Responsabilité pour l’utilisation de cookies sans consentement préalable
La Cour d’appel de Francfort-sur-le-Main s’est penchée dans un jugement (Réf. 6 U 192/23, jugement du 25.07.2024) sur la responsabilité d’un groupe technologique international concernant l’utilisation de cookies sur des sites Internet. Dans le cadre de la procédure sous-jacente, il s’agissait de vérifier si et dans quelle mesure les entreprises sont responsables des traitements de données contraires à la protection des données, qui ont lieu lors de l’intégration de leurs services dans les sites web de tiers.
Contexte de la procédure
Faits du dossier
Dans le cas en litige, un opérateur d’un site Internet utilisait sur son site une solution d’intégration d’une entreprise américaine de logiciels, entraînant la mise en place automatique de cookies techniquement nécessaires et non nécessaires. Pour l’utilisation de ces cookies, il n’y avait dans ce cas précis ni gestion de consentement efficace ni consentement des utilisateurs. Une organisation représentant les intérêts des consommateurs a alors déposé une plainte pour violation du droit de la protection des données en vigueur ainsi que du droit de la concurrence.
Voies de recours et procédure jusqu’à présent
Le tribunal de première instance avait estimé que la responsabilité du suivi des cookies illégal était essentiellement imputable à la solution logicielle intégrée, mais pas à l’entreprise utilisant la solution sur son site. En appel, la cour d’appel a examiné si le fournisseur du service logiciel, ici Microsoft Ireland Operations Ltd., avait également une responsabilité directe au sens du règlement général sur la protection des données (RGPD) et du droit de la concurrence.
Conclusions du jugement
Le prestataire partage la responsabilité en tant que responsable (conjoint)
Selon la Cour d’appel, la réglementation européenne applicable – concrètement l’article 26, paragraphe 1 du RGPD – prévoit une responsabilité conjointe entre le prestataire de services et l’opérateur du site web pour le traitement des données personnelles effectué par les cookies. Ce qui est déterminant, c’est que les deux parties peuvent influencer les processus de traitement des données. Le tribunal a constaté dans ce contexte que la division logicielle de Microsoft en cause avait établi elle-même les principales directives pour l’implémentation des cookies et d’éventuels transferts de données à des tiers.
Obligation d’obtenir un consentement actif
En outre, la décision a confirmé que pour les cookies qui ne sont pas nécessaires au fonctionnement technique du site, un consentement éclairé préalable des utilisateurs doit toujours être obtenu. En l’absence d’une gestion efficace des consentements, cela constitue une infraction à l’article 25 du TTDSG.
Pertinence pour le droit de la concurrence
Outre les conséquences en matière de protection des données, le jugement considère également une responsabilité du prestataire de services en matière de droit de la concurrence. Les utilisateurs sont désavantagés dans la gestion de leur vie privée par des consentements non obtenus. Cela ouvre la possibilité de poursuivre les violations par des mesures de droit de la concurrence, y compris des actions en cessation.
Conclusion et perspectives
Le jugement de la cour d’appel de Francfort-sur-le-Main a clarifié davantage les exigences pour l’utilisation des cookies conforme à la protection des données et souligne la responsabilité conjointe des prestataires de services et des opérateurs dans le respect du RGPD. La procédure est définitivement close ; autant que l’on sache, un pourvoi en cassation devant la Cour fédérale de justice n’est pas autorisé.
Pour les entreprises ainsi que pour les opérateurs de services numériques, les obligations d’obtenir des consentements explicites et de concevoir avec soin des solutions d’intégration sont donc encore renforcées. En cas de questions supplémentaires dans le domaine du droit de la protection des données, il est recommandé de procéder à une évaluation juridique approfondie de la situation individuelle. Pour plus d’informations et la possibilité de conseil juridique en matière de protection des données veuillez consulter le site web de MTR Legal Rechtsanwälte.
