L'APD prend des mesures à l'encontre de Mediahuis pour l'utilisation illicite de bannières de cookies sur des sites de presse

---

Le dossier

L'APD a reçu des plaintes d’un citoyen néerlandais, représenté par NOYB pour utilisation illicite de bannières de cookies sur 4 sites de presse de Mediahuis. Le plaignant indique, via son représentant mandaté (NOYB), que les sites de presse ne proposent pas de bouton "Tout refuser" au premier niveau d'information de la bannière de cookies et utilisent des boutons de couleurs trompeuses (“deceptive design patterns” ou "interfaces trompeuses"). Le plaignant signale également qu’il n’est pas très facile de retirer son consentement et que des cookies non strictement nécessaires ne peuvent être placés qu'après le recueil du consentement. L'APD a décidé d'initier une procédure de transaction pour ces plaintes mais la proposition de transaction n'ayant pas été entièrement acceptée, elle a procédé à un examen du dossier sur le fond.

Les plaintes ont été introduites par l'organisation autrichienne à but non lucratif de protection des droits à la vie privée NOYB, qui intervenait en tant que représentant mandaté dans le dossier. Au cours de la procédure, le mandat du représentant avait été remis en question dès lors que le plaignant était stagiaire chez NOYB au moment où il l’a mandatée pour introduire une plainte. L'APD estime que le mandat dans ce dossier est valable vu que rien n'indique que NOYB ait pris l'initiative d'inciter le plaignant à introduire une plainte et que le plaignant a également précisé lui-même que ce n’est pas sur instruction de NOYB qu’il a constaté un problème. Dans la décision relative à Roularta (décision 112/2024 - également disponible en anglais) par contre, la Chambre Contentieuse a décidé que le mandat n'était pas valable car dans ce dossier, NOYB avait demandé au plaignant de se renseigner dans un « dossier type » sur une pratique et un responsable du traitement prédéterminés.

Conclusions

• Bouton "Tout refuser" : Le placement de cookies non strictement nécessaires n'est autorisé qu'à condition que le consentement soit obtenu de manière libre, spécifique, univoque et éclairée. La Chambre Contentieuse estime que le consentement ne peut pas être donné librement si aucune option équivalente n’est proposée avec le choix de "Tout refuser" ou de "Tout accepter" au même niveau d'information. Le consentement n'est pas non plus univoque car l'utilisateur ne sait pas qu'il peut refuser des cookies, vu que cette option n'est proposée qu'à un niveau d'information ultérieur. La Chambre Contentieuse ordonne à Mediahuis de mettre ses bannières de cookies en conformité sur ce point et là où c'est nécessaire, de prévoir une option "Tout refuser".
• Couleurs de boutons trompeuses : La Chambre Contentieuse considère que les sites de presse utilisent des deceptive design patterns en mettant davantage en évidence le bouton "Accepter et fermer" (Tout accepter) au moyen de couleurs vives et en incitant ainsi la personne concernée à cliquer sur ce bouton. La Chambre Contentieuse conclut que le principe de loyauté au sens du RGPD n’est pas respecté et que le consentement n'est pas donné de manière licite et ordonne que les options "Tout refuser" et "Tout accepter" soient affichées de la même manière.
• Retrait du consentement : Au moment de l'introduction de la plainte, il n'était pas très facile pour l'utilisateur de retirer son consentement. Ce retrait n'était possible qu'après plusieurs clics, tandis que pour accepter tous les cookies lors de l'obtention du consentement, un seul clic suffisait. Il s'agit d'une violation du RGPD, mais la Chambre Contentieuse a tenu compte du fait qu'entre-temps, Mediahuis a pris les mesures nécessaires pour y remédier.
• Intérêt légitime : Le placement de cookies non strictement nécessaires (tels que des cookies analytiques à des fins de marketing) requiert toujours le consentement. À défaut de celui-ci, il n'est pas permis d'opter pour une autre base légale "de secours", à savoir l'intérêt légitime, afin de quand même placer les cookies. La Chambre Contentieuse répète que les sites de presse doivent demander le consentement de l'utilisateur pour le placement de cookies non strictement nécessaires.

Mesures

L'APD ordonne à Mediahuis de procéder aux ajustements nécessaires dans les 45 jours suivant la notification de sa décision en 1) adaptant les bannières de cookies (au niveau du bouton de refus) 2) sans utiliser de couleurs de boutons trompeuses. Si les bannières de cookies ne sont toujours pas conformes à partir du 46e jour qui suit la notification de la décision, pour chaque injonction non respectée, une astreinte de 25.000 EUR par jour et par site de presse non conforme sera infligée. L'APD formule en outre également une réprimande à l'encontre de Mediahuis et souligne que Mediahuis ne peut placer et lire des cookies strictement nécessaires que sur la base de l'intérêt légitime.

Mediahuis peut intenter un recours contre cette décision auprès de la Cour des marchés.

Les cookies : une des priorités de l'APD

En 2023, l'APD avait annoncé que les cookies deviendraient une priorité transversale et dans cette optique, elle a publié des articles sur son site, compilé de la documentation et développé des outils tels que les suivants :

• la check-list cookies
• la publication des lignes directrices de l'EDPB
• la mise à jour du dossier thématique "cookies" ainsi que de sa propre bannière de cookies
• un article dans la rubrique actualités de son site sur l'utilisation d'un bouton "Tout refuser"

Hielke Hijmans, Président de la Chambre Contentieuse : « Cette décision met en évidence l’importance d’une bonne utilisation des cookies, dont l’obligation d’afficher un bouton « tout refuser » dans la bannière de cookies pour les cookies qui ne sont pas strictement nécessaires. Cette option doit être présentée d’emblée à l’utilisateur de sorte qu’il puisse faire un choix libre et informé en voyant au même moment les possibilités qui s’offrent à lui. Un exemple de bonnes pratiques est repris dans la check-list cookies disponible sur notre site ».