Dans le cadre de son plan d’action sur le ciblage publicitaire, la CNIL a adopté le 4 juillet 2019 des lignes directrices sur les cookies et autres traceurs. Ces lignes directrices rappellent le droit applicable depuis l’entrée en vigueur du RGPD, le 25 mai 2018. Elles abrogent et remplacent la précédente recommandation de la CNIL relative aux cookies et autres traceurs du 5 décembre 2013 qui guidait jusqu’alors les entreprises dans leur politique de gestion des cookies. Les entreprises (éditeurs de sites web ou d’applications mobiles, régies publicitaires) doivent donc rapidement mettre à jour leur politique de gestion des cookies et autres traceurs pour se conformer à la loi.
Les lignes directrices rappellent le droit applicable aux opérations de lecture ou écriture dans le terminal d'un utilisateur, et notamment l'usage des cookies et autres traceurs. Or, le consentement prévu par ces dispositions doit être conforme à la définition et aux conditions prévues aux articles 4 (11) et 7 du RGPD. Ce renforcement du droit des personnes a conduit la CNIL à abroger sa délibération n° 2013-378 du 5 décembre 2013 portant adoption d'une recommandation relative aux cookies et aux autres traceurs visés par l'article 32-II de la loi du 6 janvier 1978, qui était jusqu’à alors destinée à guider les opérateurs dans l’application de la loi informatique et libertés. Cette recommandation du 5 décembre 2013 est désormais remplacée par les lignes directrices adoptées le 4 juillet 2019.
Ces lignes directrices devraient être complétées au premier trimestre 2020 par une nouvelle recommandation précisant notamment les modalités pratiques du recueil du consentement. Première nouveauté : la simple poursuite de la navigation sur un site internet ou une application mobile ne peut plus être regardée comme une expression valide du consentement au dépôt de cookies et autres traceurs. L’utilisateur doit désormais toujours bénéficier d’un véritable choix. Il doit se voir offert la possibilité d’accepter ou de refuser les cookies en fonction de la finalité des opérations qui seront effectuées au moyen des cookies.
En effet, le RGPD a considérablement renforcé les exigences en matière de validité du consentement des personnes. D’une part, pour être valable, le consentement doit remplir un certain nombre de critères (Articles 4 et 7 du RGPD). Et ce, peu importe la technologie utilisée. Ainsi, la pratique qui consiste à bloquer l'accès à un site web ou à une application mobile pour qui ne consent pas à être suivi (« cookie walls ») n'est pas conforme au RGPD. La personne concernée doit être en mesure de donner son consentement de façon indépendante et spécifique pour chaque finalité distincte. Ainsi, l'acceptation globale de conditions générales d'utilisation ne peut être une modalité valable de recueil du consentement, que si celui-ci peut également être donné de manière distincte pour chaque finalité.
L’information doit être rédigée en des termes simples et compréhensibles pour tous, et permettre aux utilisateurs d'être parfaitement informés des différentes finalités des traceurs utilisés. L'information doit être complète, visible, et mise en évidence au moment du recueil du consentement. Afin que le consentement soit éclairé, l'utilisateur doit pouvoir identifier l'ensemble des entités ayant recours à des traceurs avant de pouvoir y consentir. Le consentement doit se manifester par le biais d'une action positive de l’utilisateur, préalablement informé des conséquences de son choix et disposant des moyens de l'exercer. L'article 7 du RGPD impose que le consentement soit démontrable, ce qui signifie que les entreprises exploitant des traceurs doivent mettre en œuvre des mécanismes leur permettant de démontrer, à tout moment, qu'elles ont valablement recueilli le consentement des utilisateurs. La CNIL rappelle qu'il doit être aussi facile de refuser ou de retirer son consentement que de le donner.
Cela signifie notamment que les utilisateurs ayant donné leur consentement à l'utilisation de traceurs doivent être en mesure de le retirer à tout moment. Les technologies concernées par l'obligation de recueil du consentement n'impliquent pas systématiquement de traitement de données à caractère personnel. Dans d'autres cas, plusieurs entreprises contribuent à la réalisation des opérations de lecture ou écriture visées par les lignes directrices (par exemple un éditeur de site web et une régie publicitaire déposant des cookies lors de la consultation du site web).
Enfin, est qualifié de sous-traitant un acteur qui inscrit des informations et/ou accède à des informations stockées dans l'équipement terminal d'un abonné ou d'un utilisateur, exclusivement pour le compte d'un responsable de traitement et sans réutilisation pour son propre compte des données collectées via le traceur. Toutefois, les navigateurs pourraient être amenés à évoluer pour intégrer des mécanismes permettant de recueillir un consentement conforme au RGPD.
Un éditeur peut avoir besoin de mesurer l'audience de son site web ou de son application, ou bien de tester des versions différentes afin d'optimiser ses choix éditoriaux en fonction de leurs performances respectives. Des traceurs sont fréquemment utilisés pour cette finalité et ces dispositifs peuvent, dans certains cas, être regardés comme nécessaires à la fourniture du service explicitement demandé par l'utilisateur, sans présenter de caractère particulièrement intrusif pour ceux-ci, et ainsi être exemptés du recueil du consentement.
Elle doit disposer de la faculté de s'y opposer par l'intermédiaire d'un mécanisme d'opposition facilement utilisable sur l'ensemble des terminaux, des systèmes d'exploitation, des applications et des navigateurs web. La finalité du dispositif doit être limitée à (i) la mesure d'audience du contenu visualisé afin de permettre l'évaluation des contenus publiés et l'ergonomie du site ou de l'application, (ii) la segmentation de l'audience du site web en cohortes afin d'évaluer l'efficacité des choix éditoriaux, sans que cela ne conduise à cibler une personne unique et (iii) la modification dynamique d'un site de façon globale. Les données à caractère personnel collectées ne doivent pas être recoupées avec d'autres traitements ni transmises à des tiers. L’utilisation des traceurs doit être strictement cantonnée à la production de statistiques anonymes. L’utilisation de l’adresse IP pour géolocaliser l'internaute ne doit pas fournir une information plus précise que la ville. Les traceurs utilisés par ces traitements ne doivent pas avoir une durée de vie excédant treize mois et cette durée ne doit pas être prorogée automatiquement lors des nouvelles visites. Le délai raisonnable pour mettre en conformité les sites web et applications mobiles aux nouvelles règles en matière de cookies ne saurait excéder le 31 mars 2021.
Dans le cadre de son plan d’action sur le ciblage publicitaire en ligne, la CNIL a estimé raisonnable d’accorder un délai de six mois à compter de la publication des lignes directrices modificatives et de la recommandation portant sur l’usage des cookies pour que les acteurs concernés se mettent en conformité avec les nouvelles règles ainsi clarifiées. Celles-ci ayant été adoptées le 1er octobre 2020, la période d’adaptation accordée arrivera à son terme le 31 mars 2021. Les opérations de lecture et/ou d’écriture d’informations dans l’équipement terminal d’un abonné ou d’un utilisateur de services de communications électroniques sont couramment appelées « traceurs ». Le traceur le plus connu reste le témoin de connexion, dit « cookie », stocké sur le terminal de l’utilisateur ou de l’abonné et consultable par une tierce personne. L’utilisation de ces traceurs est régie par l’article 5 de la directive ePrivacy (dir. 2002/58/CE, mod. dir. 2009/136/CE).
Auparavant, les lignes directrices de la CNIL n° 2013-378 du 5 décembre 2013 s’avéraient favorables aux exploitants des traceurs. La CNIL a ainsi édicté de nouvelles lignes directrices le 4 juillet 2019 (délib. n° 2019-093) qui ont été partiellement censurées par le Conseil d’État le 19 juin 2020. Des lignes directrices n° 2020-091 accompagnées de leur recommandation n° 2020-092 ont été adoptées le 17 septembre 2020 et publiées au Journal officiel le 2 octobre 2020.
Les traceurs sont définis par les lignes directrices comme « toutes les opérations visant à accéder, par voie de transmission électronique, à des informations déjà stockées dans l’équipement terminal de l’abonné ou de l’utilisateur d’un service de communications électroniques ou à inscrire des informations dans celui-ci » (pt 9). Sont exclus des lignes directrices les traceurs ayant pour finalité exclusive de permettre ou faciliter la communication par voie électronique ou nécessitant strictement la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur.
Conformément à l’arrêt Fashion ID, l’éditeur d’un site qui dépose des traceurs et les tiers qui utilisent ces traceurs sont considérés comme des responsables conjoints de traitement dès lors qu’ils agissent pour leur propre compte, ce qui implique une délimitation transparente de leurs obligations respectives (CJUE 29 juill. 2019, aff. C-40/17). Les lignes directrices précisent que lorsque plusieurs acteurs contribuent aux opérations de lecture ou écriture du traceur, l’éditeur du site semble être le plus à même d’informer l’utilisateur et de recueillir son consentement (pt 37).
Les opérations de lecture et/ou d’écriture dans l’équipement terminal restent soumises à l’obligation de consentement lorsque les traitements portent sur des données à caractère personnel (puis RGPD). Dès lors, les conditions et modalités de consentement s’éclairent sur les finalités, les destinataires, et les moyens de retirer le consentement. L’information doit être suffisamment précise pour permettre une prise de décision autonome et éclairée.
Enfin, il est rappelé que les technologies concernées par l’obligation de recueil du consentement n’impliquent pas forcément un traitement de données personnelles; lorsque tel est le cas, elles restent soumises au RGPD et au cadre ePrivacy, et les responsables doivent démontrer le recueil du consentement et permettre le retrait à tout moment.
La CNIL souligne l’importance d’un consentement démontrable et d’un accès clair à l’ensemble des responsables de traitement, ainsi que le droit pour l’utilisateur de retirer son consentement aussi facilement que de le donner. La recommandation et les lignes directrices insistent sur l’importance d’un consentement libre, spécifique, éclairé et univoque, et d’une information accessible avant le recueil du consentement.
Consentement cookies : Que reproche la CNIL à Google & Amazon ?
Points clés des exigences et pratiques recommandées
- Informer préalablement de manière claire et complète sur les finalités des traceurs et les moyens d’opposition.
- Offrir un choix explicite et équivalent entre accepter et refuser, sans cookie walls, et sans conditionner l’accès à des services.
- Permettre un consentement par finalité distincte et démontrable, avec un droit de retrait simple et accessible.
- Conserver les choix des utilisateurs sur une période raisonnable et renouveler le recueil à intervalles appropriés.
- Identifier clairement les responsables du traitement et tenir à jour la liste des destinataires.
- Mesures spécifiques pour les cookies de mesure d’audience et pour les finalités de ciblage publicitaire, avec des délais de vie des traceurs limités à treize mois lorsque nécessaire.
Cadre juridique et principes fondamentaux
Les règles fixant l’utilisation des cookies et traceurs sur les équipements terminaux dans l’Union européenne proviennent de l’article 5(3) de la directive ePrivacy, transposé en droit national par l’article 82 de la loi Informatique et Libertés. Le cadre prévoit une information claire et complète et un consentement préalable avant le dépôt ou l’accès à des informations stockées, sauf si les cookies sont strictement nécessaires à la fourniture d’un service expressément demandé.
Lorsque des traceurs impliquent un traitement de données à caractère personnel, les lignes directrices éclairent sur la détermination du statut des acteurs et les obligations de chacun en matière de consentement et de transparence. En cas de traitement conjoint, les opérateurs doivent délimiter clairement leurs responsabilités et garantir une information suffisante pour l’utilisateur.
Les technologies non personnelles peuvent être exemptées lorsque leur finalité est strictement nécessaire à la fourniture du service ou correspond à des mesures techniques équivalentes, mais les organisations doivent démontrer la conformité et le droit des utilisateurs de s’opposer et de retirer leur consentement à tout moment.
Notes sur les évolutions et les références jurisprudentielles
Des évolutions récentes ont été marquées par les décisions du Conseil d’État et des jurisprudences européennes, qui précisent les contours du droit au consentement et les conditions d’opération des cookies dépôts par les éditeurs et les régies. Les pratiques des cookies walls ont été réévaluées au regard du RGPD et des décisions jurisprudentielles, avec des évolutions continues en matière de transparence et de proportionnalité.
En pratique, les exigences portent sur la lisibilité des finalités, la présentation des choix et l’obligation de démontrer le consentement, tout en préservant le droit des utilisateurs de retirer facilement leur accord et de gérer leurs préférences de manière durable.