Selon l’Avocat Général M. Maciej Szpunar [1], le consentement de l’utilisateur au dépôt et à l’utilisation de cookies à des fins publicitaires doit être actif et distinct. C’est ce qu’il ressort de son opinion formulée le 21 mars 2019 dans le cadre de l’affaire C-673/17 opposant une société allemande spécialisée dans le e-marketing et organisant des jeux promotionnels en ligne à la Fédération allemande des organisations de consommateurs.

Dans cette affaire, la société allemande avait notamment recueilli le consentement des utilisateurs, non pas par le biais d’un « bandeau cookie » (comme il est d’usage aujourd’hui), mais via un formulaire en ligne de demande de consentement. Il s’agissait en l’espèce d’une case pré-cochée que l’utilisateur pouvait décocher en cas de refus d’installation des témoins de connexion sur son terminal (consentement passif de l’utilisateur).

En l’espèce, il s’agissait de dépôt de cookies publicitaires qui avaient pour objet de tracker l’utilisateur lors de sa navigation web afin de lui proposer ultérieurement de la publicité ciblée (re-targeting). Il convient de rappeler qu’en droit allemand, l’article 15, alinéa 3 TMG (loi sur les médias électroniques), qui transpose en droit interne l’article 5 paragraphe 2 de la directive 2002/58, indique qu’il est possible d’établir des profils d’utilisateurs par des pseudonymes à des fins publicitaires, à condition notamment, que l’utilisateur ne s’y oppose pas (consentement passif).

Cette affaire s’inscrit dans un débat juridique et doctrinal se rapportant à la notion et à la forme requise du consentement pour sa validité. Pour rappel, alors que la nouvelle définition du consentement implique "une déclaration ou un acte positif clair" (article 4, point 11 RGPD), l’ancienne était restée silencieuse quant à la manière dont le consentement devait se manifester (article 2, point h de la directive 95/46). Aussi, se posait la question de savoir si l’utilisation d’opt-out était de nature à entacher la validité d’un consentement "donné" dans l’absence de comportement actif de l’utilisateur.

Plus particulièrement, concernant la notion de consentement de l’article 2, point h de la directive 95/46, l’Avocat Général estime que, l’action positive nécessaire à la validité du consentement donné découle de la nécessité pour l’utilisateur de "manifester" sa volonté et ce de manière "indubitable" (article 7, point a de la directive 95/46). Par conséquent, bien que le libellé de la définition du consentement n’indique pas clairement la nécessité d’un acte positif clair, il n’en demeure pas moins que la directive avait exclu la possibilité de valider un consentement non extériorisé par un comportement actif de l’utilisateur.

Pour appuyer son point de vue, l’Avocat Général estime qu’il convient d’interpréter la notion de consentement telle que définie au sein de la directive 2002/58 non seulement à la lumière de la directive 95/46 (applicable au moment des faits), mais également du RGPD ainsi que des opinions du Groupe 29 ayant publié des travaux sur la notion de consentement, ces différents instruments ayant soumis la validité du consentement à un comportement actif de l’utilisateur (opt-in).

Il en conclut ainsi que le consentement aux cookies à des fins publicitaires doit être actif et distinct étant donné qu’il ne peut présenter un caractère accessoire à l’action principale (en l’occurrence, le consentement des données aux fins de participation à un jeu promotionnel en ligne).

Par ailleurs, l’Avocat Général soutient que l’information à fournir aux utilisateurs doit être détaillée afin que l’utilisateur puisse comprendre la nature et les finalités des cookies utilisés et qu’il soit en mesure de déterminer les conséquences du consentement qu’il pourrait donner.

A ce titre et afin que l’information donnée aux utilisateurs soit claire et complète, l’Avocat Général estime que, outre les informations usuelles des articles 13 et 14 RGPD (identité du responsable de traitement, finalité du traitement, types de données collectées, possibilité de retrait du consentement etc), des indications sur la durée de fonctionnement des cookies et sur l’accès ou non des tiers aux cookies doivent être communiquées aux utilisateurs.