Questions-réponses sur le projet de recommandation « cookies et autres traceurs »

Les lignes directrices de la CNIL sur les cookies et autres traceurs visent à synthétiser le droit applicable aux opérations de lecture ou écriture dans le terminal d'un utilisateur.

L’objectif de la recommandation est de guider les professionnels concernés dans leur démarche de mise en conformité. Ainsi, elle décrit des modalités pratiques possibles de recueil d’un consentement conforme aux règles applicables, elle propose des exemples concrets d’interface utilisateur, et elle présente des bonnes pratiques permettant d’aller au-delà des exigences légales.

Le projet de recommandation a été élaboré à la suite d’une concertation avec des représentants des professionnels concernés ainsi qu’avec des représentants de la société civile.

Ce projet a été publié sur le site web de la CNIL afin de faire l’objet d’une consultation publique pendant six semaines, période à l’issue de laquelle une nouvelle version sera présentée à la Commission pour adoption définitive.

Non.

La recommandation est un instrument juridique de droit souple, par lui-même non contraignant, qui vise à apporter de la sécurité juridique aux responsables de traitement en leur indiquant quelles sont les pratiques respectueuses de la réglementation.

Les modalités de recueil du consentement présentées dans la recommandation ne sont pas exhaustives : d’autres méthodes peuvent être employées tant qu’elles restent conformes à la réglementation, tel qu’expliqué dans les lignes directrices relatives aux cookies et autres traceurs.

Enfin, la CNIL propose également aux acteurs souhaitant se démarquer en offrant une protection renforcée à leurs utilisateurs un certain nombre de bonnes pratiques qui renforcent encore les modalités de protection des données et d’exercice des droits des utilisateurs.

Non.

Les bonnes pratiques vont au-delà des exigences posées par la règlementation. La CNIL souhaite favoriser ces pratiques en ce qu’elles permettent d’offrir une protection renforcée aux utilisateurs. Les acteurs ne sont donc pas susceptibles de faire l’objet d’actions répressives de la CNIL pour non mise en œuvre de ces bonnes pratiques.

Oui.

Le projet de recommandation concerne aussi bien les organismes privés que publics dès lors qu’ils sont soumis aux obligations de la loi « informatique et libertés » et qu’ils procèdent à des opérations de lecture et/ou d’écriture visées par l’article 82 de la loi « Informatique et Libertés ».

L’entrée en application du règlement général sur la protection des données (RGPD), le 25 mai 2018, est venue renforcer les exigences en matière de validité du consentement. Le projet de recommandation tient compte de ces évolutions.

En substance, les principales nouveautés par rapport à la recommandation de 2013 sont les suivantes :

• la simple poursuite de la navigation sur un site ne peut plus être considérée comme une expression valide du consentement de l’internaute à l’utilisation de traceurs. Le projet de recommandation donne plusieurs exemples de pratiques permettant un recueil univoque du consentement ;
• le projet suggère différentes modalités pratiques de recueil du consentement ainsi que du refus de l’internaute permettant de garantir la liberté du choix exprimé ;
• il recommande plusieurs  façons permettant aux acteurs de fournir l’identité des responsables du ou des traitements auxquels la personne donne son consentement ;
• il vient préciser les modalités par lesquelles les responsables du ou des traitements qui déposent des traceurs peuvent apporter une preuve du consentement.

L’article 82 de la loi « Informatique et Libertés » est la transposition nationale des dispositions de l’article 5(3) de la directive 2002/58/CE du 12 juillet 2002 dite « vie privée et communications électroniques», modifiée en 2009.

Le début de l’année 2017 a été marqué par la publication d’une proposition de règlement de la Commission européenne visant à réviser cette directive. Cette révision avait été annoncée dès 2016 dans une perspective d’harmonisation avec le RGPD et s’inscrit dans le cadre des travaux menés sur la stratégie du marché unique numérique  annoncée par la Commission européenne en mai 2015

Si ce règlement est très attendu depuis janvier 2017, les travaux avancent lentement. Il est peu probable qu’ils aboutissent d’ici quelques mois. Par conséquent, les travaux de la CNIL doivent prendre en compte le droit existant, indépendamment du futur règlement « vie privée et communications électroniques » toujours en discussion.

La CNIL a rappelé que le CEPD, dans sa « déclaration sur la révision de la directive ePrivacy et son incidence sur la protection de la vie privée et la confidentialité des communications électroniques », avait considéré que la pratique qui consiste à bloquer l'accès à un site web ou à une application mobile pour qui ne consent pas à être suivi (« cookie walls ») n'est pas conforme au RGPD.

En effet, selon le CEPD, le consentement doit notamment être donné librement, ce qui signifie que la personne doit pouvoir faire un choix sans subir de préjudice (en d’autres termes, elle ne doit pas se sentir « obligée » de consentir pour pouvoir accéder à un contenu).

Oui.

Il est possible pour tout éditeur de site ou d’application mobile de demander un consentement pour un groupe de sites plutôt qu’individuellement pour chaque site dont il est propriétaire, par exemple dans le cadre d’un groupement d’éditeurs. Il faut toutefois garder un certain nombre d’éléments en tête :

• L’utilisateur doit être informé de la portée de son consentement, donc de la liste des sites pour lesquels son consentement sera valable.
• Une symétrie existe entre l’acceptation et le refus. Si le consentement est global, alors le refus le sera tout autant.

Il est également possible pour un acteur de l’écosystème publicitaire d’obtenir un consentement valable sur l’ensemble des sites sur lesquels il serait présent. Les éléments ci-dessus seront également valables dans un tel contexte.

Non.

Le fait que l’utilisateur soit authentifié ne dispense aucunement de recueillir son consentement, dès lors que des traceurs non exemptés de consentement sont utilisés. En conséquence, tous les acteurs sont soumis aux mêmes règles.

Par ailleurs, le fait d’utiliser un seul traceur pour de multiples finalités n’exonère pas non plus de recueillir le consentement pour les finalités qui le nécessitent. Par exemple, si un cookie d’authentification est également utilisé à des fins de ciblage publicitaire, le consentement de l’internaute devra être recueilli pour cette dernière finalité, de la même manière que pour un environnement non logué.

Ainsi, s’il existe des différences objectives – tenant aux choix de modèles économiques, à la masse des données traitées dans ces environnements logués, ou à l’attraction qu’ils peuvent exercer sur les consommateurs – les règles juridiques sont les mêmes pour tous.

Oui.

Les opérations couvertes par les dispositions nationales transposant la directive « vie privée et communications électroniques » relèvent de la seule compétence des autorités en charge d’en contrôler le respect au niveau national. Les mécanismes de coopération prévus par le RGPD ne sont pas applicables.

Par conséquent, la CNIL est compétente pour contrôler et, le cas échéant, sanctionner les dispositions de l’article 82 de la loi « informatique et libertés » pour tous les services qui déposent et accèdent à des cookies ou traceurs sur des terminaux situés en France.

Les cookies et autres traceurs feront l’objet d’actions de mise en conformité au cours de l’année 2020. Comme annoncé en juillet 2019, le plan d’action de la CNIL comportera deux phases :

• une première étape à partir de début 2020, pendant laquelle les actions de la CNIL seront limitées au respect des principes précédemment exposés dans la recommandation de 2013. Des mesures correctrices, y compris des sanctions, pourront être adoptées en cas de non-respect des obligations dont le périmètre est précisé depuis 2013 et qui perdurent dans la nouvelle recommandation..
• Des missions de contrôle sur l’application du nouveau cadre seront ensuite réalisées à la fin de la période d’adaptation annoncée par la CNIL, soit 6 mois après la publication définitive de la recommandation. Ces contrôles porteront notamment sur les acteurs ayant un impact particulièrement important sur le quotidien des citoyens et dont les pratiques posent de sérieuses questions de conformité.