L'Autorité de protection des données belge a classé sans suite une plainte relative à la gestion des témoins de connexion (cookies), les faits initiaux étant prescrits. Elle a néanmoins profité de cette décision pour rappeler les exigences de validité du consentement, notamment l'obligation d'offrir un bouton "refuser" au même niveau que le bouton "accepter".

Faits et contexte

L'autorité belge de protection des données (APD) a publié une décision de classement sans suite à l'encontre de Y pour des manquements passés en lien avec la gestion des témoins de connexion sur son site internet.

L'affaire trouve son origine dans une plainte déposée le 11 mai 2020, reprochant au responsable du traitement de ne pas permettre de refuser les témoins de connexion et de considérer la poursuite de la navigation comme un consentement valide.

Motifs de la décision

La Chambre Contentieuse a d'abord constaté que les faits initiaux de la plainte, antérieurs au 7 septembre 2020, étaient prescrits en vertu de l'article 105 de la loi organique, le délai de cinq ans étant écoulé. Cependant, au cours de l'instruction, elle a identifié un manquement distinct concernant la nouvelle bannière mise en place par la suite, bien que ce manquement n'ait pas non plus fait l'objet d'une mesure corrective en raison de sa régularisation ultérieure par l'entreprise.

• Obligation d'obtenir un consentement libre (article 7 du RGPD) : L'autorité a relevé que la bannière de témoins de connexion, après une première modification le 7 septembre 2020, ne proposait au premier niveau d'information qu'un bouton "tout accepter", sans option équivalente pour refuser. Pour l'autorité, cette asymétrie porte atteinte au caractère libre du consentement requis par les articles 4, point 11, 6, paragraphe 1, point a), et 7 du RGPD, car il n'est pas aussi facile de refuser que d'accepter. Elle s'est référée au rapport du groupe de travail sur les bannières de témoins de connexion du Comité européen de la protection des données (CEPD) et à ses lignes directrices 05/2020 sur le consentement pour étayer son analyse, précisant que l'absence d'un bouton de refus au premier niveau est une pratique non conforme.

Décision de l'autorité

En conséquence, l'autorité a décidé de classer l'affaire sans suite. Cette décision se fonde sur la prescription des faits initiaux et sur le fait que le manquement constaté ultérieurement (l'absence de bouton de refus) avait été corrigé par le responsable du traitement avant le prononcé de la décision finale, rendant une mesure corrective inopportune.

Enseignements

Cette décision rappelle que :

• L'absence d'un bouton permettant de refuser les témoins de connexion au même niveau et avec la même facilité que le bouton d'acceptation vicie le consentement, qui n'est alors pas considéré comme "libre".
• La mise en conformité volontaire d'un responsable du traitement au cours de la procédure, même pour un manquement identifié par l'autorité elle-même, peut conduire à un classement sans suite de l'affaire.
• Les faits constitutifs d'une infraction au RGPD sont soumis à un délai de prescription (cinq ans en Belgique), au-delà duquel l'autorité de contrôle ne peut plus prononcer de sanction.