du considérant 58 du RGPD selon lequel «
Le principe de transparence exige que toute information adressée au public ou à la
personne concernée soit concise, aisément accessible et facile à comprendre et formulée
dans des termes clairs et simples et, en outre, lorsqu’il y a lieu, illustrée à l’aide d’éléments
visuels. ».
67. Elle rappelle aussi le prescrit de l’article 12.1 du RGPD, qui stipule que « Le responsable du
traitement prend des mesures appropriées pour fournir toute information visée aux
articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à
22 et de l’article 34 en ce qui concerne le traitement à la personne concernée d’une façon
concise, transparente, compréhensible et aisément accessible, en des termes clairs et
simples, en particulier pour une information destinée spécifiquement à un enfant. » (nous
soulignons)
68. En d’autres termes, ceci signifie qu’avant que son consentement soit demandé à
l’utilisateur, le principe de transparence impose que des informations précises doivent lui
être communiquées sur le responsable du traitement, les finalités poursuivies par les
cookies et autres traceurs qui vont être déposés et/ou lus, les données qu’ils collectent et
leur durée de vie. L’information doit également porter sur les droits que le RGPD reconnait
à l’utilisateur (ou personne concernée), y compris le droit de retirer son consentement.
69. Comme indiqué supra, l’information doit être visible, complète et être mise en évidence.
Elle doit être rédigée en des termes simples et compréhensibles pour tout utilisateur. Cela
implique, notamment, que l’information soit rédigée dans une langue qui est aisément
compréhensible pour le « public cible » auquel elle s’adresse. Par exemple, si le site internet
Décision quant au fond 11/2022 - 18/32
s’adresse à un public francophone et/ou néerlandophone, l’information doit être rédigée
en français et/ou en néerlandais 13.
70. La Chambre Contentieuse estime que la défenderesse manquait, avant la modification du
site, à l’obligation de transparence dans la mesure où l’encadré ne proposait pas, à tout le
moins, un lien direct vers les informations requises au sujet des cookies utilisés au titre de
l’article 13 du RGPD, au lieu d’un renvoi général vers la politique de vie privée de la
défenderesse.
71. La Chambre s’adjoint à cet égard aux lignes directrices récentes de la CNIL 14, qui
soulignent, elles aussi, qu’ « Un simple renvoi vers les conditions générales d'utilisation ne
saurait suffire.
A minima, la fourniture des informations suivantes aux utilisateurs, préalablement au
recueil de leur consentement, est nécessaire pour assurer le caractère éclairé de ce
dernier :
-l’identité du ou des responsables de traitement des opérations de lecture ou écriture ;
-la finalité des opérations de lecture ou écriture des données ;
-la manière d’accepter ou de refuser les traceurs ;
-les conséquences qui s’attachent à un refus ou une acceptation des traceurs ;
-l’existence du droit de retirer son consentement.”
72. La Chambre Contentieuse ne peut que répéter le rôle clé du principe de transparence dans
le respect des droits à la protection des données des personnes concernées. Ce principe
contribue à garantir une liberté de choix aux utilisateurs en leur donnant davantage de
contrôle sur leurs données à caractère personnel, en particulier dans le contexte des
pratiques de traçage à grande échelle des internautes au sein de notre économie
numérique.
73. La Chambre Contentieuse relève d’emblée et à titre subsidiaire qu’en plus du nécessaire
respect du principe de transparence, comme développé infra, le consentement de
l’utilisateur (pour les cookies non fonctionnels) doit également répondre à un certain
nombre d’exigences.
13
Comme indiqué infra, dans le cas d’espèce, à défaut de pouvoir identifier dès la première page du site la langue cible, le
responsable du traitement peut utiliser l’anglais afin de permettre à l’utilisateur de choisir sa langue.
14
Délibération n° 2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives à l’application de l'article 82
de la loi du 6 janvier 1978 modifiée aux opérations de lecture et écriture dans le terminal d’un utilisateur (notamment aux «
cookies et autres traceurs ») et abrogeant la délibération n° 2019-093 du 4 juillet 2019, points 23-25
Décision quant au fond 11/2022 - 19/32
74. A titre informatif, la Chambre Contentieuse renvoie au site de l’APD 15, où sont disponibles
de nombreux conseils pratiques pour une utilisation conforme au RGPD des cookies.
75. Dans le cas d’espèce, la Chambre Contentieuse constate que la défenderesse a rectifié
les manquements au principe de transparence susmentionnés par la modification de son
site. Le manquement retenu dans le rapport du SI n’est par conséquent plus d’actualité.
IV.3- Quant aux manquements aux articles 12 et 13 du RGPD
76. Le rapport du SI indique par ailleurs que le document de Politique de la vie privée de la
défenderesse ne serait pas conforme aux articles 12 et 13 du RGPD, premièrement car les
informations reprises ne sont pas toujours concises, transparentes ni compréhensibles, et
deuxièmement car elles sont incomplètes.
IV.3.1- Quant au fait que les informations ne seraient pas toujours transparentes ni
compréhensibles
77. Le SI estime que les informations reprises dans le document de Politique de la vie privée
de la défenderesse ne sont pas toujours transparentes ni compréhensibles pour plusieurs
raisons.
78. A- En premier lieu, le SI soulève que le langage utilisé ne serait ni cohérent ni logique car la
défenderesse utilise les termes « informations personnelles » et « données personnelles »
au lieu de « données à caractère personnel » comme dans le RGPD.
79. Comme indiqué supra, l’article 12 du RGPD exige que les informations, à fournir selon les
articles 13 et 14 du RGPD, soient communiquées « d'une façon concise, transparente,
compréhensible et aisément accessible, en des termes clairs et simples ». Le Groupe de
travail «Article 29 » précise dans ses Lignes directrices sur la transparence 16 que «
l’exigence que ces informations soient «compréhensibles» signifie qu’elles devraient
pouvoir être comprises par la majorité du public visé. La compréhensibilité est étroitement
liée à l’exigence d’utiliser des termes clairs et simples ».
80. La Chambre Contentieuse estime que la défenderesse doit être suivie lorsqu’elle explique
que le RGPD n’impose pas utilisation des termes « données à caractère personnel », que
les termes « informations personnelles » et « données personnelles » peuvent être
15
https://www.autoriteprotectiondonnees.be/citoyen/themes/internet/cookies. Voir aussi le site de la CNIL «Questions-
réponses sur les lignes directrices modificatives et la recommandation « cookies et autres traceurs » disponible
via https://www.cnil.fr/fr/questions-reponses-lignes-directrices-modificatives-et-recommandation-cookies-traceurs.
16
Groupe de travail «Article 29», « Lignes directrices sur la transparence au sens du règlement (UE) 2016/679 », Version révisée
et adoptée le 11 avril 2018, WP260 rev.01, 17/FR, p.8.
Décision quant au fond 11/2022 - 20/32
comprises par la majorité du public visé (en particulier dans le contexte de la lecture des
paragraphes les utilisant), et qu’ils peuvent être considérés comme des synonymes.
81. La Chambre relève par ailleurs que la défenderesse n’utilise maintenant plus que les
termes « données personnelles » dans sa version actualisée de son document de Politique
de la vie privée.
82. Ce manquement soulevé par le SI est donc caduque.
83. B- Dans un deuxième temps, le SI soulève que l’avertissement de « conséquences
indésirables » en cas de refus de cookies n’est pas compréhensible et donc empêche un
consentement libre, puisqu’il n’explique pas ce que sont ces conséquences indésirables.
84. Le Groupe article 29 s’est exprimé en ces termes :
“Un aspect primordial du principe de transparence mis en lumière dans ces dispositions est
que la personne concernée devrait être en mesure de déterminer à l’avance ce que la portée
et les conséquences du traitement englobent afin de ne pas être prise au dépourvu à un stade
ultérieur quant à la façon dont ses données à caractère personnel ont été utilisées. C’est
également un aspect important du principe d’équité au titre de l’article 5, paragraphe 1, du
RGPD, qui est d’ailleurs lié au considérant 39 qui dispose que «[l]es personnes physiques
devraient être informées des risques, règles, garanties et droits liés au traitement des
données à caractère personnel». Plus particulièrement, en ce qui concerne les traitements de
données complexes, techniques ou non prévus, la position du G29 est que les responsables
du traitement devraient, en plus de fournir les informations énoncées aux articles 13 et 14
(traitées ultérieurement dans les présentes lignes directrices), définir séparément et de façon
claire les principales conséquences du traitement: autrement dit, quel sera réellement l’effet
du traitement spécifique décrit dans une déclaration ou un avis sur la protection de la vie
privée pour la personne concernée. En accord avec le principe de responsabilité et
conformément au considérant 39, les responsables du traitement devraient évaluer s’il existe
pour les personnes physiques concernées par ce type de traitement des risques particuliers
qu’il conviendrait de porter à l’attention des intéressés. Une telle évaluation pourrait
permettre de fournir un aperçu des types de traitement susceptibles d'avoir le plus d’impact
sur les libertés et droits fondamentaux des personnes concernées quant à la protection de
leurs données à caractère personnel. »17 (nous soulignons)
85. Selon la défenderesse, il ressort clairement que les termes « conséquences indésirables »,
lus dans leur contexte, renvoient à l’utilisation du site, qui ne fonctionne pas de façon
optimale en cas de rejet de cookie essentiel. Elle précise que cet avertissement est répété
17
Ibid
Décision quant au fond 11/2022 - 21/32
à plusieurs endroits différents du site, et que dans la nouvelle version du site, un tableau
expliquant les effets d’un rejet des cookies a été ajouté.
86. La Chambre Contentieuse est d’avis que l’utilisation de ces termes permet aux utilisateurs
de comprendre la conséquence pratique du rejet du cookie. Néanmoins, au-delà de la
question de l’information claire de l’utilisateur quant aux « conséquences indésirables »
(une impossibilité d’utilisation du site ou une utilisation limitée) liées au rejet du cookie, à
titre subsidiaire, la Chambre Contentieuse souligne que cette pratique de « cookie wall » ne
peut être suivie que lorsque le cookie rejeté est un cookie strictement nécessaire (à
l’inverse du cas d’un cookie non fonctionnel) (voir infra, partie IV.7.2 à ce sujet).
87. La défenderesse peut donc être suivie lorsqu’elle soutient que ces termes renvoient de
façon suffisamment claire à l’utilisation du site web.
88. C- Enfin, le rapport du SI avance que la référence vers les « informations complémentaires
» concernant les cookies sur les sites Google, Firefox, Windows, sur le site de la
défenderesse n’est pas compréhensible non plus en l’absence d’explications
supplémentaires.
89. La défenderesse soutient que ce renvoi vers les « informations complémentaires » sur les
cookies vers les principaux navigateurs (Google, Firefox, Windows) est une pratique
courante. Elle précise que la plupart des sites web utilisant des cookies font de même, dont
le site de l’APD. Elle spécifie que le site contient même une section d’informations en plus
intitulée « Familiarisez-vous avec les paramètres de confidentialité de votre ordinateur »,
qui fournit des explications concrètes avec des images à l’appui.
90. Dans ce contexte, la Chambre Contentieuse est d’avis que le renvoi vers les « informations
complémentaires » sur les cookies des navigateurs (Google, Firefox, Windows) est
suffisamment compréhensible pour l‘utilisateur.
IV.3.2- Quant au fait que les informations ne seraient pas complètes
91. Le SI avance ensuite que les informations reprises dans le document de Politique de la vie
privée de la défenderesse ne sont pas complètes pour deux raisons.
92. A- Premièrement, le SI soulève que l’existence du droit de retirer le consentement à tout
moment n’est pas mentionné pour le traitement de données personnelles, mais
uniquement pour la gestion des cookies.
93. L'article 7.3 du RGPD pose des conditions strictes quant au retrait d'un consentement
valable: (a) la personne concernée a le droit de retirer son consentement à tout moment,
(b) elle doit en être informée au préalable, et (c) il doit être aussi simple de retirer que de
donner son consentement. En vertu de l'article 129, dernier alinéa de la LCE, le responsable
Décision quant au fond 11/2022 - 22/32
du traitement est obligé de donner "gratuitement" la possibilité aux utilisateurs finaux de
l'équipement terminal concerné "de retirer le consentement de manière simple".
94. Ce droit de retrait du consentement doit donc faire l'objet d'une information préalable
(article 7.3.b), et doit également être lu conjointement avec l'exigence d'un traitement
équitable et transparent au sens de l'article 5 et de l'article 13.2.c du RGPD. Une
information inexistante ou lacunaire concernant le droit de retirer le consentement
impliquerait que le consentement serait de facto donné pour une durée infinie et que la
personne concernée serait privée de son droit de retirer son consentement. Ces règles
s’appliquent aussi bien en ce qui concerne les cookies de "première partie" que ceux de
"tierce partie ".
95. La défenderesse répond que sauf pour les cookies analytiques (et dans les rares cas où
des données personnelles sont contenues dans un formulaire de contact), le site ne traite
pas de données personnelles pour lesquelles un consentement s’impose. Or, la déclaration
de politique de vie privée indique que les utilisateurs du site peuvent effacer les cookies,
ce qui revient, sans équivoque selon la défenderesse, à retirer leur consentement. Elle
conclut que la mention supplémentaire de l’existence du droit de retirer son consentement
n’est pas nécessaire.
96. La défenderesse ajoute que l’APD fait de même sur son propre site web, c’est-à-dire utilise
également des cookies analytiques sur base du consentement (et des formulaires de
contact), sans mention explicite du « droit de retirer son consentement » dans sa
« Déclaration de protection des données ».
97. La Chambre Contentieuse prend acte du fait que dans la version actuelle de la page «
Protection de votre vie privée », une mention spécifique sur l’existence du droit de retirer
son consentement pour le traitement des données personnelles a été insérée, et estime
que l’information est suffisamment complète.
IV.4- Quant aux manquements à l’article 30 du RGPD
98. Le SI soulève par ailleurs que le registre de traitement ne mentionne pas les pays tiers
auxquels sont transmis plusieurs catégories de données personnelles, mais se contente
d’un renvoi vers des documents de sous-traitants avec qui elle a conclu des conventions.
99. La défenderesse répond que le registre est basé sur un modèle d’un régulateur européen,
qui inclut des renvois. Elle explique qu’elle travaille avec différents sous-traitants
américains fournissant des services de type cloud computing, et que les informations sur
ces pays tiers peuvent varier selon leurs serveurs et types de services. Elle ajoute que le
but des renvois vers ces documents de ses sous-traitants est d’avoir une information
complète et à jour en permanence. Elle précise aussi que cela concerne seulement
Décision quant au fond 11/2022 - 23/32
quelques cases du registre, qu’il est pour le reste rempli en conformité avec le GRPD, et
que celui-ci n’interdit pas de procéder ainsi.
100. La Chambre Contentieuse recommande fortement que les pays-tiers soient indiqués et
aisément identifiables dans le registre de traitement, particulièrement au vu de la
jurisprudence récente de la CJUE en termes de transfert aux pays-tiers18. Sur base de
l’article 100.9 de la LCA, elle ordonne à la défenderesse d’adapter son registre de
traitement en faisant apparaitre clairement les pays-tiers vers lesquels sont envoyées des
données à caractère personnel, pour mieux répondre à la jurisprudence de la CJUE.
IV.5- Quant aux manquements aux articles 24 et 32 du RGPD
101. Le SI reproche une utilisation du protocole (lien url) http et pas https, en ce que ceci
constitue un manquement à l’obligation de sécurité.
102. La défenderesse répond que depuis le 15 janvier 2020 le site a basculé vers le protocole
https. Elle explique aussi que cette migration est un projet en cours depuis 2014, mais que
sa mise en œuvre a été longue et difficile en raison du fait qu’elle doit collaborer avec tous
ses membres (plus de cent). Elle ajoute que comme son site ne traite que peu de données
personnelles, les risques pour les personnes concernées étaient faibles, et que compte
tenu de l’approche basée sur les risques du RGPD, cette migration vers le protocole https
n’était pas forcément nécessaire.
103. Sans se prononcer plus avant à ce sujet, la Chambre Contentieuse prend acte de la
migration du site vers le protocole https, et note que le manquement repris dans le rapport
du SI n’est donc plus d’actualité.
IV.6- Quant aux manquements aux articles 24 et 37 du RGPD
104. En outre, le SI reproche l’absence de décision officielle documentant le choix de nommer
ou non un Data Protection Officer (DPO ci-après), et estime que la défenderesse aurait dû
nommer un DPO car elle utilise un cookie qui permet un « suivi régulier et systématique à
grande échelle des personnes concernées ».
105. La défenderesse note que le RGPD n’impose pas de suivre une procédure officielle pour
la décision de nommer un DPO ou pas, et que le fait de documenter les raisons de cette
décision de ne pas en nommer constitue une recommandation et pas une obligation.
18
Arrêt de la Cour de 16 juillet 2020, C-311/18, Facebook Ireland and Schrems, ECLI:EU:C:2020:559. ( “Schrems II case”)
Décision quant au fond 11/2022 - 24/32
106. Ensuite, concernant le cookie qui selon le SI permet un « suivi régulier et systématique à
grande échelle des personnes concernées », la défenderesse répond que le cookie n’est
plus utilisé depuis avril 2020. Elle ajoute que même lorsqu’il était utilisé, ce cookie ne
justifiait pas de nommer un DPO car ce cookie n’était pas un identifiant puisqu’il était le
même pour tout le monde donc ne permettait pas de suivre un utilisateur ». Néanmoins,
dans la mesure où ce cookie contenait des données à caractère personnel, il permettait
d’identifier des personnes concernées.
107. La défenderesse soulève qu’il n’y avait pas de « suivi à grande échelle », et que même si
ses cookies permettaient un « suivi systématique et à grande échelle » -quod non-, il aurait
encore fallu que cela constitue une « activité de base » de la défenderesse, ce qui n’était
pas le cas (preuve en serait qu’aujourd’hui elle continue ses mêmes activités mais sans le
cookie en question).
108. La Chambre Contentieuse est d’avis que la défenderesse peut être suivie lorsqu’elle
avance que le RGPD n’impose pas de suivre une procédure officielle quant à la décision de
nommer un DPO ou pas, et que le fait de documenter les raisons de cette décision de ne
pas en nommer constitue une recommandation et pas une obligation.
109. Concernant l’obligation de nommer un DPO, la Chambre Contentieuse rappelle le prescrit
de l’article 37.1.b) du RGPD, selon lequel le responsable de traitement doit désigner un DPO
si « les activités de base du responsable du traitement ou du sous-traitant consistent en
des opérations de traitement qui, du fait de leur nature, de leur portée et/ou de leurs
finalités, exigent un suivi régulier et systématique à grande échelle des personnes
concernées ». Cet article doit être lu en combinaison avec les Lignes directrices
concernant les délégués à la protection des données du Groupe article 2919. En l’absence
d’un « suivi systématique et à grande échelle », il ne peut être conclu à un manquement
à l’article 37 du RGPD.
IV.7- Quant au contenu de la plainte
110. Après s’être penché sur les manquements soulevés par le SI, la Chambre Contentieuse
examine ci-dessous les griefs tel qu’exprimés par le plaignant dans sa plainte.
111. Comme indiqué supra n°12 à 14 , le plaignant soulève dans sa plainte deux griefs. Il indique
en premier lieu que l’outil permettant de sélectionner les préférences de publicité ne
fonctionne pas, en ce que l’option de refus de cookie pour de nombreuses tierces parties
ne fonctionne pas (bien qu’il clique sur l’option refus, l’option d’acceptation se réenclenche
19
WP243rev.
Décision quant au fond 11/2022 - 25/32
automatiquement). Il soulève ainsi que son consentement à ces cookies est forcé et donc
pas libre au sens de l’article 4.11 et 7 du RGPD.
112. Il reproche par ailleurs que le site web oblige l’utilisateur d’accepter des cookies afin de
pouvoir sélectionner ses préférences de publicité. Le cookie en question permet de
renseigner la défenderesse sur le fait que le navigateur de l’utilisateur accepte ou pas les
cookies de parties tierces. La Chambre Contentieuse comprend dès lors que le plaignant
s’oppose au placement du cookie, ainsi qu’au traitement subséquent de ses données
personnelles par la défenderesse.
IV.7.1- Concernant le premier grief du plaignant, relatif au mauvais fonctionnement de
l’outil de choix des préférences de publicité
113.La défenderesse répond au premier grief du plaignant qu’il est clairement indiqué sur son
site (dans l’outil même de choix des préférences ainsi que dans les Conditions Générales
d’utilisation) qu’en cas d’utilisation d’un logiciel de blocage publicitaire, l’outil de choix peut
ne pas fonctionner. Il ressort également du printscreen du navigateur du plaignant présent
dans le rapport du SI que celui-ci utilise effectivement un tel logiciel. Le rapport du SI (basé
notamment sur le rapport d’analyse technique qui comprend un test du bon
fonctionnement de l’outil de contrôle) ne soulève pas de disfonctionnement de l’outil de
contrôle. Dès lors, la Chambre Contentieuse ne peut suivre le plaignant dans son grief
selon lequel son consentement serait forcé, en violation des articles 4.11 et 7 du RGPD.
IV.7.2- Concernant le grief du plaignant selon lequel le site web de la défenderesse oblige
l’utilisateur d’accepter des cookies afin de pouvoir utiliser le site, pratique dite du « cookie
wall»
114.Avant d’examiner la problématique spécifique du cookie wall, à titre pédagogique, la
Chambre Contentieuse estime utile de procéder à un rappel des règles en matière de
consentement.
IV.7.2.1- Concernant les critères d’un consentement valable
115.L’article 4.11 du RGPD définit le «consentement» de la personne concernée de la façon
suivante : « toute manifestation de volonté, libre, spécifique, éclairée et univoque par
laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que
des données à caractère personnel la concernant fassent l'objet d'un traitement ».
116.L’article 7 du RGPD reprend par ailleurs les conditions applicables au consentement :
“1. Dans les cas où le traitement repose sur le consentement, le responsable du traitement
est en mesure de démontrer que la personne concernée a donné son consentement au
traitement de données à caractère personnel la concernant.
Décision quant au fond 11/2022 - 26/32
2. Si le consentement de la personne concernée est donné dans le cadre d'une
déclaration écrite qui concerne également d'autres questions, la demande de
consentement est présentée sous une forme qui la distingue clairement de ces autres
questions, sous une forme compréhensible et aisément accessible, et formulée en des
termes clairs et simples. Aucune partie de cette déclaration qui constitue une violation du
présent règlement n'est contraignante.
3. La personne concernée a le droit de retirer son consentement à tout moment. Le
retrait du consentement ne compromet pas la licéité du traitement fondé sur le
consentement effectué avant ce retrait. La personne concernée en est informée avant de
donner son consentement. Il est aussi simple de retirer que de donner son consentement.
4. Au moment de déterminer si le consentement est donné librement, il y a lieu de tenir
le plus grand compte de la question de savoir, entre autres, si l'exécution d'un contrat, y
compris la fourniture d'un service, est subordonnée au consentement au traitement de
données à caractère personnel qui n'est pas nécessaire à l'exécution dudit contrat.”
117. Aussi, aux termes du considérant 43 du RGPD, « le consentement est présumé ne pas avoir
été donné librement si un consentement distinct ne peut pas être donné à différentes
opérations de traitement des données à caractère personnel bien que cela soit approprié
dans le cas d'espèce ».
118. Par ailleurs, l'article 5.3 de la Directive ePrivacy, tel que transposé par l'article 129 de la
LCE, pose la condition que l'utilisateur "ait donné son consentement" pour le placement et
la consultation de cookies sur ses équipements terminaux, à l'exception de
l'enregistrement technique des informations ou de la fourniture d'un service demandé
expressément par l'abonné ou l'utilisateur final lorsque le placement d'un cookie est
strictement nécessaire à cet effet.
119.Comme indiqué supra, un cookie est qualifié de « fonctionnel » dès lors qu’il est
indispensable pour réaliser l'envoi d'une communication via un réseau de communications
électroniques ou pour fournir un service expressément demandé.
120. Le considérant 17 de cette Directive précise que pour son application, la notion de
"consentement "doit revêtir la même signification que le "consentement de la personne
concernée", comme défini et précisé dans la directive de protection des données 95/4620
remplacée à présent par le RGPD.
121. Dans l'arrêt Planet49, la Cour de justice de l'Union européenne a précisé l'exigence de
consentement pour le placement de cookies suite à l'entrée en vigueur du RGPD et a
expliqué qu'un consentement actif explicite était désormais prescrit :
20
Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques
à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données.
Décision quant au fond 11/2022 - 27/32
"Un consentement actif est ainsi désormais expressément prévu par le règlement
2016/679. Il importe de relever à cet égard que, selon le considérant 32 de ce règlement,
l’expression du consentement pourrait se faire notamment en cochant une case lors de la
consultation d’un site Internet. Ledit considérant exclut en revanche expressément qu’il
y ait un consentement « en cas de silence, de case cochées par défaut ou d’inactivité ». Il
s’ensuit que le consentement visé à l’article 2, sous f), et à l’article 5, paragraphe 3, de la
directive 2002/58, lus conjointement avec l’article 4, point 11, et l’article 6, paragraphe 1,
sous a), du règlement 2016/679, n’est pas valablement donné lorsque le stockage
d’informations ou l’accès à des informations déjà stockées dans l’équipement terminal de
l’utilisateur d’un site Internet est autorisé par une case cochée par défaut que l’utilisateur
doit décocher pour refuser de donner son consentement."21
122. Le consentement doit en outre être "spécifique". La Chambre Contentieuse se réfère aux
Lignes directrices sur le consentement au sens du Règlement 2016/679 22 qui ont été
ratifiées par l'EDPB :
"L’article 6, paragraphe 1, point a), confirme que le consentement de la personne
concernée doit être donné en lien avec « une ou plusieurs finalités spécifiques » et que la
personne concernée a un choix ”concernant chacune de ces finalités" 23. Cela signifie
"qu’un responsable du traitement qui sollicite le consentement pour diverses finalités
spécifiques devrait prévoir un consentement distinct pour chaque finalité afin que les
utilisateurs puissent donner un consentement spécifique à des finalités spécifiques." 24
123. Plus particulièrement, il convient que l'utilisateur du site Internet reçoive des informations
entre autres sur les modalités d'expression de sa volonté à propos des cookies, et
comment il peut "tous les accepter, n'en accepter que certains ou aucun" 25.
124. Par exemple, le fait de confirmer un achat ou d’accepter des conditions générales ne suffit
donc pas pour considérer que le consentement a été valablement donné au placement ou
à la lecture de cookies. Un consentement ne peut pas, non plus, être donné pour la seule
"utilisation" de cookies, sans autre précision quant aux données récoltées via ces cookies
ni quant aux finalités pour lesquelles ces données sont collectées. Le RGPD requiert, en
effet, un choix plus détaillé qu’un simple « tout ou rien », mais il n’exige toutefois pas un
21
Arrêt Planet49, points 61 et 62
22
Groupe de travail sur la protection des données, lignes directrices sur le consentement au sens du Règlement 2016/679,
WP259, p. 4
23
Ibid, p. 14.
24
Ibid, p. 14.
25
Groupe de travail sur la protection des données, Document de travail 02/2013, énonçant des lignes directrices sur le recueil
du consentement pour le dépôt de cookies, p. 3, https://cnpd.public.lu/dam-assets/fr/publications/groupe-art29/wp208_fr.pdf
Décision quant au fond 11/2022 - 28/32
consentement pour chaque cookie individuellement. Si le responsable d’un site ou d’une
application mobile sollicite le consentement pour plusieurs types de cookies, l’utilisateur
doit avoir le choix de donner son consentement (ou de refuser) pour chaque type de
cookies, voire, dans une deuxième strate d’information, pour chaque cookie
individuellement.
125. Cette position est également défendue par la CNIL, qui estime que le fait de « recueillir de
manière simultanée un consentement unique pour plusieurs opérations de traitement
répondant à des finalités distinctes (le couplage de finalités), sans possibilité d’accepter ou
de refuser finalité par finalité, est également susceptible d’affecter, dans certains cas, la
liberté de choix de l’utilisateur et donc la validité de son consentement. »26
126. La Chambre Contentieuse se réfère à cet égard aux Lignes directrices du Groupe de
travail sur la protection des données sur la manière de recueillir le consentement. D'après
le Groupe de travail sur la protection des données, le consentement doit être obtenu par
cookie ou par catégorie de cookies27.
IV.7.2.2- Concernant le second grief du plaignant et la pratique du « cookie wall »
127. Concernant le second reproche du plaignant (à savoir qu’il est obligé d’accepter des
cookies pour pouvoir sélectionner ses préférences de publicité -et qu’il s’oppose au
traitement subséquent de ses données personnelles par la défenderesse-), la Chambre
Contentieuse rappelle que le consentement doit être libre. En effet, comme indiqué
supra, le RGPD impose de « tenir le plus grand compte de la question de savoir, entre
autres, si l'exécution d'un contrat, y compris la fourniture d'un service, est subordonnée au
consentement au traitement de données à caractère personnel qui n'est pas nécessaire à
l'exécution dudit contrat ». Aux termes du considérant 42 du RGPD, qui éclaire l’exigence
de liberté du consentement posée par son article 4, « le consentement ne devrait pas être
considéré comme ayant été donné librement si la personne concernée ne dispose pas
d'une véritable liberté de choix ou n'est pas en mesure de refuser ou de retirer son
consentement sans subir de préjudice ».
128. L’EDPB condamne, dans ses lignes directrices récentes28, la pratique qui subordonne la
fourniture d’un service ou l’accès à un site web à l’acceptation d’opérations d’écriture ou
de lecture sur le terminal de l’utilisateur, ou «cookie wall ». On lit ainsi qu’« Afin que le
consentement soit donné librement, l’accès aux services et aux fonctionnalités ne doit pas
26
Délibération n° 2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives à l’application de l'article 82
de la loi du 6 janvier 1978 modifiée aux opérations de lecture et écriture dans le terminal d’un utilisateur (notamment aux «
cookies et autres traceurs ») et abrogeant la délibération n° 2019-093 du 4 juillet 2019, points 17-19
27
Ibid.
28
EDPB, Lignes directrices 5/2020 sur le consentement au sens du règlement (UE) 2016/679, 4 mai 2020, point 39, p.13
Décision quant au fond 11/2022 - 29/32
être conditionné au consentement d’un utilisateur au stockage d’informations, ou à l’accès
aux informations déjà stockées, sur l’équipement terminal d’un utilisateur». L’EDPB ajoute,
concernant le consentement, que :
« Le responsable du traitement doit démontrer « qu’il est possible de refuser ou de retirer
son consentement sans subir de préjudice (considérant 42). Par exemple, le responsable
du traitement doit prouver que le retrait du consentement n’engendre pas de frais pour la
personne concernée et qu’il n’y a donc pas de désavantage évident pour ceux qui retirent
leur consentement.
47. D’autres exemples de préjudice sont la tromperie, l’intimidation, la coercition ou toute
conséquence négative importante si la personne concernée refuse de donner son
consentement. Le responsable du traitement devrait être en mesure de prouver que la
personne concernée dispose d’une véritable liberté de choix concernant la décision de
donner ou non son consentement et qu’il est possible de retirer son consentement sans
subir de préjudice.
48. Si un responsable du traitement est en mesure de démontrer qu’un service inclut la
possibilité de retirer son consentement sans subir de conséquences négatives, c’est-à-
dire sans que la qualité du service ne soit amoindrie au détriment de l’utilisateur, cela peut
constituer la preuve que le consentement a été donné librement. Le RGPD n’exclut pas
tous les incitants, mais il appartiendra au responsable du traitement de démontrer que le
consentement a bien été donné librement en toutes circonstances.”
129. Les lignes directrices comprennent des exemples concrets :
« 49. Exemple 8: lorsqu’une utilisatrice télécharge une application mobile de la catégorie
«mode de vie», celle-ci sollicite son consentement pour accéder à l’accéléromètre du
téléphone. Cet accès n’est pas nécessaire au fonctionnement de l’application, mais est
utile pour le responsable du traitement qui souhaite en savoir plus sur les mouvements et
les niveaux d’activité de ses utilisateurs. Lorsque l’utilisatrice retire ultérieurement son
consentement, elle découvre que l’application ne fonctionne plus que de manière
restreinte. Il s’agit d’un exemple de préjudice au sens du considérant 42, ce qui signifie
que le consentement n’a jamais été obtenu de façon valable (et le responsable doit de ce
fait supprimer toutes les données à caractère personnel concernant les mouvements des
utilisateurs collectées de cette manière).
50- Exemple 9: une personne concernée s’inscrit à un bulletin d’informations d’une
enseigne de mode avec des réductions générales. Le détaillant demande le
Décision quant au fond 11/2022 - 30/32
consentement de la personne concernée pour collecter davantage de données sur ses
préférences en matière de shopping afin d’adapter ses offres à ses préférences en
fonction de son historique d’achat ou d’un questionnaire rempli sur une base volontaire.
Si la personne concernée retire ultérieurement son consentement, elle recevra à nouveau
des réductions non personnalisées. Il ne s’agit pas ici d’un préjudice, dès lors que seul
l’incitant autorisé aura été perdu.
51. Exemple 10: une revue de mode donne la possibilité à ses lecteurs d’acheter de
nouveaux produits de maquillage avant leur lancement officiel.
52. Les produits seront bientôt disponibles sur le marché, mais les lecteurs de cette revue
bénéficient d’une avant-première exclusive sur ces produits. Afin de profiter de cet
avantage, les lecteurs doivent donner leur adresse postale et consentir à leur inscription
sur la liste de diffusion de la revue. L’adresse postale est nécessaire pour l’expédition et
la liste de diffusion est utilisée pour l’envoi d’offres commerciales pour des produits tels
que des cosmétiques ou des t-shirts tout au long de l’année.
53. L’entreprise explique que les données sur la liste de diffusion ne seront utilisées que
pour l’envoi de produits et de dépliants publicitaires par la revue elle-même et ne seront
en aucun cas partagées avec d’autres organisations.
54. Si le lecteur ne souhaite pas révéler son adresse à cette fin, il ne subira aucun préjudice
dès lors que les produits lui seront toujours accessibles. »
130. La défenderesse répond au grief soulevé par le plaignant dans ses conclusions qu’il est
indiqué à plusieurs endroits sur le site en question que le service fourni via l’outil de choix
des préférences publicitaires repose sur l’utilisation de cookies envoyés par les sociétés
participantes, et que si l’utilisateur ne souhaite pas recevoir de cookies, alors il ne doit pas
utiliser le service. Elle indique plus précisément dans ses conclusions (p19) :
• “La toute première page du Site Web YOC (celle à partir de laquelle on peut choisir un
pays et la langue), contient un lien intitulé « How does this website work?» , qui mène à
une page qui indique :
« Lors de l'utilisation de la fonction d'outil de contrôle, de petits fichiers texte appelés
"cookies" sont utilisés par un grand nombre des entreprises répertoriées pour vérifier
votre statut actuel et effectuer le choix que vous souhaitez exercer. Ces fichiers sont
essentiels à cette fonction et permettent d'identifier les erreurs dans sa fonctionnalité. Si
vous souhaitez vous assurer que ces cookies ne sont pas utilisés, veuillez consulter nos
Décision quant au fond 11/2022 - 31/32
cinq conseils principaux pour plus de détails sur la manière de gérer les cookies dans les
paramètres de confidentialité de votre navigateur. Toutefois, si vous le faites, l'outil de
contrôle ne fonctionnera plus efficacement » (Traduction libre) (Pièce 9 – pages 1 et 2).
• Les conditions générales qui gouvernent l’utilisation du Site Web YOC et de l’Outil YOC
indiquent que:
« Pour pouvoir utiliser le site internet (…), il est nécessaire que chacune des sociétés
participantes place un cookie sur votre navigateur internet (le cookie de préférence) de
sorte que nous puissions nous souvenir de vos sélections. Des informations sur les
cookies sont disponibles dans notre politique relative à la vie privée: […]. Si vous utilisez le
site internet (…) avec un autre ordinateur ou navigateur, ou si vous effacez/supprimez vos
cookies, nous ne pourrons pas nous souvenir de vos préférences. Vous devrez retourner
sur le site internet (…) pour sélectionner vos préférences à nouveau. De plus, le site
internet (…) ne fonctionnera pas correctement si votre navigateur est paramétré pour
bloquer les cookies, car vos préférences ne peuvent pas être enregistrées sans utilisation
du cookie de préférence » (Pièce 9 – page 3).
• La page « Protection de votre vie privée » indique :
« Le présent site internet couvre l’Union européenne/l’Espace économique européen
(UE/EEE), ainsi que la Suisse et la Turquie et inclut une fonctionnalité facile à utiliser (à
laquelle n’importe quel utilisateur peut accéder à partir de n’importe lequel des pays de la
liste) qui désactivera la publicité comportementale en ligne pour les utilisateurs (des
sociétés participantes) qui en feront le choix […] Veuillez noter que le fait de désactiver les
cookies dans ce but empêchera l’outil de contrôle de fonctionner. »
131.La Chambre Contentieuse note que l’utilisateur est donc bien informé du fait que
l’utilisation de ces cookies de préférence est nécessaire au fonctionnement du site, et que
le site lui impose le choix d’accepter ce système ou de ne pas utiliser le site web. La
Chambre souligne que ce raisonnement ne peut être suivit que dans la mesure où il s’agit
de cookies strictement nécessaires, ces cookies ne requérant pas le consentement de
l’utilisateur. Dans cette hypothèse, le traitement subséquent au placement des cookies
n’est pas basé sur consentement, mais sur l’intérêt légitime du responsable de traitement
(article 6.1.f) du RGPD).
132. A l’inverse, ce raisonnement doit être rejeté dans les cas où il s’agit de cookies n’étant pas
strictement nécessaires. En effet, l’utilisateur doit pouvoir accepter ou refuser, pour
chaque application et chaque site internet, le dépôt de cookies non fonctionnels sans
contrainte, pression ni influence extérieure. Cette exigence implique, notamment, que
Décision quant au fond 11/2022 - 32/32
l’utilisateur ne peut se voir refuser certains services ou avantages au motif qu’il n’aurait
pas consenti à l’utilisation de cookies non fonctionnels. L’utilisateur qui refuse un cookie
nécessitant un consentement doit pouvoir continuer à bénéficier du service, tel l’accès à
un site.
133. Dans le cas d’espèce, dans la mesure où le cookie en question est strictement nécessaire,
le grief du plaignant ne peut être retenu. Il n’y a donc pas de manquement à l’article 6.1.a)
du RGPD, lié à la pratique des « cookie walls ».
134. Vu l’importance de la transparence concernant le processus décisionnel de la Chambre
Contentieuse et conformément à l’article 100.1er, 16° de la LCA, la présente décision est
publiée sur le site Internet de l’Autorité de protection des données en supprimant les
données d’identification des parties, vu que celles-ci ne sont ni nécessaires ni pertinentes
dans le cadre de la publication de la présente décision.
PAR CES MOTIFS,
LA CHAMBRE CONTENTIEUSE
Décide, après délibération :
- Sur base de l’article 100, § 1er, 9° de la LCA, une ordre de mise en conformité de registre de
traitement de la défenderesse, tel qu’indiqué supra
- Sur base de l’article 100, § 1er, 5° de la LCA, une réprimande
En vertu de l'article 108, § 1er de la LCA, cette décision peut faire l’objet d’un recours auprès de la
Cour des marchés (Cour d’appel de Bruxelles) dans un délai de 30 jours à compter de sa
notification, avec l’Autorité de protection des données en qualité de défenderesse.
(sé). Hielke Hijmans
Président de la Chambre Contentieuse