Quiconque lit le texte juridique d'un bandeau de cookies y trouve presque toujours deux textes mentionnés côte à côte : la directive ePrivacy (ou sa transposition nationale) et le règlement général sur la protection des données, ou RGPD. Il ne s'agit ni d'un oubli ni d'une double précaution par prudence : les deux textes régissent effectivement des questions distinctes, mais étroitement imbriquées.
Le RGPD, officiellement le règlement (UE) 2016/679, a été adopté le 27 avril 2016 et, après une période transitoire de deux ans, est devenu directement applicable dans toute l'Union le 25 mai 2018 — en tant que règlement, contrairement à une directive, il n'a nécessité aucune transposition nationale. Il régit, de manière générale, la façon dont les données à caractère personnel peuvent être traitées : quelle base juridique un traitement nécessite, quels droits ont les personnes concernées, quelles obligations pèsent sur les responsables.
La directive ePrivacy, en revanche, est plus spécifique : elle régit exclusivement l'accès à des informations stockées sur des équipements terminaux, et leur stockage — indépendamment du fait que cela génère ou non des données à caractère personnel au sens du RGPD. C'est précisément pour cela qu'un simple accès à l'appareil suffit à déclencher l'obligation de consentement pour un cookie, même si l'information stockée, en elle-même, n'identifie personne.
L'articulation fonctionne ainsi : la directive ePrivacy dit QU'un consentement est nécessaire pour les cookies non essentiels. Elle ne précise pas dans le détail CE QUI rend un consentement valable — cette définition est fournie par le RGPD. Selon l'article 4, point 11, du RGPD, un consentement n'est valable que s'il est donné librement, pour le cas précis, de manière éclairée et univoque — par une déclaration ou par un acte positif clair. Une case cochée par défaut ne satisfait pas à cette dernière exigence, car elle ne suppose aucune action active de la part de l'utilisateur (nous y revenons dans l'article consacré à l'arrêt Planet49).
Le RGPD est également à l'origine d'autres exigences qui font aujourd'hui naturellement partie de tout bandeau de cookies : le retrait du consentement doit être aussi facile que son octroi (article 7, paragraphe 3), et quiconque recueille un consentement doit pouvoir prouver, en cas de litige, qu'il a effectivement été donné (article 5, paragraphe 2, le principe dit de responsabilité). Cette obligation de preuve explique en partie pourquoi un simple « l'utilisateur a sans doute cliqué » ne suffit pas — sans un journal enregistrant le moment, la portée et la version exacte du bandeau affiché, il n'y a rien à faire valoir en cas de doute.
En pratique, cela signifie qu'un bandeau de cookies doit satisfaire deux textes à la fois, et non un seul. La directive ePrivacy exige le consentement en tant que tel ; le RGPD en définit la qualité et les obligations qui s'y rattachent — révocabilité, traçabilité, caractère éclairé. Un bandeau qui recueille un consentement sans le documenter de façon vérifiable peut satisfaire formellement à l'exigence de la directive ePrivacy tout en enfreignant le RGPD.
Ce double fondement explique aussi pourquoi le RGPD n'a rien changé de fondamental au consentement aux cookies, même s'il en est souvent, à tort, considéré comme l'origine — il n'est arrivé que 16 ans après la directive ePrivacy d'origine et n'a fait, pour l'essentiel, qu'affiner le critère au regard duquel s'apprécie une obligation déjà existante. La façon dont ces deux textes européens ont concrètement été transposés en droit national allemand fait l'objet du prochain article de cette série.