La Cour de justice a estimé dans cet arrêt que le consentement visé aux dispositions litigieuses n’est pas valablement donné lorsque le stockage d’informations ou l’accès à des informations déjà stockées dans l’équipement terminal de l’utilisateur d’un site Internet, par l’intermédiaire de cookies, est autorisé au moyen d’une case cochée par défaut que cet utilisateur doit décocher pour refuser de donner son consentement. Par ailleurs, il n’y a pas de distinction à adopter selon que les informations stockées ou consultées dans l’équipement terminal de l’utilisateur d’un site Internet constituent ou non des données à caractère personnel. Enfin, les informations que le fournisseur de services doit donner à l’utilisateur d’un site Internet incluent la durée de fonctionnement des cookies ainsi que la possibilité ou non pour des tiers d’avoir accès à ces cookies.

FAITS ET PROCÉDURE

Le 24 septembre 2013, Planet49 a organisé un jeu promotionnel sur l’Internet. Les internautes désireux d’y participer devaient communiquer leur code postal, leurs noms et adresse. Sous les cases à remplir pour l’adresse se trouvaient deux mentions, accompagnées de cases à cocher. La première case à cocher n’était pas cochée par défaut alors que la seconde l’était.  La participation au jeu promotionnel était conditionnée par le fait de cocher la première case. Cette première case était accompagnée d’une mention particulière dans laquelle figurait un lien électronique renvoyant à une liste de 57 entreprises. Après le nom de chaque entreprise se trouvait le terme « biffer » ainsi que l’indication suivante : « En cliquant sur le lien “biffer”, je décide qu’aucun accord pour la publicité ne peut être donné au partenaire/sponsor visé. Si je n’ai biffé aucun partenaire/sponsor ou pas suffisamment, Planet49 sélectionne pour moi à sa guise des partenaires/sponsors (dans la limite de 30 partenaires/sponsors) ». L’activation du lien électronique figurant dans la mention accompagnant la seconde case à cocher, permettait à Planet49 d’envoyer des courriers publicitaires aux participants du jeu promotionnel en fonction des intérêts qu’ils avaient manifestés. Cet accord n’était pas définitif puisque les participants pouvaient le retirer, obligeant Planet49 à ne plus envoyer de publicité par voie électronique. Par ailleurs, la mention indiquait que les informations transmises par les cookies étaient utilisées pour la publicité présentant des produits des partenaires publicitaires. Elles étaient alors collectées, stockées et utilisées pour chaque partenaire publicitaire. La mention précisait que les partenaires publicitaires ne recevaient aucune donnée à caractère personnel. Enfin, la mention indiquait que si le participant ne souhaitait plus utiliser de cookies, il pouvait alors le supprimer de son navigateur.

La décision de renvoi a défini les cookies comme des fichiers, que le fournisseur d’un site Internet place sur l’ordinateur de l’utilisateur de ce site et auxquels il peut accéder à nouveau lors d’une nouvelle visite du site par l’utilisateur, pour faciliter la navigation sur Internet ou des transactions ou pour obtenir des informations sur le comportement de ce dernier. En l’espèce, la fédération, organisme ayant qualité pour agir, a mis en demeure le 26 novembre 2001 Planet49 aux motifs que les première et seconde cases à cocher ne remplissaient pas les conditions requises par les dispositions combinées de l’article 307 du BGB, de l’article 7, paragraphe 2, point 2, du Gesetz gegen den unlauteren Wettbewerb (loi contre la concurrence déloyale), du 3 juillet 2004, dans sa version applicable au litige au principal, et des articles 12 et suivants du TMG. Un recours devant le tribunal régional de Frabcfort-sur-le-Main en Allemagne a alors été introduit, tendant en substance à ce que Planet49 cesse de solliciter de telles déclarations d’accord. Le tribunal régional de Francfort-sur-le-Main a partiellement fait droit à ce recours, conduisant Planet49 a interjeté appel devant le tribunal régional supérieur de Francfort-sur-le-Main. La juridiction d’appel a alors estimé que la demande de la fédération n’était pas fondée en ce que, d’une part, l’utilisateur avait connaissance de la possibilité de décocher cette case et, d’autre part, celle-ci était présentée dans une typographie suffisamment claire et donnait des informations sur les modalités d’utilisation des cookies, sans qu’il soit nécessaire de divulguer l’identité des tiers susceptibles d’avoir accès aux informations recueillies. La fédération a finalement saisi la Cour fédéral de justice en Allemagne qui a alors estimé que l’issue du litige au principal dépend de l’interprétation des dispositions combinées de l’article 5, paragraphe 3, et de l’article 2, sous f), de la directive 2002/58, de l’article 2, sous h), de la directive 95/46 ainsi que de l’article 6, paragraphe 1, sous a), du règlement 2016/679. La Cour fédéral de justice a alors décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :

 « 1) a)      Le consentement visé à l’article 5, paragraphe 3, et à l’article 2, sous f), de la directive [2002/58], lus conjointement avec l’article 2, sous h), de la directive [95/46], est-il valablement donné lorsque le stockage d’informations ou l’accès à des informations stockées dans l’équipement terminal de l’utilisateur est autorisé par une case cochée par défaut que l’utilisateur doit décocher pour refuser de donner son consentement ?

b)      L’article 5, paragraphe 3, et l’article 2, sous f), de la directive [2002/58], lus conjointement avec l’article 2, sous h), de la directive [95/46], reçoivent-ils une application différente selon que les informations stockées ou consultées sont des données à caractère personnel ?

c)      Dans les circonstances évoquées dans la [première question], sous a), le consentement visé à l’article 6, paragraphe 1, sous a), du règlement [2016/679] est-il valablement donné ?       

2)      Quelles sont les informations que le fournisseur de services doit donner à l’utilisateur au titre de l’information claire et complète voulue par l’article 5, paragraphe 3, de la directive [2002/58] ? La durée de fonctionnement des cookies et l’accès ou non de tiers aux cookies en font-ils partie ? »

SOLUTION

La Cour de justice examine dans un premier temps l’applicabilité de la directive 95/46 et du règlement 2016/679 aux faits en cause au principal et indique qu’il y a lieu de répondre aux questions posées sur la base tant de la directive 95/46 que du règlement 2016/679.

 Sur la première question, sous a) et c)

A titre liminaire, la Cour de justice précise que selon les indications figurant dans la décision de renvoi, les cookies qui sont susceptibles d’être placés sur l’équipement terminal d’un utilisateur qui participe au jeu promotionnel organisé par Planet49 comportent un numéro qui est attribué aux données d’enregistrement de cet utilisateur, lequel doit inscrire son nom et son adresse dans le formulaire de participation à ce jeu. L’association de ce numéro et de ces données personnalise, selon la juridiction de renvoi, les données stockées par les cookies lorsque l’utilisateur recourt à l’Internet, si bien que la collecte de ces données au moyen de cookies relève d’un traitement de données à caractère personnel. Planet49 a confirmé ces indications et souligné que le consentement correspondant à la seconde case à cocher est censé autoriser la collecte et le traitement de données à caractère personnel, et non d’informations anonymes. La Cour de justice relève ainsi que, conformément à l’article 5, paragraphe 3, de la directive 2002/58, les États membres garantissent que le stockage d’informations, ou l’obtention de l’accès à des informations déjà stockées, dans l’équipement terminal d’un utilisateur n’est permis qu’à condition que l’utilisateur ait donné son accord, après avoir reçu, dans le respect de la directive 95/46, une information claire et complète, entre autres sur les finalités du traitement.

Par ailleurs, la Cour de justice rappelle qu’il découle des exigences tant de l’application uniforme du droit de l’Union que du principe d’égalité que les termes d’une disposition du droit de l’Union qui ne comporte aucun renvoi exprès au droit des États membres pour déterminer son sens et sa portée doivent normalement trouver, dans toute l’Union, une interprétation autonome et uniforme. La Cour de justice indique également l’intérêt du contexte dans l’interprétation des dispositions du droit de l’Union qui peut revêtir des éléments pertinents pour son interprétation (arrêt du 10 décembre 2018, Wightman e.a., C‑621/18, EU:C:2018:999, point 47). La Cour de justice relève que si les termes de l’article 5, paragraphe 3, de la directive 2002/58 indiquent expressément que l’utilisateur doit avoir « donné son accord » au placement et à la consultation de cookies sur son équipement terminal, elle ne contient en revanche aucune indication concernant la manière dont cet accord doit être donné. Pour la Cour de justice, les termes « donné son accord » se prêtent à une interprétation littérale selon laquelle une action de l’utilisateur est nécessaire pour exprimer son consentement. De plus, le considérant 17 de la directive 2002/58 indique que le consentement d’un utilisateur, aux fins de cette directive, peut être donné selon toute modalité appropriée permettant à l’utilisateur d’indiquer ses souhaits librement, de manière spécifique et informée, notamment « en cochant une case lorsqu’il visite un site Internet ». Par ailleurs, la Cour de justice indique que l’article 2, sous h, de la directive 2002/58 définit le « consentement de la personne concernée » comme étant « toute manifestation de volonté, libre, spécifique et informée par laquelle la personne concernée accepte que des données à caractère personnel la concernant fassent l’objet d’un traitement ». Ainsi, l’exigence d’une « manifestation » de volonté de la personne concernée évoque clairement un comportement actif et non pas passif. Pour la Cour de justice, un consentement donné au moyen d’une case cochée par défaut n’implique pas un comportement actif de la part de l’utilisateur d’un site Internet.

La Cour de justice indique par ailleurs que l’article 7 de la directive 95/46, prévoit une liste exhaustive des cas dans lesquels un traitement de données à caractère personnel peut être considéré comme licite. Cet article prévoit que le consentement de la personne concernée peut rendre un tel traitement licite pour autant que ce consentement est « indubitablement » donné par la personne concernée. Or, seul un comportement actif de la part de cette personne en vue de manifester son consentement est de nature à remplir cette exigence. Dès lors, il apparaît impossible de déterminer de manière objective si l’utilisateur d’un site Internet a effectivement donné son consentement au traitement de ses données personnelles en ne décochant pas une case cochée par défaut ainsi que, si ce consentement a été donné de manière informée.

La Cour de justice souligne ensuite que la genèse de l’article 5, paragraphe 3, de la directive 2002/58 indique que le consentement de l’utilisateur ne peut être présumé et doit résulter d’un comportement actif de ce dernier. Ainsi, la Cour de justice a estimé que le consentement visé à l’article 2, sous f), et à l’article 5, paragraphe 3, de la directive 2002/58, lus conjointement avec l’article 2, sous h), de la directive 95/46, n’est pas valablement donné lorsque le stockage d’informations ou l’accès à des informations déjà stockées dans l’équipement terminal de l’utilisateur d’un site Internet est autorisé au moyen d’une case cochée par défaut par le fournisseur du service, que l’utilisateur devrait décocher pour refuser de donner son consentement. Par ailleurs, la Cour de justice ajoute que la manifestation de volonté visée à l’article 2, sous h), de la directive 95/46 doit être « spécifique », et porter sur le traitement de données concerné. Elle ne saurait être déduite d’une manifestation de volonté ayant un objet distinct. La Cour de justice en conclue que le fait pour un utilisateur d’activer le bouton de participation au jeu promotionnel organisé par cette société ne saurait dès lors suffire pour considérer que l’utilisateur a valablement donné son consentement au placement de cookies.

Par ailleurs, un consentement actif est désormais expressément prévu par le règlement 2016/679.  La Cour de justice relève par ailleurs que selon le considérant 32 de ce règlement, l’expression du consentement pourrait se faire en cochant une case lors de la consultation d’un site Internet. Il exclut en revanche expressément qu’il y ait un consentement « en cas de silence, de cases cochées par défaut ou d’inactivité ». Dès lors, la Cour de justice conclue que le consentement visé à l’article 2, sous f), et à l’article 5, paragraphe 3, de la directive 2002/58, lus conjointement avec l’article 4, point 11, et l’article 6, paragraphe 1, sous a), du règlement 2016/679, n’est pas valablement donné lorsque le stockage d’informations ou l’accès à des informations déjà stockées dans l’équipement terminal de l’utilisateur d’un site Internet est autorisé par une case cochée par défaut que l’utilisateur doit décocher pour refuser de donner son consentement. Dès lors, le consentement, visé par les articles 2, sous f), et 5, paragraphe 3, de la directive 2002/58, lus conjointement avec l’article 2, sous h), de la directive 95/46, ainsi qu’avec l’article 4, point 11, et l’article 6, paragraphe 1, sous a), du règlement 2016/679, n’est pas valablement donné lorsque le stockage d’informations ou l’accès à des informations déjà stockées dans l’équipement terminal de l’utilisateur d’un site Internet, par l’intermédiaire de cookies, est autorisé au moyen d’une case cochée par défaut que cet utilisateur doit décocher pour refuser de donner son consentement.

 Sur la première question, sous b)

La Cour de justice rappelle qu’il ressort de la décision de renvoi que le placement des cookies en cause au principal participe d’un traitement de données à caractère personnel. Ensuite, elle indique que l’article 5, paragraphe 3, de la directive 2002/58 fait référence au « stockage d’informations » et à « l’obtention de l’accès à des informations déjà stockées », sans qualifier ces informations ni préciser que celles-ci devraient être des données à caractère personnel. Elle suit l’opinion de l’Avocat général et constate que cette disposition vise à protéger l’utilisateur de toute ingérence dans sa vie privée, sans pour autant devoir s’intéresser au caractère personnel des données. Pour la Cour de justice, cette interprétation est confirmée par le considérant 24 de la directive 2002/58 qui dispose que toute information stockée sur l’équipement terminal de l’utilisateur d’un réseau de communications électroniques relève de la vie privée de l’utilisateur et jouit d’une protection particulière fondée sur la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales. Dès lors la Cour de justice en conclue que l’article 2, sous f), et l’article 5, paragraphe 3, de la directive 2002/58, lus conjointement avec l’article 2, sous h), de la directive 95/46 ainsi qu’avec l’article 4, point 11, et l’article 6, paragraphe 1, sous a), du règlement 2016/679, ne doivent pas être interprétés différemment selon que les informations stockées ou consultées dans l’équipement terminal de l’utilisateur d’un site Internet constituent ou non des données à caractère personnel, au sens de la directive 95/46 et du règlement 2016/679.

 Sur la seconde question

Selon la Cour de justice, l’article 5, paragraphe 3, de la directive 2002/58 exige que l’utilisateur ait donné son accord, après avoir reçu une information claire et complète, notamment sur les finalités du traitement. La Cour de justice rappelle qu’une information claire et complète doit permettre à l’utilisateur de déterminer facilement les conséquences du consentement qu’il pourrait donner et garantir que ce consentement soit donné en pleine connaissance de cause. Or, dans une situation telle que celle d’espèce, les cookies visent à recueillir des informations à des fins de publicité portant sur des produits des partenaires de l’organisateur d’un jeu promotionnel, la durée de fonctionnement des cookies ainsi que la possibilité ou non pour des tiers d’avoir accès à ces cookies font partie de l’information claire et complète devant être fournie à l’utilisateur conformément à l’article 5, paragraphe 3, de la directive 2002/58.

La Cour de justice rappelle que l’article 10 de la directive 95/46, à laquelle fait référence l’article 5, paragraphe 3, de la directive 2002/58, ainsi que l’article 13 du règlement 2016/679 énoncent les informations que le responsable du traitement doit fournir à la personne auprès de laquelle il collecte des données la concernant. Ces informations comprennent notamment outre l’identité du responsable du traitement et les finalités du traitement auquel les données sont destinées, toute information supplémentaire telle que les destinataires ou les catégories de destinataires des données, dans la mesure où, compte tenu des circonstances particulières dans lesquelles les données sont collectées, ces informations supplémentaires sont nécessaires pour assurer à l’égard de la personne concernée un traitement loyal des données. Bien que la durée du traitement des données ne figure pas dans la liste des informations, l’expression « au moins » figurant à l’article 10 de la directive 95/46 permet d’établir que cette liste n’est pas exhaustive. Pour la Cour de justice, en l’espèce, une durée longue voir illimitée de traitement des données impliquerait la collecte de nombreuses informations sur les habitudes de navigation et la fréquence des visites éventuelles de l’utilisateur sur les sites des partenaires publicitaires de l’organisateur du jeu promotionnel. Ainsi, l’information sur la durée de fonctionnement des cookies doit être considérée comme répondant à l’exigence d’un traitement loyal des données. Par ailleurs, la possibilité ou non pour les tiers d’avoir accès aux cookies, il s’agit d’une information comprise dans les informations mentionnées à l’article 10, sous c), de la directive 95/46, ainsi qu’à l’article 13, paragraphe 1, sous e), du règlement 2016/679, dès lors que ces dispositions mentionnent explicitement les destinataires ou les catégories de destinataires des données.

La Cour de justice conclue que l’article 5, paragraphe 3, de la directive 2002/58 doit être interprété en ce sens que les informations que le fournisseur de services doit donner à l’utilisateur d’un site Internet incluent la durée de fonctionnement des cookies ainsi que la possibilité ou non pour des tiers d’avoir accès à ces cookies.

Cour (première chambre), Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV / Planet49 GmbH, 1er octobre 2019, C 673/17