Une plainte cookies deposee par une association militante, contre un site qui n’a jamais eu affaire a elle : le reflexe defensif consiste a plaider l’abus de droit. Ce reflexe vient de perdre son fondement. Le 14 juillet 2026, le Comite europeen de la protection des donnees a publie une decision contraignante qui interdit a une autorite de classer une plainte pour ce motif.
Que reproche noyb au bandeau cookies de VRT ?
L’association autrichienne noyb a depose plainte contre la Vlaamse Radio en Televisieomroeporganisatie, le radiodiffuseur public flamand. En cause : le bandeau cookies de son site.
Particularite du dossier : la plainte a ete deposee aupres de l’autorite autrichienne, pour le compte d’une personne physique. L’autorite belge, competente comme chef de file, a instruit le dossier au titre du guichet unique.
Son projet de decision proposait de classer la plainte. Le motif retenu : un abus des articles 77 et 80(1) du RGPD, soit le droit de reclamation et le mandat associatif. L’autorite autrichienne s’y est opposee. Faute d’accord entre les deux, le CEPD a ete saisi au titre de l’article 65(1)(a).
Une autorite peut-elle classer une plainte pour abus de droit ?
La reponse du CEPD est non, du moins pas ici. Dans sa decision contraignante 1/2026, adoptee le 28 mai 2026 et publiee le 14 juillet, le Comite juge que les elements constitutifs de l’abus ne sont pas demontres.
L’autorite belge doit donc examiner la plainte au fond. Elle devra ensuite soumettre un nouveau projet de decision aux autorites concernees, au titre de l’article 60(3).
La portee depasse le cas belge. Une decision contraignante fixe la lecture commune du RGPD pour toutes les autorites de l’Union. Le message est simple : le volume des plaintes d’une association, leur caractere repetitif ou leur origine militante ne suffisent pas a les ecarter sur la forme.
Pour un responsable de traitement, la consequence est concrete. Un dossier cookies classe sur ce terrain peut revenir. Et il reviendra sur le fond, c’est a dire sur la validite du consentement recueilli. Les erreurs classiques des bannieres cookies redeviennent le seul sujet.
Abus du droit d’acces, abus de plainte : quelle difference ?
La nuance merite attention, car elle est contre-intuitive. Quatre mois plus tot, la Cour de justice admettait l’abus dans un autre contexte.
| Situation | Texte invoque | L’abus est-il opposable ? | Decision |
|---|---|---|---|
| Demande d’acces formee pour obtenir une indemnisation | Article 12(5) | Oui, la demande peut etre jugee excessive | CJUE, 19 mars 2026, C-526/24 |
| Plainte deposee devant une autorite par une association | Articles 77 et 80(1) | Non, sauf abus reellement demontre | CEPD, decision 1/2026 |
Le droit d’acces s’exerce contre vous, directement. Le droit de plainte s’exerce devant une autorite, qui reste maitresse de l’instruction. Les deux ne repondent pas au meme regime, et la charge de la preuve de l’abus pese lourd dans le second cas.
Que doit verifier un DPO sur son bandeau cookies ?
Puisque le terrain procedural se referme, il reste le fond. Voici les points que les autorites examinent en premier :
- Le refus est-il aussi simple que l’acceptation, des le premier ecran ?
- Les finalites sont-elles listees, en clair, avant tout choix ?
- Les traceurs se declenchent-ils avant le consentement ? Un seul suffit a caracteriser le manquement.
- Le retrait du consentement est-il accessible en permanence ?
- La preuve du consentement est-elle horodatee et conservee ?
- Les sous traitants publicitaires sont-ils recenses dans le registre ?
Ces controles ne valent que s’ils sont refaits apres chaque mise a jour du site. C’est la ou les organisations decrochent : le bandeau conforme au jour du recette derive six mois plus tard, sans que personne ne s’en apercoive.
Cette derive est exactement ce que DPO SUITE surveille : le registre, les preuves de consentement et les traceurs actifs sont rapproches en continu, et l’ecart remonte avant la plainte. Pour voir comment garder la preuve de conformite de vos cookies a jour toute l’annee, la demonstration prend quinze minutes.
Reste la question du calendrier. La plainte noyb date de plusieurs annees. Elle revient aujourd’hui, au fond, apres avoir traverse deux autorites et une procedure de reglement des differends. Un dossier cookies ne se perime pas : il attend. Les recommandations de la CNIL sur les cookies et traceurs restent la reference pour l’auto controle.
FAQ
Qu’est ce qu’une decision contraignante du CEPD ?
C’est une decision prise au titre de l’article 65 du RGPD, quand les autorites de controle ne s’accordent pas dans un dossier transfrontalier. Elle s’impose a l’autorite chef de file, qui doit adopter sa decision finale en conformite. Elle fixe aussi la lecture commune du texte pour les autres autorites de l’Union.
La decision 1/2026 sanctionne-t-elle VRT ?
Non. Le CEPD ne se prononce pas sur le bandeau cookies lui meme. Il tranche seulement la question de procedure : l’autorite belge ne pouvait pas classer la plainte pour abus. L’examen au fond reste a faire, et une sanction demeure possible a l’issue de cette instruction.
Une association peut-elle deposer plainte a la place d’une personne ?
Oui. L’article 80(1) du RGPD permet a un organisme sans but lucratif actif dans la protection des donnees d’agir sur mandat d’une personne concernee. C’est le fondement des plaintes deposees par noyb. La decision 1/2026 confirme que ce mandat ne constitue pas en soi un abus.
Que faire si une plainte vise notre site ?
Gelez l’etat du site : captures, version du bandeau, journaux de consentement a la date des faits. Ces elements deviennent introuvables apres une mise a jour. Repondez a l’autorite dans le delai imparti, sans contester la recevabilite comme seule ligne de defense. Le fond decide de l’issue.
Le guichet unique s’applique-t-il aux cookies ?
Le depot de traceurs releve de la directive ePrivacy, transposee nationalement, ce qui limite le guichet unique. Mais le traitement qui suit la lecture releve du RGPD. L’affaire VRT montre que le mecanisme de cooperation joue bien quand la plainte porte sur ce traitement.
