Cookies & traceurs : que dit la loi ?

respecter la CNIL et la loi européenne sur les cookies

Administrator

Source de ce text:

http://www.cnil.fr/

Quel est le cadre juridique applicable ?

En modifiant l'article 5(3) de la directive 2002/58/CE par l'adoption de la directive 2009/136/CE, le législateur européen a posé le principe : 

  • d'un consentement préalable de l'utilisateur avant le stockage d'informations sur l'équipement d'un utilisateur ou l'accès à des informations déjà stockées.
  • sauf, si ces actions sont strictement nécessaires pour la délivrance d'un service de la société de l'information expressément demandé par l'abonné ou l'utilisateur.

L'article 32-II de la loi du 6 janvier 1978, modifié par l'ordonnance n°2011-1012 du 24 août 2011 qui a transposé la directive 2009/136/CE reprend ce principe.

En application de la loi informatique et libertés, les traceurs (cookies ou autres) nécessitant un recueil du consentement ne peuvent donc être déposés ou lus sur son terminal, tant que la personne n’a pas donné son consentement.

A qui s'impose cette obligation ?

Lorsque plusieurs acteurs interviennent dans le dépôt et la lecture de cookies (par exemple lorsque les éditeurs facilitent le dépôt de cookies qui sont ensuite lus par des régies publicitaires), chacun d'entre eux doit être considéré comme coresponsable des obligations découlant des dispositions de l'article 32-II

  • L'obligation de recueil du consentement s'impose notamment :
  • aux éditeurs de sites, de système d'exploitation, et d'applications,
  • aux régies publicitaires,
  • aux réseaux sociaux,
  • aux éditeurs de solutions de mesure d'audience.

Quels cookies nécessitent le consentement préalable des utilisateurs ?

Parmi les cookies nécessitant une information préalable et une demande de consentement, on peut notamment citer :

  • les cookies liés aux opérations relatives à la publicité ciblée ;
  • certains cookies de mesure d'audience (voir  les exemptions ci-dessous) ;
  • les cookies des réseaux sociaux générés notamment par leurs boutons de partage lorsqu'ils collectent des données personnelles sans consentement des personnes concernées.

Le cas des cookies de solutions de mesures d'audience (analytics)

Pour être exemptés de demande de consentement, les cookies de mesure d'audience doivent respecter les conditions suivantes :

  • une information doit être donnée aux utilisateurs qui doivent pouvoir s'opposer au traitement (cette opposition doit pouvoir se faire depuis n'importe quel terminal) ;
  • les données collectées ne doivent pas être recoupées avec d'autres traitements (fichiers clients ou statistiques de fréquentation d'autres sites par exemple) ;
  • le traceur déposé ne doit servir qu'à la production de statistiques anonymes et ne doit pas permettre le suivi de la navigation sur différents sites. Il ne doit pas être conservé au-delà de 13 mois et ne doit pas être prorogé lors des nouvelles visites ;
  • les données de fréquentation brutes associant un identifiant ne doivent pas non plus être conservées plus de 13 mois ;
  • l'utilisation de l'adresse IP pour géolocaliser l'usager ne doit pas permettre de déterminer sa rue : seuls les deux premiers octets des adresses IPv4 peuvent être conservés et éventuellement utilisés pour de la géo localisation (pour IPv6 seuls les 6 premiers octets peuvent être conservés).

Aujourd'hui, peu d'outils permettent de respecter ces différentes conditions.

Les solutions d'analytics qui ne respectant pas les conditions ci-dessus doivent faire l'objet du recueil du consentement préalable des utilisateurs.

Comment recueillir valablement le consentement ?

Le consentement doit être préalable à l'insertion ou à la lecture de cookies

  • Tant que la personne n'a pas donné son consentement, ces cookies ne peuvent être déposés ou lus sur son terminal.
  • Il doit être requis à chaque fois qu'une nouvelle finalité vient s'ajouter aux finalités initialement prévues.

Le consentement est une manifestation de volonté, libre, spécifique et informée : La validité du consentement est donc liée à la qualité de l'information reçue.

  • L'information doit être visible, mise en évidence et complète.
  • Elle doit être rédigée en des termes simples et compréhensibles pour tout utilisateur.
  • Elle doit permettre aux internautes d'être parfaitement informés des différentes finalités des cookies.

Le consentement n'est valide que si la personne exerce un choix réel.

  • L'utilisateur doit pouvoir accepter ou refuser le dépôt des cookies.
  • Le consentement ne peut être valable que si la personne concernée est en mesure d'exercer valablement son choix et n'est pas exposée à des conséquences négatives importantes si elle refuse de donner son consentement. La personne qui refuse un cookie nécessitant un consentement doit pouvoir continuer à bénéficier du service (l'accès à un site internet par exemple).
  • Le choix doit pouvoir être effectué pour chaque application et chaque site internet.