L’utilisation de ces traceurs est régie par l’article 5 de la directive ePrivacy (dir. 2002/58/CE, 12 juill. 2002, mod. dir. 2009/136/CE, 25 nov. 2009), transposée en droit français à l’article 82 de la loi n° 78-17 du 6 janvier 1978, dite loi « Informatique et Libertés » (LIL), qui renvoie pour la définition du consentement à l’article 4, 11, du Règlement général sur la protection des données (UE) 2016/679 du 27 avril 2016 (RGPD) et prévu par des lignes directrices du CEPD 05/2020 du 4 mai 2020 sur le consentement.
Par ailleurs, l'article 5(3) de la directive 2002/58/CE modifiée en 2009 pose le principe : d'un consentement préalable de l'utilisateur avant le stockage d'informations sur son terminal ou l'accès à des informations déjà stockées sur celui-ci ; sauf si ces actions sont strictement nécessaires à la fourniture d'un service de communication en ligne expressément demandé par l'utilisateur ou ont pour finalité exclusive de permettre ou faciliter une communication par voie électronique.
L’article 82 de la loi informatique et Liberté transpose ces dispositions en droit français.
La CNIL rappelle que le consentement prévu par ces dispositions renvoie à la définition et aux conditions prévues aux articles 4(11) et 7 du RGPD. Il doit donc être libre, spécifique, éclairé, univoque et l’utilisateur doit être en mesure de le retirer, à tout moment, avec la même simplicité qu’il l’a accordé. Afin de rappeler et d’expliciter le droit applicable au dépôt et à la lecture de traceurs dans le terminal de l’utilisateur, la CNIL a adopté le 17 septembre 2020 des lignes directrices, complétées par une recommandation visant notamment à proposer des exemples de modalités pratiques de recueil du consentement.
Elle rappelle que cette obligation s’impose aux responsables du ou des traitements qui déposent des traceurs soumis au consentement en application de l’article 82 de la loi informatique et Libertés (par exemple lorsque les éditeurs autorisent le dépôt de cookies qui sont ensuite lus par des régies publicitaires). Ces derniers sont réputés être responsables conjoints du traitement dans la mesure où ils déterminent conjointement les finalités et les moyens des opérations de lecture et écriture sur l’équipement terminal des utilisateurs.
L'obligation de recueil du consentement peut donc s'imposer notamment :
Aux éditeurs de sites web et d'applications mobiles ;
Aux régies publicitaires ;
Aux réseaux sociaux qui fournissent des modules de partage sur les réseaux sociaux.
De manière générale, les éditeurs de sites ou d’applications mobiles, du fait d’un contact direct avec l’utilisateur, sont souvent les plus à même de porter à la connaissance de ce dernier l’information sur les traceurs déposés et de collecter leur consentement.
I) Sur les opérations concernées
A) Traceurs
Les traceurs sont définis par les lignes directrices comme « toutes les opérations visant à accéder, par voie de transmission électronique, à des informations déjà stockées dans l’équipement terminal de l’abonné ou de l’utilisateur d’un service de communications électroniques ou à inscrire des informations dans celui-ci » (pt 9). Ils incluent bien évidemment les cookies, mais aussi d’autres techniques de traçage pourvu qu’elles entrent dans le champ de l’article 82 de la LIL (pt 13). Est exclu des lignes directrices le traceur qui « soit a pour finalité exclusive de permettre ou faciliter la communication par voie électronique, soit est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur » (LIL, art. 82 ; pts 46-47), étant précisé que, si les finalités sont composites et que l’une d’entre elles au moins ne relève pas de ces exceptions, les lignes directrices s’appliquent (pt 48).
La CNIL dresse ainsi une liste des traceurs pouvant être exemptés « en l’état des pratiques portées à sa connaissance » (pt 49). La recommandation de la CNIL donne l’exemple d’un traceur gérant la préférence linguistique de l’utilisateur, bien qu’elle recommande d’informer au moins l’utilisateur de l’existence de ce traceur et de limiter son application à une période raisonnable (recommandations., pts 49-50).
B) Traceurs de mesure d’audience
Dans ses lignes directrices, la CNIL porte plus spécifiquement son attention sur les traceurs ayant pour finalité la mesure d’audience d’un site ou d’une application (pts 50-52) qui font par ailleurs l’objet d’un communiqué de presse autonome. Ne sont pas soumis à l’article 82 de la LIL « les traceurs dont la finalité se limite à la mesure de l’audience du site ou de l’application, pour répondre à différents besoins (mesure des performances, détection de problèmes de navigation, optimisation des performances techniques ou de l’ergonomie, estimation de la puissance des serveurs nécessaires, analyse des contenus consultés, etc.) [qui] sont strictement nécessaires au fonctionnement et aux opérations d’administration courante ». La CNIL insiste sur le fait que la finalité doit être strictement limitée et que les traceurs doivent « uniquement servir à produire des données statistiquement anonymes ».
C) Donnée
Selon la CNIL, l’article 82 de la LIL est applicable indépendamment du fait que les données collectées sont ou non à caractère personnel (lignes directrices, pt 14), tout en précisant néanmoins que, dès lors que les traitements portent sur des données à caractère personnel, ils ne sont pas concernés par les lignes directrices puisqu’ils sont soumis au RGPD (pt 15). Elle s’exprime plus clairement en matière de traitements de mesure d’audience, qui « sont des traitements de données à caractère personnel qui sont soumis à l’ensemble des dispositions pertinentes du RGPD » (pt 52).
Si les traceurs impliquent un traitement de données à caractère personnel, les lignes directrices de la CNIL éclairent sur la manière de déterminer le statut des acteurs (pts 32-42), notamment lorsque « plusieurs acteurs contribuent à la réalisation des opérations de lecture ou écriture visées par les présentes lignes directrices (par exemple, un éditeur de site web et une régie publicitaire déposant les traceurs lors de la consultation du site web) » (pt 33). Conformément à l’arrêt Fashion ID, en effet, l’éditeur d’un site qui dépose des traceurs et les tiers qui utilisent ces traceurs sont considérés comme des responsables conjoints de traitement dès lors qu’ils agissent pour leur propre compte (CJUE 29 juill. 2019, aff. C-40/17), ce qui implique une délimitation transparente de leurs obligations respectives.
II) Sur le consentement
A) Fondement
Dès lors que les opérations entrent dans le champ de l’article 82 de la LIL, les acteurs concernés doivent s’assurer que l’utilisateur ou l’abonné délivre un consentement respectant les prescriptions de l’article 4, 11, du RGPD. Dans l’hypothèse où plusieurs acteurs contribuent aux opérations de lecture ou d’écriture du traceur, les lignes directrices précisent que l’éditeur du site web ou de l’application mobile semble être le plus à même d’informer l’utilisateur et de recueillir son consentement (pt 37). Relevons également que la CNIL constate qu’en l’état actuel de la technique, « les possibilités de paramétrage des navigateurs et des systèmes d’exploitation ne peuvent, à eux seuls, permettre à l’utilisateur d’exprimer un consentement valide » (pts 43-45).
B) Consentement libre
Relevant les motifs de la censure du Conseil d’État, qui a jugé que l’interdiction générale et absolue des cookies wall prévue par une norme de droit mou relevait d’un excès de pouvoir (CE 19 juin 2020, préc.), les lignes directrices de la CNIL ne se prononcent plus sur leur validité. Ainsi expose-t-elle que « le fait de subordonner la fourniture d’un service ou l’accès à un site web à l’acceptation d’opérations d’écriture ou de lecture sur le terminal de l’utilisateur est susceptible de porter atteinte, dans certains cas, à la liberté du consentement » (pt 17).
Si la pratique est licite ajoutent les lignes directrices, l’information devrait clairement indiquer à l’utilisateur les conséquences de ses choix (pt 18). Plus généralement, les lignes directrices rappellent qu’un consentement unique pour plusieurs finalités n’est pas valide (pt 19). À cela, la recommandation indique qu’il est possible, d’une part, de proposer un bouton acceptant ou refusant toutes les finalités et, d’autre part, de donner une information de second niveau avec, à titre d’exemple, un bouton « personnaliser mes choix » (pts 24-29).
C) Consentement spécifique
Les lignes directrices énoncent qu’une acceptation globale des conditions générales d’utilisation ne respecte pas le principe du consentement spécifique (pt 20).
D) Consentement éclairé
L’information doit être rédigée de manière simple et compréhensible par tous, précisent les lignes directrices. La recommandation ajoute un élément relatif aux dark patterns : « afin d’être compréhensible et de ne pas induire en erreur les utilisateurs, la Commission recommande aux organismes concernés de s’assurer que les utilisateurs prennent la pleine mesure des options qui s’offrent à eux, notamment au travers du design choisi et de l’information délivrée » (pt 10).
La CNIL dresse également une liste des informations à délivrer a minima dans ses lignes directrices (pt 24) tout en ajoutant quelques exemples concrets dans sa recommandation, sachant qu’une information peut tout à fait être délivrée sur plusieurs niveaux (pts 12-15). Concernant, enfin, les destinataires ou catégories de destinataires, tant les lignes directrices (pt 25) que la recommandation (pts 18-21) insiste sur le fait que l’utilisateur doit être en mesure d’identifier aisément les responsables du traitement et que la liste de ces personnes doit être exhaustive et tenue à jour. Il est utile de préciser que la tenue d’une telle liste va à contre-courant de certaines opinions figurant dans la consultation publique (p. 5), qui soulève la difficulté tant matérielle qu’informationnelle du respect de cette mesure.
E) Consentement univoque
La CNIL rappelle dans ses lignes directrices qu’un consentement suppose une action positive (pt 26). Reprenant l’arrêt Planet49 (CJUE 1er oct. 2019, aff. C-673/17), elle précise que ni la poursuite de la navigation ni l’utilisation de cases précochées ne constituent une action positive et qu’en leur absence, l’utilisateur doit être considéré comme ayant refusé (pt 27).
Concrètement, la recommandation indique qu’il est possible de manifester le consentement par l’utilisation de cases à cocher, décochées par défaut, ou par l’utilisation d’interrupteurs (sliders) tant qu’ils sont eux aussi désactivés par défaut et que le choix des utilisateurs est aisément identifiable (pt 23). Une autre allusion aux dark patterns est faite, où la CNIL recommande « de s’assurer [que l’information] n’est pas rédigée de telle manière qu’une lecture rapide ou peu attentive pourrait laisser croire que l’option sélectionnée produit l’inverse de ce que les utilisateurs pensaient choisir » (pt 23).
F) Preuve du consentement
La preuve du consentement pèse sur les « organismes exploitants des traceurs, responsables du ou des traitements » (lignes directrices n° 2020-091, pt 29). La recommandation propose des solutions permettant la conservation de cette preuve (pts 46-48).
G) Refus du consentement
Contrairement à l’acceptation qui doit être expresse, les lignes directrices exposent que le refus peut se déduire du silence de l’utilisateur et qu’il ne doit nécessiter aucune démarche (pt 30). Il doit également « pouvoir se traduire par une action présentant le même degré de simplicité que celle permettant d’exprimer son consentement » (ibid.). En cela, une seule action pour accepter, alors que plusieurs actions sont nécessaires pour refuser, n’est pas recommandée (recommandations, pts 30-34).
H) Retrait du consentement
« Il doit être aussi simple de retirer son consentement que de le donner », indiquent les lignes directrices (pt 31). Les solutions permettant le retrait du consentement devraient figurer dans un endroit aisément accessible et à tout moment (recommandation n° 2020-092, pts 40-45).
III) Conservation des choix de l’utilisateur
Seule la recommandation évoque la conservation des choix de l’utilisateur qui permet une meilleure fluidité de la navigation (pts 35-39). Ainsi, la CNIL recommande de conserver ses choix, notamment afin d’éviter que des fenêtres de consentement s’ouvrent constamment, « ce qui pourrait porter atteinte à la liberté de leur choix ». Est également recommandé de renouveler le recueil du consentement à intervalles appropriés. À ce titre, la CNIL estime qu’une conservation de six mois « constitue une bonne pratique de la part des éditeurs ».
IV) Cookies exemptés du recueil du consentement
L’article 82 de la loi informatique et Libertés n’impose pas d’informer les utilisateurs sur l’existence d’opérations de lecture et écriture non soumises au consentement préalable. Par exemple, l’usage par un site web d’un cookie de préférence linguistique stockant uniquement une valeur indiquant la langue préférée de l’utilisateur est susceptible d’être couvert par l’exemption et ne constitue pas un traitement de données personnelles soumis au RGPD. Toutefois, afin d’assurer une transparence pleine et entière sur ces opérations, la CNIL recommande que les utilisateurs soient également informés de l’existence de ces cookies et de leurs finalités en intégrant, par exemple, une mention les concernant dans la politique de confidentialité.
S’agissant de la conservation des choix, la CNIL observe qu’il est, en principe, nécessaire de conserver les choix exprimés par les utilisateurs durant leur navigation sur le site. En effet, à défaut de la conservation de ces choix, les utilisateurs se verraient afficher une nouvelle fenêtre de demande de consentement à chaque page consultée, ce qui pourrait porter atteinte à la liberté de leur choix.
De plus, la CNIL recommande que, lorsque le refus peut être manifesté par la poursuite de la navigation, le message sollicitant le consentement (par exemple, la fenêtre ou le bandeau) disparaisse au bout d’un laps de temps court, de manière à ne pas gêner l’utilisation du site ou de l’application et à ne pas, ainsi, conditionner le confort de navigation de l’utilisateur à l’expression de son consentement.
De manière générale, la CNIL recommande que le choix exprimé par les utilisateurs, qu’il s’agisse d’un consentement ou d’un refus, soit enregistré de manière à ne pas les solliciter à nouveau pendant un certain laps de temps. La durée de conservation de ces choix sera appréciée au cas par cas, au regard de la nature du site ou de l’application concernée et des spécificités de son audience.
Par ailleurs, dans la mesure où le consentement peut être oublié par les personnes qui l’ont manifesté à un instant donné, la CNIL recommande aux responsables de traitement de renouveler son recueil à des intervalles appropriés. Dans ce cas, la durée de validité du consentement choisi par le responsable du traitement doit tenir compte du contexte, de la portée du consentement initial et des attentes des utilisateurs.
Au regard de ces éléments, la CNIL considère, de manière générale, que conserver ces choix (tant le consentement que le refus) pendant une durée de 6 mois constitue une bonne pratique de la part des éditeurs. (4)
V) Mesure d’audience
Concernant les cookies de mesure d’audience exemptés du recueil du consentement, la CNIL recommande que :
Les utilisateurs soient informés de la mise en œuvre de ces cookies, par exemple via la politique de confidentialité du site ou de l’application mobile ;
Leur durée de vie soit limitée à une durée permettant une comparaison pertinente des audiences dans le temps, comme c’est le cas d’une durée de 13 mois, et qu’elle ne soit pas prorogée automatiquement lors des nouvelles visites ;
Les informations collectées soient conservées pour une durée maximale de 25 mois ;
Les durées de vie et de conservation ci-dessus mentionnées fassent l’objet d’un examen périodique.
En définitive, La CNIL a ainsi attiré l’attention sur la nécessité d’engager au plus vite certaines actions :
Le bandeau cookies, apparaissant notamment sur la page d’accueil d’un site web, doit détailler les finalités pour lesquelles ces cookies sont déposés sur les appareils des utilisateurs. En effet, la seule présence d’informations générales telles que « Ce site utilise des cookies » ou « Des cookies sont utilisés pour améliorer l’efficacité des services qui vous sont proposés » n’est pas suffisante.
L’utilisateur doit pouvoir accepter ou refuser les cookies avec le même degré de simplicité. La CNIL a eu l’occasion de rappeler que l’intégration d’un bouton « Tout refuser » sur le même niveau et sur le même format que le bouton « Tout accepter » permet d’offrir un choix clair et simple pour l’internaute. Il est aussi possible, par exemple, d’offrir explicitement à l’utilisateur la possibilité de refuser les traceurs en fermant le bandeau cookies. En revanche, la seule présence d’un bouton « Paramétrer » en complément du bouton « Tout accepter » tend, en pratique, à dissuader le refus et ne permet donc pas de se mettre en conformité avec les exigences posées par le RGPD.
SOURCES :
http://curia.europa.eu/juris/document/document.jsf?docid=218462&doclang=FR
https://www.cnil.fr/fr/cookies-et-traceurs-comment-mettre-mon-site-web-en-conformite
http://curia.europa.eu/juris/document/document.jsf?docid=216555&doclang=FR
