Peu d'arrêts ont modifié aussi directement la pratique des bandeaux de cookies en Europe que la décision de la Cour de justice de l'Union européenne (CJUE) du 1er octobre 2019 dans l'affaire Planet49 (affaire C-673/17). Ce qui ressemblait au départ à une question annexe issue d'un jeu-concours en ligne est devenu une décision de principe sur ce qui rend, au fond, un consentement aux cookies valable.
Les faits étaient sans relief particulier : Planet49 organisait un jeu-concours en ligne et affichait aux participants deux cases à cocher. L'une — déjà cochée — portait sur le consentement au dépôt de cookies à des fins publicitaires par des partenaires. L'autre, à cocher séparément, portait sur la transmission de données personnelles à des sponsors à des fins de prospection par téléphone ou par courriel. Quiconque souhaitait participer devait activement cocher la seconde case, mais pouvait laisser la première — précochée — telle quelle, sans même en avoir conscience.
La Cour fédérale de justice allemande (BGH) a posé la question à la CJUE : une case déjà cochée d'avance suffit-elle à valoir consentement au sens de la directive ePrivacy ? La réponse a été sans équivoque : non. Un consentement suppose un acte actif et conscient de l'utilisateur — une case que l'utilisateur doit lui-même cocher pour donner son accord, non une case qu'il devrait décocher pour NE PAS le donner. La différence entre « consentir activement » et « ne pas s'opposer » est exactement celle qui était en jeu dans l'histoire de la directive ePrivacy depuis 2009 — et la CJUE a confirmé que ce durcissement était réellement pris au sérieux.
Second point notable de l'arrêt : la CJUE a précisé que l'obligation de consentement ne dépend pas du fait que l'information stockée dans le cookie constitue ou non une donnée personnelle au sens du RGPD. La directive ePrivacy protège déjà l'accès à l'équipement terminal en tant que tel — indépendamment de ce qui, au fond, y est stocké. C'était une précision importante, car certains prestataires avaient soutenu que des identifiants pseudonymes ou purement techniques échappaient à l'obligation de consentement.
Troisièmement, la Cour a exigé que les utilisateurs soient informés, avant de consentir, de la durée de fonctionnement des cookies et du fait que des tiers y aient ou non accès. Une information générale et vague ne suffit plus depuis lors — les explications relatives aux cookies doivent être assez concrètes pour qu'un utilisateur puisse réellement évaluer à quoi il consent.
Les conséquences pratiques se sont fait sentir immédiatement : les cases précochées ont disparu des bandeaux européens, les boutons « Accepter » ont dû être déclenchés par un clic réel et conscient, et la catégorisation des cookies avec indications précises de finalité et de durée est devenue la norme. Plusieurs autorités de protection des données ont révisé leurs lignes directrices dans la foulée de l'arrêt, qui a depuis servi de référence dans de nombreuses affaires ultérieures — notamment pour savoir si un bandeau rendant délibérément « Refuser » plus difficile d'accès qu'« Accepter » enfreint également l'exigence d'une décision libre et univoque.
Planet49 illustre ainsi de façon exemplaire comment une seule affaire judiciaire traduit les exigences abstraites d'un texte de loi en obligations concrètes et techniques — et pourquoi un bandeau de cookies a aujourd'hui l'apparence qu'on lui connaît, et non plus celle qui était courante avant 2019.
Il est également frappant de voir avec quelle rapidité les effets de l'arrêt se sont propagés au-delà du litige lui-même : bien qu'il n'ait, formellement, clarifié l'interprétation de la directive ePrivacy que pour un litige allemand précis, les autorités de contrôle de toute l'Europe se sont alignées sur la même ligne — preuve qu'un seul arrêt de la CJUE peut façonner la pratique bien au-delà des frontières de l'affaire dont il est issu.