Le 14 août se tenait au Conseil d’État l’audience de référé de notre affaire contre la CNIL. Nous demandions à ce que soit suspendue dans l’urgence son autorisation donnée aux sites Web de nous tracer à des fins publicitaires sans notre consentement « explicite » pendant un an. Le Conseil d’État a rendu sa décision extrêmement rapidement : il a considéré qu’il n’y avait pas d’urgence à trancher le débat « en référé » car l’audience « au fond » a finalement été fixée au 30 septembre 2019, ce qui est aussi extrêmement rapide et nous satisfait presque tout autant.

Expliquons en détail ce qui s’est déroulé.

Rappel des épisodes précédents

La CNIL a publié deux articles, les 28 juin et 18 juillet, dans lesquelles elle annonçait ceci : le fait de continuer de consulter un site Web après avoir été informé·e de la présence de traceurs publicitaire (via un « bandeau cookie ») pourra être considéré comme une façon « acceptable » de donner notre consentement, et ce jusqu’à l’été 2020. Comme nous l’expliquions, cette annonce est parfaitement contraire au RGPD, qui exige un consentement « explicite » : nous devons cliquer sur un bouton « j’accepte », notre silence ne vaut pas acceptation. La CNIL n’a aucun pouvoir pour en décider autrement.

Le 29 juillet, nous déposions une requête en référé suspension contre cette décision devant le Conseil d’État. Comme nous l’expliquions alors, nous avons choisi d’agir en référé (c’est à dire dans l’urgence) de peur que la décision du Conseil d’État intervienne trop tard, au-delà du terme de la « période de tolérance » d’un an laissée par la CNIL. En effet, dans nos autres affaires portées devant le Conseil d’État, nous devons généralement attendre deux ou trois années avant d’être entendu·es en audience (voir par exemple le récit de nos actions contre la loi renseignement et la conservation généralisée des données de connexion).

L’audience en référé

L’audience a été fixée tôt, au 14 août, alors que nous jonglions tou·tes entre nos vacances et la préparation d’autres affaires.

D’habitude, devant le Conseil d’État, l’oralité a très peu de place : les débats se font principalement à l’écrit et les parties (c’est à dire les personnes ou organisations en désaccord) ne reprennent pas leurs arguments à l’oral lors de l’audience. En matière de référé, les choses sont bien différentes : les parties ayant eu peu de temps pour développer leurs arguments à l’écrit, c’est à l’audience et à l’oral que se tient tout le débat ou presque. Typiquement, dans notre cas, nous avons rédigé notre requête en dix jours et la CNIL y a répondu dix jours plus tard, le 9 août, ne nous laissant pas assez de temps pour y répliquer convenablement à l’écrit.

L’audience est ainsi organisée pour favoriser ces échanges oraux : un·e unique juge reçoit les deux parties autour d’une table et prend le temps de soulever dans le détail chaque point de débat. Dans notre cas, cela aura pris deux heures, de 11h à 13h.

De notre côté, nous étions assisté·es par Me Ricard, avocat aux conseils de permanence (dans certaines affaires devant le Conseil d’État ou devant la Cour de cassation, seul·es des avocat·es spécialisé·es, dit·es « avocats aux conseils », peuvent plaider – ce n’était pas le cas dans notre affaire de référé, mais nous avons préféré être assisté·es d’un tel avocat par soucis du bon usage). Me Ricard partageait la parole avec Alexis et Benjamin, deux de nos membres, et Arthur, l’un de nos salarié·es. Alexis, avocat spécialisé en droit public, a pu répondre aux points formels les plus spécifiques. Benjamin, ingénieur, a fait un exposé sur les traceurs présents sur le site du Monde, pour ancrer le débat dans le réel et en pointer les enjeux concrets. Arthur, qui suit le développement de ces textes au quotidien, a pu détailler l’articulation entre le RGPD et la directive ePrivacy, qui est l’une des spécificités de cette affaire.

En face, la CNIL était représentée par cinq personnes, dont une seule a pris la parole. Curieusement, elle a dit regretter de ne pas être assistée d’un expert technique, contrairement à nous. Tout aussi curieusement, elle prenait le soin de rappeler régulièrement qu’une des missions de la CNIL est d’accompagner les entreprises, alors que nous lui reprochions précisément de ne pas assez prendre en compte les droits fondamentaux de la population.

Une quinzaine de personnes étaient venues assister à l’audience dans le public.

Les points débattus

Durant les deux heures de débats, la question de fond, à savoir si la décision de la CNIL est légale ou justifiée, a finalement été peu abordée. L’essentiel des échanges visait à déterminer s’il fallait ou non que le Conseil d’État se prononce dans l’urgence. Pour cela, nous avons rappelé que, s’il en était autrement, les délais de procédures habituels rendraient notre action inutile, nous privant de « recours effectif ».

Mais ce n’est pas tout : il fallait aussi démontrer que l’acte que nous attaquons cause un préjudice suffisamment grave. Dans une procédure « normale », ce n’est pas nécessairement un point central du débat : un acte de la CNIL peut être annulé du simple fait qu’il est illégal, sans avoir à évaluer la gravité des torts qu’il cause. Il en va autrement en référé : pour justifier que les juges agissent dans l’urgence, il faut que les effets concrets de l’acte soient particulièrement graves. Ainsi, la CNIL a défendu que sa décision ne causait en elle-même aucune réduction de notre droit à la protection des données. Elle a prétendu que de nombreux sites Web ne respectent pas notre consentement « explicite » depuis des années et que prolonger cet état de fait n’était pas une « aggravation » de la situation mais le simple maintien d’un statu quo qui, aussi nuisible soit-il, ne serait pas du fait de la CNIL.

Nous avons pu expliquer que c’était faux : depuis des années, diverses autorités européennes ont très clairement dit que les cookies et autres traceurs ne pouvaient être utilisés à des fins publicitaires qu’avec notre consentement explicite et que la « poursuite de la navigation » n’était plus un mode d’expression valable du consentement au regard du RGPD. De nombreux acteurs économiques ont à leur tour repris ce discours pour inviter à une évolution de la pratique (voir par exemple ces articles publiés par un conseiller spécialisé dans la publicité en ligne, une agence de développement Web, un conseiller en conformité RGPD ou un site d’actualité de droit du numérique).

Ainsi, la décision de la CNIL que nous attaquons a bien aggravé la situation : de nombreux acteurs jusqu’alors convaincus de devoir obtenir un consentement explicite sont désormais assurés par la CNIL de pouvoir se satisfaire d’un simple « qui ne dit mot consent », diminuant notre droit à la protection des données et défavorisant les acteurs respectueux du droit face à leurs concurrents.

La décision

Juste après l’audience, le jour même, le juge des référés a rendu sa décision, qui nous est parvenue deux jours plus tard. La rapidité de sa décision s’explique par sa simplicité : il n’y avait plus d’urgence à trancher en référé car l’audience « au fond » venait d’être fixée au 30 septembre, 40 jours plus tard.

En matière de référé-suspension, qui est la procédure que nous avons choisie, toute demande de décision urgente accompagne nécessairement une demande principale, dite « au fond ». Si le juge des référés estime que l’illégalité pointée par le requérant est suffisamment urgente et conséquente, il suspendra, de façon provisoire, les effets de l’acte attaqué jusqu’à la publication de la décision définitive au fond. Dans l’hypothèse inverse, le juge rejettera le référé et l’affaire reprend sa voie « normale », « au fond », soumise aux délais et à la procédure habituelle de la juridiction. C’est ce qui s’est passé pour nous. Toutefois, l’audience au fond (non urgente) a été fixée extrêmement tôt, au 30 septembre.

Les craintes qui nous avaient poussé·es à choisir la voie du référé avaient disparues. Il n’y avait plus urgence à obtenir une décision du juge des référés, qui s’en est donc abstenu, pour ce seul motif. Formellement, il rejette notre demande. Concrètement, il nous renvoie à l’audience du 30 septembre.

La suite

Un point demeure curieux : pourquoi l’audience au fond a-t-elle était fixée si tôt, défiant tous les délais habituels du Conseil d’État ? Une piste de réflexion pourrait être que la question que nous soulevons est assez grave, au point que le Conseil d’État a souhaité en décharger le juge des référés, qui aurait pu décider seul et de façon provisoire, pour s’en saisir pleinement et en détail par une décision définitive et collégiale (par plusieurs juges, selon la procédure « normale »).

En effet, répondre à notre question pourrait avoir d’importantes conséquences juridiques, dépassant le seul cas de la CNIL : une autorité administrative indépendante peut-elle décider de n’appliquer une disposition légale à aucun des cas qu’elle est censée contrôler ? Certes, les autorités de contrôle, de même que les procureur·es, disposent d’un certains « pouvoir d’opportunité » pour apprécier au cas par cas si telle ou telle affaire mérite d’être poursuivie. Mais la décision qu’a pris la CNIL dans notre cas est bien plus large que du « cas par cas ». Pendant un an, elle refuse de poursuivre n’importe quel site Web violant l’exigence de consentement explicite. Une telle décision a une portée générale et abstraite, ce qui est normalement le monopole du pouvoir législatif. Cette décision, et sa publicité, a aussi pour effet d’inciter les acteurs à violer la loi, en contradiction des missions de la CNIL.

Nous sommes impatient·es d’entendre les conclusions du rapporteur public (il s’agit du membre de la formation de jugement chargé d’examiner les affaires et de conseiller les juridictions administratives, dont les avis sont très généralement suivis). L’audience étant publique, nous vous y retrouverons avec plaisir ! Le 30 septembre, 1 place du Palais Royal à Paris. Nous communiquerons l’heure exacte dès que nous l’aurons !