La CNIL restreint encore la traçabilité par cookies

Le ciblage publicitaire en ligne est rattrapé par l’actualité juridique. Après la promesse d’une concertation avec les professionnels, la Cnil adopte de nouvelles lignes directrices sur les traceurs.

Les cookies sont ces fichiers stockés dans l’équipement terminal d’un internaute et utilisés par un site Internet ou une application pour envoyer des informations à son navigateur, lequel les renvoie ensuite à l’éditeur (par exemple, un identifiant de session, le choix de la langue, ou la configuration de navigation). Ces cookies fournissent aussi des données sur la manière dont un utilisateur surfe pour accèder aux pages d’un site ou lorsqu’il y retourne. Après avoir adopté une première recommandation relative aux cookies et aux autres traceurs en décembre 2013, la Cnil a dû remettre son ouvrage sur le métier, notamment en raison de l’adoption en 2016 du Règlement européen sur la protection des données à caractère personnel (RGPD), qui a renforcé les exigences en matière de recueil et de validité du consentement des personnes à la mise en oeuvre de traitements de données les concernant. De nouvelles lignes directrices ont donc été élaborées et soumises au Conseil d’État qui les a validées, pour l’essentiel, en juin 2020. Parallèlement, la Cnil s’est engagée dans un processus de concertation avec les professionnels, notamment du marketing direct, pour mettre au point une recommandation ayant pour objectif de guider ces professionnels dans le déploiement, par eux, des nouvelles lignes directrices. Cette recommandation a été adoptée en septembre 2020.

CE QU’IL FAUT RETENIR DU NOUVEAU CADRE

Tout d’abord, les règles de recueil du consentement des personnes à voir s’installer ces cookies et traceurs changent assez profondément. En effet, la poursuite de la navigation sur un site, alors qu’un bandeau Cookies est présenté à l’internaute, ne peut plus être considérée comme valant acceptation à l’installation de ces cookies. Le consentement doit être donné de manière volontaire,et non plus déduit du comportement l’internaute. Sans cet accord exprès, aucun traceur non essentiel au fonctionnement d’un site ne peut plus être déposé. Par ailleurs, en cas d’acceptation, elle doit être révocable facilement et à tout moment, par exemple sous la forme d’un lien accessible en permanence ou au moyen d’un module de paramétrage accessible sur toutes les pages du site, par clic sur une icône « cookies », par exemple. De plus, les choix de l’internaute (acceptation ou refus de tout ou partie des cookies et autres traceurs) doivent être conservés afin qu’il ne soit pas réinterrogé à chacune de ses visites sur le site. La durée de conservation de ce choix doit être paramétrée au cas par cas, en fonction de la nature du site et de sa fréquentation par l’internaute. Enfin, la Cnil exige que l’internaute bénéficie d’une information renforcée sur les acteurs qui déposent des cookies et traceurs, les finalités de ceux-ci, de la manière de les accepter ou de les refuser, des conséquences qui s’attachent à une acceptation ou à un refus et de l’existence du droit de retirer son consentement. La Cnil a accordé aux acteurs concernés un délai de six mois pour se mettre en conformité avec ces lignes directrices, soit jusqu’en mars 2021, période à l’issue de laquelle elle a indiqué qu’elle contrôlerait la bonne application de ces nouvelles règles.

BIO EXPRESS
Avocat à la cour d’appel de Paris, Frédéric Forster dirige le pôle Télécoms du cabinet Alain Bensoussan Avocats Lexing depuis 2006. Il était précédemment directeur juridique du groupe SFR. Il est également vice-président du réseau international d’avocats Lexing.