Par une décision du 6 juin 2018, le Conseil d’Etat confirme la position de la Cnil sur le fait que le paramétrage du navigateur n’est pas un mode valable d’opposition au dépôt de cookies. Par une délibération du 18 mai 2017, la Cnil avait prononcé une sanction pécuniaire de 25 000 € contre l’éditeur du site challenges.fr pour n’avoir pas respecté ses obligations d’information sur le dépôt de cookies sur le terminal de l’utilisateur et sur le droit d’opposition alors qu’il avait été mis en demeure de le faire. Le Conseil d’Etat a validé la décision de la Cnil.
Le 27 novembre 2014, la Cnil avait effectué une mission de contrôle auprès de la société Editions Croque Futur qui édite le site Challenges.fr. Suite à différents manquements constatés dans sa politique de cookies, la Cnil l’avait mise en demeure de se conformer à la loi Informatique et libertés dans un délai de trois mois. L’éditeur lui avait répondu que le développement du site dépendait des moyens techniques du Nouvel observateur mais aucune réponse appropriée n’a ensuite été envoyée.
La Cnil avait constaté des carences quant à l’obligation d’information et de mise en œuvre d’un mécanisme d’opposition au dépôt de témoins de connexion sur le terminal de l’utilisateur. L’article II de l’article 32 de la loi de 1978 impose l’information des utilisateurs sur les finalités de ces cookies et sur les moyens de s’y opposer. Il exige aussi que le recueil du consentement se fasse avant le dépôt de ce fichier, sauf s’il est nécessaire au fonctionnement du site ou qu’il corresponde à la fourniture du service à la demande de l’utilisateur. En revanche, « le fait que certains  » cookies  » ayant une finalité publicitaire soient nécessaires à la viabilité économique d’un site ne saurait conduire à les regarder comme  » strictement nécessaires à la fourniture  » du service de communication en ligne. », précise le Conseil d’Etat. Dans le cas de Challenges.fr, le Conseil considère que le site ne permettait pas aux internautes de différencier clairement les catégories de cookies, ni de s’opposer au dépôt de ceux soumis à consentement préalable, ni de connaître les conséquences d’une opposition sur la navigation sur le site. Il a donc conclu que c’est à bon droit que « la formation restreinte de la CNIL a considéré que le paramétrage du navigateur proposé aux utilisateurs ne constituait pas un mode valable d’opposition au dépôt de  » cookies  » et en a déduit qu’il n’avait pas été remédié au manquement à l’obligation d’information et de mise en œuvre d’un mécanisme d’opposition en cas de dépôt de témoins de connexion. ».
La Cnil reprochait également au site de ne pas avoir défini ni respecté de durée de conservation des données proportionnée à la finalité du traitement. Par ailleurs, la Cnil avait constaté que l’éditeur n’avait pas donné suite à sa mise en demeure de ne pas conserver les cookies au-delà de treize mois. Rien ne montre en effet qu’il aurait effectué des démarches auprès de ses partenaires pour qu’ils se conforment à cette durée de conservation des cookies. L’éditeur est considéré comme le responsable du traitement des cookies. Toutefois, rappelle le Conseil d’Etat, « les éditeurs de site qui autorisent le dépôt et l’utilisation de tels  » cookies  » par des tiers à l’occasion de la visite de leur site doivent également être considérés comme responsables de traitement, alors même qu’ils ne sont pas soumis à l’ensemble des obligations qui s’imposent au tiers qui a émis le  » cookie « , notamment lorsque ce dernier conserve seul la maitrise du respect de sa finalité ou de sa durée de conservation. ». En conséquence, l’éditeur d’un site doit s’assurer que ses partenaires n’émettent pas des cookies contraires à la réglementation en France.