Vu les procédures suivantes :
I. Sous le n° 452668, par une requête et un mémoire en réplique, enregistrés les 17 mai et 25 octobre 2021 au secrétariat du contentieux du Conseil d'Etat, le Syndicat national du marketing à la performance (SNMP) demande au Conseil d'Etat :
1°) d'annuler pour excès de pouvoir la question - réponse n° 12 de la série de 32 " questions - réponses sur les lignes directrices modificatives et la recommandation "cookies et autres traceurs" " mise en ligne sur le site de la Commission nationale de l'informatique et des libertés (CNIL) le 18 mars 2021 ;
2°) de mettre à la charge de la CNIL la somme de 5 000 euros au titre de l'article L. 761-1 du code de justice administrative.
II. Sous le n° 459026, par une requête et deux mémoires en réplique enregistrés le 30 novembre 2021 et les 18 et 22 mars 2022 au secrétariat du contentieux du Conseil d'Etat, le Collectif des acteurs du marketing digital (CPA) demande au Conseil d'Etat :
1°) d'annuler pour excès de pouvoir la décision en date du 30 septembre 2021 par laquelle la Commission nationale de l'informatique et des libertés (CNIL) a refusé de faire droit à sa demande de modification de la question - réponse n°12 de la série de 32 " questions - réponses sur les lignes directrices modificatives et la recommandation "cookies et autres traceurs" " ;
2°) par voie de conséquence, prononcer l'annulation de cette question - réponse ;
3°) de mettre à la charge de la CNIL la somme de 5 000 euros au titre de l'article L. 761-1 du code de justice administrative.
....................................................................................
Vu les autres pièces des dossiers ;
Vu :
- la directive n° 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 ;
- le règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de Mme Myriam Benlolo Carabot, maître des requêtes en service extraordinaire,
- les conclusions de Mme Esther de Moustier, rapporteure publique ;
Considérant ce qui suit :
1. Les requêtes formées par le Syndicat national du marketing à la performance (SNMP) et par le Collectif des acteurs du marketing digital (CPA) sont dirigées contre la même question - réponse n° 12 de la série de 32 " questions - réponses sur les lignes directrices modificatives et la recommandation "cookies et autres traceurs" " que la Commission nationale de l'informatique et des libertés (CNIL) a mise en ligne sur son site internet le 18 mars 2021. Elles présentent à juger des questions semblables. Il y a lieu de les joindre pour statuer par une seule décision.
Sur l'intervention au soutien de la requête n°452668 :
2. Le Collectif des acteurs du marketing digital, dont l'objet est de défendre les intérêts des entreprises relevant du secteur de la prospection commerciale numérique, justifie d'un intérêt suffisant pour intervenir au soutien de la requête présentée par le Syndicat national du marketing à la performance. Par suite, son intervention est recevable.
Sur le litige :
3. Aux termes de l'article 82 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés : " Tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète, sauf s'il l'a été au préalable, par le responsable du traitement ou son représentant : 1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ; / 2° Des moyens dont il dispose pour s'y opposer. / Ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle. / Ces dispositions ne sont pas applicables si l'accès aux informations stockées dans l'équipement terminal de l'utilisateur ou l'inscription d'informations dans l'équipement terminal de l'utilisateur : / 1° Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ; / 2° Soit, est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur ".
4. Il ressort des pièces du dossier que la Commission nationale de l'informatique et des libertés (CNIL) a, le 17 septembre 2020, adopté une délibération n° 2020-091 par laquelle elle a arrêté des " lignes directrices " relatives à l'application aux opérations de lecture et écriture dans le terminal d'un utilisateur de l'article 82 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. Ces lignes directrices ont été complétées par la délibération n° 2020-092 du 17 septembre 2020 portant adoption d'une recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux " cookies et autres traceurs ". Ces deux délibérations s'inscrivent dans le plan d'action de la CNIL sur le ciblage publicitaire annoncé le 28 juin 2019 visant à préciser les règles applicables et à accompagner les acteurs dans leur mise en conformité.
5. La CNIL a publié sur son site internet, le 18 mars 2021, des " questions - réponses sur les lignes directrices et la recommandation "cookies et autres traceurs" ", dont la question-réponse n° 12 relative aux opérations dites d'affiliation, par lesquelles l'éditeur d'un site marchand et celui d'un autre site, dit " affilié ", conviennent que le premier rémunère le second toutes les fois qu'un internaute effectue un acte d'achat sur le site marchand après avoir cliqué sur un lien, prenant la forme d'une bannière publicitaire, d'une image, d'un texte ou toute autre forme, figurant sur le site internet de l'affilié. La mise en œuvre d'un tel partenariat implique l'utilisation de traceurs de connexion afin de déterminer l'origine de la connexion au site marchand et de procéder, le cas échéant, à la facturation de l'opération. A la question formulée de la façon suivante : " Les traceurs utilisés pour la facturation des opérations d'affiliation sont-ils exemptés de consentement ' ", le document mis en ligne sur le site de la CNIL apporte la réponse suivante : " Non. Les traceurs utilisés pour la facturation des opérations d'affiliation n'entrent pas dans les exemptions de l'article 82 de la loi Informatique et Libertés, qui doivent être interprétées strictement. En effet, ces opérations n'ont pas pour finalité exclusive de permettre ou faciliter la communication par voie électronique et ne sont pas strictement nécessaires à la fourniture d'un service de communication en ligne expressément demandé par l'utilisateur ".
Sur la fin de non-recevoir opposée par la CNIL :
6. Les documents de portée générale émanant d'autorités publiques, matérialisés ou non, tels que les circulaires, instructions, recommandations, notes, présentations ou interprétations du droit positif peuvent être déférés au juge de l'excès de pouvoir lorsqu'ils sont susceptibles d'avoir des effets notables sur les droits ou la situation d'autres personnes que les agents chargés, le cas échéant, de les mettre en œuvre. Ont notamment de tels effets ceux de ces documents qui ont un caractère impératif ou présentent le caractère de lignes directrices.
7. Il appartient au juge de l'excès de pouvoir d'examiner les vices susceptibles d'affecter la légalité du document en tenant compte de la nature et des caractéristiques de celui-ci ainsi que du pouvoir d'appréciation dont dispose l'autorité dont il émane. Le recours formé à son encontre doit être accueilli notamment s'il fixe une règle nouvelle entachée d'incompétence, si l'interprétation du droit positif qu'il comporte en méconnaît le sens et la portée ou s'il est pris en vue de la mise en œuvre d'une règle contraire à une norme juridique supérieure.
8. Par la question - réponse n° 12 mise en ligne le 18 mars 2021 sur le site internet de la CNIL, cette autorité a fait part aux responsables de traitement et personnes concernées de son interprétation de l'article 82 de la loi n° 78-17 du 6 janvier 1978, quant à la portée et au champ d'application des exemptions à l'obligation de consentement préalable au dépôt des traceurs de connexion, en ce qui concerne les opérations dites d'affiliation. Eu égard à sa teneur, cette prise de position, émise par l'autorité de régulation sur son site internet, est susceptible de produire des effets notables sur la situation des personnes qui se livrent à des opérations d'affiliation et des utilisateurs et abonnés de services électroniques. Il suit de là que la fin de non-recevoir opposée par la CNIL, tirée de ce que cette question-réponse n° 12 et son refus de la retirer seraient insusceptibles de faire l'objet d'un recours pour excès de pouvoir, doit être écartée.
Sur la légalité de l'acte attaqué :
En ce qui concerne la compétence de la CNIL :
9. En vertu des dispositions du I de l'article 8 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, la CNIL, autorité de contrôle nationale au sens et pour l'application du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE du 24 octobre 1995, dit règlement général sur la protection des données (RGPD), est notamment chargée d'informer toutes les personnes concernées et tous les responsables de traitements de leurs droits et obligations et de veiller à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la loi du 6 janvier 1978 et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l'Union européenne et les engagements internationaux de la France. Elle peut, à ce titre, établir et publier des lignes directrices, recommandations ou référentiels destinés à faciliter la mise en conformité des traitements de données à caractère personnel avec les textes applicables.
10. Ainsi chargée de veiller à la conformité aux dispositions de la loi du 6 janvier 1978, notamment à celles de son article 82, de tout traitement de données relevant de son champ d'application, qu'il concerne ou non des données à caractère personnel, la CNIL dispose, pour l'accomplissement de cette mission, du pouvoir de mettre en œuvre ses prérogatives selon les modalités qu'elle juge les plus appropriées, y compris en recourant à des instruments de droit souple, par lesquels elle peut livrer une interprétation du droit applicable afin d'informer toute personne intéressée et d'aider à la mise en conformité des pratiques. Ces interprétations du droit positif et orientations peuvent être énoncées dans des lignes directrices ou d'autres documents, notamment des éléments mis en ligne sur le site internet de la Commission sous la forme de " questions - réponses " dans le cadre de " foires aux questions ", qui visent à éclairer les professionnels en apportant des réponses à des questions fréquemment posées.
11. Il résulte de ce qui précède qu'en informant, par la question - réponse contestée, les personnes intéressées de son interprétation de l'article 82 de la loi du 6 janvier 1978 et de sa portée quant au dépôt de traceurs de connexion en matière d'opérations d'affiliation, la CNIL, qui n'a édicté aucune interdiction générale et absolue du dépôt de tels traceurs, n'a pas excédé sa compétence.
En ce qui concerne le moyen tiré de l'article 82 de la loi du 6 janvier 1978 :
12. Les requérants soutiennent que la CNIL a méconnu les dispositions de l'article 82 de la loi du 6 janvier 1978, en indiquant que les traceurs relatifs aux opérations d'affiliation ne sont pas exemptés de l'obligation de consentement préalable au dépôt des traceurs. Ils font valoir, d'une part, que les " cookies " d'affiliation ne sont pas des " cookies " publicitaires et devraient être exemptés de cette obligation, au même titre que les " cookies " de mesure d'audience, et, d'autre part, que dans le cadre de certaines opérations, comme les services de remboursement dits de " cashback ", le recours à ces traceurs est strictement nécessaire pour fournir à l'internaute le service qu'il a demandé.
13. En premier lieu, il ressort des pièces du dossier que les opérations d'affiliation, telles que décrites au point 5, impliquent l'utilisation de traceurs de connexion afin de déterminer si l'internaute qui a accompli un acte d'achat sur un site marchand s'est connecté sur ce site à partir d'un lien figurant sur celui de l'opérateur affilié. Ces traceurs ont pour seule finalité de permettre la rémunération de l'affilié par l'éditeur du site marchand, le cas échéant par l'intermédiaire d'une plateforme d'affiliation. Ils n'ont pas pour finalité de permettre ou de faciliter la communication par voie électronique au sens de l'article 82 de la loi du 6 janvier 1978, dès lors qu'aucun traceur de connexion de la nature de ceux utilisés pour la facturation des opérations d'affiliation n'est nécessaire pour qu'un internaute se connecte à un site marchand à partir d'un site édité par un tiers et y effectue un achat. Ils ne peuvent davantage être regardés comme strictement nécessaires à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur, alors que la rémunération de l'affilié par l'éditeur du site marchand ne répond pas à une demande de l'utilisateur. Par ailleurs, la circonstance que certains traceurs seraient nécessaires à la viabilité économique d'un site ou d'un partenariat ne saurait conduire à les ranger dans l'une ou l'autre des exceptions prévues par l'article 82 de la loi du 6 janvier 1978. Enfin, contrairement à ce qui soutenu, ces traceurs n'ont, en tout état de cause, pas la même finalité que ceux permettant la mesure de l'audience des sites internet. Par suite, les requérants ne sont pas fondés à soutenir que la CNIL aurait méconnu les dispositions de l'article 82 de la loi du 6 janvier 1978 en exigeant que le consentement des utilisateurs soit recueilli préalablement au dépôt et à l'utilisation des traceurs en cause.
14. En second lieu, il ressort des termes de la question-réponse n° 12, ainsi que le fait valoir la CNIL en défense, que les éléments donnés par cette réponse portent uniquement sur les traceurs de connexion utilisés exclusivement à des fins de facturation des opérations d'affiliation. Elle ne s'applique ainsi pas aux traceurs de connexion mis en œuvre pour les besoins de services de remboursement, dits de " cashback ", ou de récompense, dits de " reward ", par lesquels un internaute, après s'être inscrit pour ce type de services auprès de l'éditeur d'un site partenaire, bénéficie d'un remboursement partiel ou d'un avantage, comme des bons de réduction ou des tarifs préférentiels, ou attache une conséquence à son achat, lorsqu'il effectue un acte d'achat sur un site marchand auquel il s'est connecté à partir d'un lien figurant sur ce site partenaire, quand bien même ces mêmes traceurs peuvent également servir à la facturation d'opérations assimilables à l'affiliation entre ces éditeurs. Les éléments de réponse contestés n'ont donc pas pour objet, et n'auraient pu avoir légalement pour effet, d'exiger que le dépôt et l'utilisation de tels traceurs soient précédés du recueil du consentement de l'internaute, dans la mesure où ils sont alors strictement nécessaires à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur. Il s'ensuit que les requérants ne peuvent utilement soutenir que le document qu'ils attaquent aurait, à cet égard, méconnu l'article 82 de la loi du 6 janvier 1978.
15. Il résulte de tout ce qui précède que le Syndicat national du marketing à la performance et le Collectif des acteurs du marketing digital ne sont pas fondés à demander l'annulation pour excès de pouvoir de la question - réponse n°12 de la série de 32 " questions - réponses sur les lignes directrices modificatives et la recommandation "cookies et autres traceurs" " mise en ligne sur le site de la Commission nationale de l'informatique et des libertés (CNIL) le 18 mars 2021. Les conclusions des requêtes présentées au titre de l'article L. 761-1 du code de justice administrative ne peuvent, en conséquence, qu'être rejetées.
D E C I D E :
--------------
Article 1er : L'intervention du Collectif des acteurs du marketing au soutien de la requête n° 452668 est admise.
Article 2 : Les requêtes du Syndicat national du marketing à la performance et du Collectif des acteurs du marketing digital sont rejetées.
Article 3 : La présente décision sera notifiée au Syndicat national du marketing à la performance, au Collectif des acteurs du marketing digital et à la Commission nationale de l'informatique et des libertés.
Délibéré à l'issue de la séance du 23 mars 2022 où siégeaient : M. Jacques-Henri Stahl, président adjoint de la section du contentieux, présidant ; M. H... G..., M. Frédéric Aladjidi, présidents de chambre ; Mme J... D..., Mme A... K..., M. B... C..., M. E... F..., M. Alexandre Lallet, conseillers d'Etat et Mme Myriam Benlolo Carabot, maître des requêtes en service extraordinaire-rapporteure.
Rendu le 8 avril 2022.
Le président :
Signé : M. Jacques-Henri Stahl
La rapporteure :
Signé : Mme Myriam Benlolo Carabot
La secrétaire :
Signé : Mme I... L...
