L’EDPB est la plus haute autorité de contrôle du RGPD dans l’UE et ses lignes directrices constituent la base de l’application du RGPD par les autorités nationales de protection des données dans chaque État membre. Même si le dépôt de cookies et autres traceurs relève spécifiquement de la directive ePrivacy, l’EDPB a considéré que le nombre de pays concernés ainsi que l’importance du sujet pour la protection de la vie privée des internautes justifiaient une certaine coordination à l’échelle européenne. L’EDPB a dès lors mis en place un groupe de travail consacré aux modalités d'acceptation et de refus au dépôt de cookies et au design des bannières.

Rappelons que les cookies et autres traceurs permettent, par exemple, de collecter des informations sur un internaute, telles que son âge, son lieu de résidence ou encore ses centres d’intérêt et ses habitudes de consommation, pour ensuite lui proposer des produits, services ou publicités « adaptés ». Certains sites web et applications mobiles utilisent des « murs de traceurs » ou « cookie walls » en anglais. Ces derniers conditionnent l’accès à un service sur le web à l’acceptation, par l’internaute, du dépôt de certains traceurs sur son terminal (ordinateur, smartphone, etc.). Certains sites ont recours, en cas de refus des traceurs par les internautes, à la mise en place d’un choix alternatif consistant pour ces derniers à devoir fournir une autre contrepartie. Dans la majeure partie des cas, la contrepartie est financière, on parle alors de « paywall ».

Comme rappelé dans les lignes directrices de l’EDPB, le fait de conditionner la fourniture d’un service ou l’accès à un site web à l’acceptation du dépôt de certains traceurs est susceptible de porter atteinte, dans certains cas, à la liberté du consentement. Si l’exigence d’un consentement « libre » n’entraîne pas une interdiction générale de la pratique des cookie walls, leur légalité doit être appréciée en tenant notamment compte de l’existence d’alternative(s) réelle(s) et satisfaisante(s) proposée(s) en cas de refus des traceurs.

En tout état de cause, l’internaute devra toujours avoir la possibilité de se rendre de lui-même dans les paramétrages du site pour consentir à certains usages (par exemple, la personnalisation du contenu éditorial). Ses actions – comme le simple défilement sur un site web (considéré comme un consentement implicite) –  ne répondent pas à l’exigence de consentement valide selon le RGPD. Cela implique donc, selon les lignes directrices du EDPB, que le bandeau cookies de votre site web ne peut pas indiquer que la poursuite de la navigation ou le défilement sont considérés comme un consentement aux cookies qui traitent des données personnelles, car il ne s’agit pas d’une forme de consentement valide (consentement explicite exigé par le RGPD). Au contraire, le bandeau cookies de votre site web doit être interactif et le site web doit s’abstenir d’activer des cookies qui collectent des données personnelles, jusqu’à ce que l’utilisateur ait sélectionné les catégories de cookies qu’il veut autoriser (ce que l’on appelle le consentement préalable).

L’utilisation de cases cochées par défaut n’est certainement pas conforme au RGPD, car cela ne répond pas non plus à l’exigence d’une « action claire et positive ». S’agissant plus particulièrement du design des bannières, les différentes autorités de contrôle des États membres ont conclu que l’information délivrée doit permettre aux internautes de comprendre ce à quoi ils/elles consentent et comment exprimer leur choix. Les autorités s’accordent à considérer qu’elles ne peuvent imposer à tous les sites web un standard en termes de couleur ou de contraste. Un examen au cas par cas de la bannière doit être effectué pour déterminer si le design choisi (ex. couleur/contraste) n’est pas manifestement trompeur pour les utilisateurs.