Résumé

  • La règle européenne de 2002 imposait d’informer l’internaute et de lui offrir un refus. La révision de 2009 exige son consentement avant de déposer ou de lire des informations sur son appareil, sous réserve d’exceptions étroites.
  • En 2012, l’autorité britannique de protection des données jugeait les réglages ordinaires du navigateur trop grossiers pour faire ce travail. Elle montrait une bannière parmi plusieurs solutions. En 2019, la Cour de justice a écarté la case précochée dans l’affaire Planet49.

Un refus rangé dans le navigateur

L’article 5, paragraphe 3, de la directive de 2002 accordait une place aux cookies utiles tout en exigeant une information claire et la possibilité de refuser l’accès à l’équipement terminal. La transmission et le service expressément demandé bénéficiaient d’exceptions limitées. Dans la pratique, le navigateur offrait un commutateur général. Un même réglage répondait à des milliers de demandes fort différentes. Cette simplicité servait l’internaute pressé et l’exploitant qui n’avait pas à recueillir une décision à chaque visite.

L’amendement de 2009 a déplacé le centre de gravité. Le texte permet désormais le stockage ou l’accès après que l’utilisateur a donné son consentement, après information. Le considérant 66 envisage des réglages du navigateur comme moyen possible quand ils fonctionnent réellement. Une configuration installée par défaut ne devient pas pour autant une décision personnelle. Le Royaume-Uni a transposé ce changement dans sa réglementation en mai 2011. Le mot « consentement » réclamait maintenant un geste identifiable.

La bannière entre en scène

Dans ses recommandations de mai 2012, l’Information Commissioner britannique constatait que la plupart des navigateurs n’offraient pas encore des réglages assez fins pour qu’un site puisse présumer le consentement. L’autorité proposait différents dispositifs, dont des barres d’information, et citait la bannière de son propre site. Elle laissait aux exploitants le choix d’une solution adaptée. La bande colorée devenue familière n’était donc pas dessinée dans la loi : elle répondait à une panne pratique du canal navigateur.

Ce transfert a un prix politique. L’entreprise qui veut lire le cookie choisit aussi la place du message, la taille des boutons et le parcours vers le refus. Le visiteur reçoit une décision visible, mais dans un cadre construit par l’autre partie. Le droit de décider dépend alors de détails de présentation que le texte législatif ne règle pas à lui seul.

Une case remplie par avance

Le formulaire de loterie de Planet49 comportait une case déjà cochée pour les cookies. Le participant devait la décocher pour échapper au dépôt. Dans son arrêt du 1er octobre 2019, la Cour de justice a refusé d’y voir un consentement valable, que les informations concernées soient ou non des données personnelles. Elle a également exigé une information sur la durée de fonctionnement des cookies et l’accès éventuel de tiers. Le procès portait sur cette case, pas sur l’invention d’une bannière universelle.

La trajectoire tient dans trois interfaces : le réglage général du navigateur, le message conçu par le site, puis la case que le site ne peut plus cocher à la place du visiteur. À chaque étape, la question décisive reste la même : qui accomplit réellement le choix ?