Le Conseil d’État rejette le recours contre le plan d’action de la CNIL dans le domaine du ciblage publicitaire en ligne

Les associations requérantes demandaient au Conseil d'État d'annuler la décision, révélée par les deux communiqués des 28 juin et 18 juillet 2019, présentant le plan d'action élaboré par la CNIL dans le domaine du ciblage publicitaire en ligne, par laquelle la Commission aurait regardé comme acceptable, pendant une période de transition d'environ douze mois, la poursuite de la navigation comme expression du consentement au dépôt de cookies et aurait renoncé à utiliser les pouvoirs dont elle dispose pour réprimer, pendant cette période, les manquements aux règles applicables en la matière.

Appelé tout d’abord à se prononcer sur la fin de non-recevoir des associations requérantes opposée par la CNIL, le Conseil d’État énonce que l'acte révélé par les communiqués des 28 juin et 18 juillet 2019 constitue une prise de position publique de la commission quant au maniement des pouvoirs dont elle dispose, en particulier en matière répressive, pour veiller au respect des règles applicables au recueil du consentement au dépôt de cookies et autres traceurs. Elle doit être regardée comme ayant pour objet d'influer sur le comportement des opérateurs auxquels elle s'adresse et comme étant de nature à produire des effets notables tant sur ces opérateurs que sur les utilisateurs et abonnés de services électroniques. Compte tenu de leur objet social qui est la défense des libertés sur internet et la protection de la confidentialité des données personnelles, elle fait grief aux associations requérantes qui sont recevables à en demander l'annulation. La fin de non-recevoir opposée est donc écartée.

Il est ensuite jugé, contrairement à ce qui est soutenu par les demanderesses, que la CNIL n'a pas méconnu l'étendue de sa compétence en élaborant un plan d'actions en matière de ciblage publicitaire en ligne et en rendant publique la position qu'elle a prise quant à l'usage de ses pouvoirs, notamment de sanction, afin d'atteindre les objectifs qu'elle a définis. Le délai laissé aux acteurs du secteur pour se conformer aux règles qui seront publiées à l’issue de la concertation vise à permettre aux acteurs concernés de s’approprier ces nouvelles règles, dont la CNIL a explicité la teneur, et ainsi respecter les exigences fixées par le RGPD à l’horizon de l’été 2020.

Dès lors que l'acte attaqué n’exclut pas que la CNIL puisse en tout état de cause faire usage de son pouvoir répressif en cas d'atteinte particulièrement grave aux droits à la protection de la vie privée et des données personnelles, Le Conseil d’État écarte le moyen tiré de ce que le choix effectué par la CNIL de ne pas faire un usage immédiat de son pouvoir de sanction porterait une atteinte excessive à ces droits et méconnaîtrait l'exigence de prévisibilité.