- leur requête est recevable dès lors que la décision prise par la CNIL a le caractère d'un acte administratif faisant grief ;
- la condition d'urgence est satisfaite dès lors que l'intérêt public commande que soient prises les mesures provisoires nécessaires pour faire cesser immédiatement l'atteinte à des droits conférés par l'ordre juridique de l'Union européenne, que la décision porte une atteinte grave et immédiate aux intérêts qu'elles défendent et qu'elle aura épuisé ses effets à la date de la décision des juges du fond, de sorte que le rejet de la demande de suspension les priverait d'un recours effectif ;
- il existe un doute sérieux quant à la légalité de la décision contestée ;
- la décision attaquée est entachée d'incompétence dès lors que la CNIL ne tient d'aucune disposition législative ou règlementaire le pouvoir d'édicter une période transitoire pendant laquelle elle s'abstiendrait de poursuivre les comportements méconnaissant des règles destinées à garantir le droit à la protection des données personnelles ;
- elle est intervenue en violation du principe de prévisibilité de la loi, du droit à la vie privée et du droit à la protection des données personnelles.
Par un mémoire en défense, enregistré le 9 août 2019 au secrétariat du contentieux du Conseil d'Etat, la Commission nationale de l'informatique et des libertés conclut au rejet de la requête. Elle soutient, à titre principal, que la requête est irrecevable et, à titre subsidiaire, que la condition d'urgence n'est pas remplie et qu'aucun des moyens soulevés n'est propre à créer un doute sérieux quant à la légalité de la décision attaquée.
Après avoir convoqué à une audience publique, d'une part, les associations " La Quadrature du net " et " Caliopen " et, d'autre part, la Commission nationale de l'informatique et des libertés ;
Vu le procès-verbal de l'audience publique du 14 août 2019 à 11 heures au cours de laquelle ont été entendus :
- Me Ricard, avocat au Conseil d'Etat et à la Cour de cassation, avocat des associations " La Quadrature du net " et " Caliopen " ;
- les représentants de l'association " La Quadrature du net " ;
- les représentants de l'association " Caliopen " ;
- les représentants de la Commission nationale de l'informatique et des libertés ;
et à l'issue de laquelle le juge des référés a clos l'instruction.
Vu les autres pièces du dossier ;
Vu :
- la Constitution, notamment son Préambule ;
- la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales ;
- la Charte des droits fondamentaux de l'Union Européenne ;
- la directive n° 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 ;
- le règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
- le code de justice administrative ;
Vu la note en délibéré, enregistrée le 14 août 2019, présentée par les associations " La Quadrature du Net " et " Caliopen ".
Considérant ce qui suit :
1. Aux termes du premier alinéa de l'article L. 521-1 du code de justice administrative : " Quand une décision administrative, même de rejet, fait l'objet d'une requête en annulation ou en réformation, le juge des référés, saisi d'une demande en ce sens, peut ordonner la suspension de l'exécution de cette décision, ou de certains de ses effets, lorsque l'urgence le justifie et qu'il est fait état d'un moyen propre à créer, en l'état de l'instruction, un doute sérieux quant à la légalité de la décision ".
2. Aux termes de l'article 82 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés : " Tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète, sauf s'il l'a été au préalable, par le responsable du traitement ou son représentant : 1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ; / 2° Des moyens dont il dispose pour s'y opposer. / Ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle (...) ".
3. En vertu de l'article 4 (11) du règlement du parlement européen et du conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (" règlement général sur la protection des données "), le " consentement " de la personne concernée est défini comme " toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement ".
4. Par une délibération n° 2019-093 du 4 juillet 2019 portant adoption de lignes directrices relatives à l'application de l'article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture ou écriture dans le terminal d'un utilisateur (notamment aux cookies et autres traceurs), la Commission nationale de l'informatique et des libertés (CNIL) indique que le règlement général sur la protection des données renforce les exigences en matière de consentement des personnes, en apportant des clarifications sur ses conditions d'obtention et sur la nécessité d'en démontrer le recueil, ce qui la conduit à abroger sa délibération n° 2013-378 du 5 décembre 2013 portant adoption d'une recommandation relative aux cookies et aux autres traceurs visés par l'article 32-II de la loi du 6 janvier 1978 (ci-après " la recommandation cookies et autres traceurs "), pour la remplacer par de nouvelles lignes directrices. A l'article 2 de ces nouvelles lignes directrices, la CNIL rappelle que " En application de la loi "Informatique et Libertés", du RGPD et des lignes directrices du CEPD sur le consentement, les traceurs nécessitant un recueil du consentement ne peuvent être utilisés en écriture ou en lecture tant que l'utilisateur n'a pas préalablement manifesté à cette fin sa volonté, de manière libre, spécifique, éclairée et univoque par une déclaration ou par un acte positif clair " et " souligne que le consentement doit se manifester par le biais d'une action positive de la personne préalablement informée des conséquences de son choix et disposant des moyens de l'exercer ". La CNIL précise qu'elle estime que " Le fait de continuer à naviguer sur un site web, d'utiliser une application mobile ou bien de faire défiler la page d'un site web ou d'une application mobile ne constituent pas des actions positives claires assimilables à un consentement valable " et que " l'utilisation de cases pré-cochées, tout comme l'acceptation globale de conditions générales d'utilisation, ne peuvent être considérées comme un acte positif clair visant à donner son consentement ".
5. Par un communiqué publié sur son site internet les 28 juin 2019, la CNIL indique cependant qu'elle " laissera aux acteurs une période transitoire de 12 mois, afin qu'ils aient le temps de se conformer aux principes qui divergent de la précédente recommandation " et que " durant cette période de transition, la poursuite de la navigation comme expression du consentement sera donc considérée par [elle] comme acceptable ". Par un communiqué publié sur son site internet le 18 juillet 2019, la CNIL indique, de même, que " comme [elle] l'a indiqué, une période d'adaptation, s'achevant six mois après la publication de la future recommandation, sera laissée aux acteurs afin de leur donner le temps d'intégrer les nouvelles règles " et précise que " pour ces dispositions nouvelles, le délai laissé aux opérateurs qui respectaient jusqu'à présent la recommandation de 2013 tient compte de l'exigence juridique de prévisibilité en cas de changement de règle applicable, résultant notamment de la Convention européenne des droits de l'homme ".
6. Les associations requérantes demandent au Conseil d'Etat de suspendre l'exécution de la décision de la CNIL, qu'ils estiment révélée par les deux communiqués mentionnés au point précédent, de regarder comme acceptable, pendant une période de transition de six à douze mois, la poursuite de la navigation comme expression du consentement et, par suite, de renoncer à l'utilisation des pouvoirs, notamment de sanction, dont elle dispose pour faire cesser, pendant cette période, des comportements qui contreviendraient aux règles issues des dispositions rappelées aux points 2 et 3 ci-dessus.
7. Pour soutenir que la condition d'urgence est satisfaite, les associations requérantes allèguent que la décision contestée porte une atteinte grave et immédiate aux intérêts qu'elles ont pour objet de défendre, à savoir la protection des droits fondamentaux dans l'environnement numérique et, notamment, du droit au respect de la vie privée et à la protection des données personnelles, que cette décision porte une atteinte grave et immédiate à l'intérêt public, lequel commande que soient prises les mesures provisoires nécessaires pour faire cesser immédiatement l'atteinte aux droits conférés par l'ordre juridique de l'Union européenne et que, dès lors, la décision aura épuisé ses effets à la date à laquelle les juges du fond statueront sur sa légalité, la suspension ordonnée par le juge des référé constitue la seule voie de nature à respecter leur droit à un recours effectif.
8. Toutefois, l'examen de la requête tendant à l'annulation de la décision attaquée sera inscrit au rôle d'une séance de jugement du Conseil d'Etat le 30 septembre 2019. Cette décision se borne à maintenir pour une période limitée la position exprimée par la CNIL dans ses lignes directrices de 2013. A supposer qu'elle ait également pour effet d'inciter, ainsi qu'il est soutenu, les opérateurs concernés à différer temporairement la mise en conformité des modalités de recueil du consentement de leurs utilisateurs au sujet des opérations de lecture ou d'écriture dans leur terminal, il n'apparaît pas que cette décision aurait pour conséquence, d'ici à la date rapprochée de l'audience, de porter aux intérêts que les requérants entendent défendre ou à l'intérêt public une atteinte de nature à regarder la condition d'urgence, requise par l'article L. 521-1 du code de justice administrative pour justifier sa suspension immédiate, comme satisfaite.
9. Il en résulte, sans qu'il soit besoin d'examiner les fins de non-recevoir soulevées en défense par la CNIL, ni la question de l'existence d'un moyen de nature à faire naître un doute sérieux sur la légalité de la décision attaquée, que la requête ne peut qu'être rejetée, y compris les conclusions aux fins d'injonction et celles tendant à la mise en oeuvre des dispositions de l'article L.761-1 du code de justice administrative.
O R D O N N E :
------------------
Article 1er : La requête des associations " La Quadrature du net " et " Caliopen " est rejetée.
Article 2 : La présente ordonnance sera notifiée aux associations " La Quadrature du net " et " Caliopen " et à la Commission nationale de l'informatique et des libertés.