Hier(16 octobre), le Conseil d’État a rejeté notre demande contre la CNIL en matière de consentement au dépôt de cookie. En sous-titre, le Conseil d’État pourrait désavouer la CNIL dans son rôle de protectrice des libertés, réservant ce rôle aux seuls juges judiciaires.

Ce revirement historique s’inscrit dans une série de démissions opérées ces derniers mois par la CNIL. Il est urgent d’exiger collectivement que celle-ci redevienne ce pour quoi elle a été créée : pour nous défendre du fichage d’entreprises et de l’État. (...)

En juillet 2019, la CNIL publiait (enfin !) de nouvelles lignes directrice pour rappeler que le RGPD, en application depuis mai 2018, exige que le dépôt de cookie et autres traceurs se fasse avec notre « consentement explicite ». Les bandeaux du type « En poursuivant votre navigation sur ce site, vous acceptez d’être surveillé⋅e – Ok » sont illégaux. Toutefois, la CNIL annonçait en même temps qu’elle ne sanctionnerait cette illégalité qu’après mi-2020.

Nous avons attaqué cette décision devant le Conseil d’État, qui vient de rejeter notre demande. Il considère que la décision de la CNIL n’est pas une violation excessive du RGPD : le délai d’un an ne serait pas si long, et la CNIL continuerait de sanctionner d’autres atteintes au RGPD. Certes, mais le caractère explicite du consentement a été une des rares avancées du RGPD, qui se trouve de facto privée d’effet pendant deux ans (de mai 2018 à juillet 2020).

Que dire à toutes les entreprises qui ont investi pour se mettre entièrement en conformité au RGPD dès 2018 ? Si ces règles sont systématiquement repoussées, comment faire peser une menace sérieuse contre toutes les autres entreprises qui, elles, n’ont jamais respecté le RGPD ? Rien. Le Conseil d’État ne répond même pas à ces questions.

Une autorité administrative est désormais capable de décider seule qu’une règle votée par des élu·es ne s’appliquera à personne pendant un an. (...)

la CNIL peut bien renoncer à sa mission historique, qu’importe, nous pouvons toujours saisir la justice pour défendre nos libertés.

Mais quel abandon ! La CNIL a remis sa lettre de démission, nous l’avons contestée devant le Conseil d’État. Celui-ci l’a malheureusement acceptée, considérant que ses services n’étaient plus requis…

C’est d’ailleurs ce que vient confirmer une phrase très explicite de la décision du Conseil d’État qui considère que « l’exercice du pouvoir de sanction ne serait, en tout état de cause, pas susceptible de faire respecter plus rapidement » le RGPD. Comprendre : selon le Conseil d’État, le pouvoir de sanction de la CNIL ne serait pas requis pour faire respecter les droits auxquels elle a pourtant la charge de veiller.

Cette démission n’a rien de surprenant. Depuis un an, l’autorité enchaîne les renoncements à sa mission. (...)

Alors que la reconnaissance faciale commence à être expérimentée et installée un peu partout en France, la CNIL s’est empressée d’exiger un débat public sur la question, comme si elle renonçait par avance à mener ici la défense de nos libertés. Son renoncement s’est depuis confirmé. (...)

Sur tous les fronts, la CNIL semble avoir abandonné son rôle de gendarme, ce que la décision du Conseil d’État confirme.

La tentation est grande d’oublier la CNIL et de ne plus se tourner que vers la justice pour faire appliquer le RGPD (...)

Si enterrer la CNIL n’est pas une option idéale, l’urgence serait donc de la sortir de sa torpeur. C’est ainsi, notamment, que nous avons accepté l’invitation de la CNIL de participer depuis deux mois à l’élaboration de ses nouvelles recommandations en matière de consentement aux cookies. (...)

Nous exigeons que les autorités mises en places pour faire respecter nos libertés fondamentales fassent leur travail et fassent appliquer la loi.

Si notre attitude peut sembler paradoxale, elle marque surtout notre refus d’accepter les pires situations. (...)