Digital : Notre recette pour des cookies parfaits

Alors là, quand on parle de textes, il s'agit bien de les mettre au pluriel ! Car pour savoir comment faire avec ces cookies / traceurs, il faut se référer à minima à la loi Informatique et libertés qui reprend la directive e-privacy, mais aussi au RGPD, sans oublier aussi au droit souple représenté par la directive de la CNIL sur les cookies de 2020 et les recommandations associées.

Bref, cela fait beaucoup de lecture et en plus c'est une lecture pas marrante du tout. Pas assez d’action dans ces bouquins.

Qui a envie de lire des textes qui commencent par nonobstant, hein?

Si si, on vous l’assure, ce mot est utilisé tant dans le RGPD que dans la loi informatique et libertés, vérifiez ! Ce n’est même pas un piège de notre part pour vous obliger à les lire.

Du coup, qu’est-ce qu’il faut en retenir de manière intelligible ?
De façon globale, il faut comprendre que c'est comme pour rentrer chez quelqu'un : d'abord on sonne à la porte et on n’entre que si l'habitant nous a invité à le faire.

Le principe de base est donc le suivant – la recette magique :
information préalable (je sonne à la porte pour me signaler) + consentement de l'utilisateur (invitation à entrer).

Dans la loi Informatique et libertés on retrouve la transposition de la directive européenne - de son petit nom “e-privacy” - concernant les cookies, notamment dans son article 82 qui précise que l'utilisateur doit être informé et doit donner son consentement avant que tout traceur ne soit installé sur son terminal… AVANT QU'IL NE SOIT POSÉ SUR LE TERMINAL…

Ce qui veut dire que le petit traceur n'a pas le droit de s'installer avant que l'utilisateur ait coché la case « oui ».
Le consentement aussi est un préalable.  

En plus on ne parle pas que des cookies qui s'installent dans les paramètres du navigateur. Non, bien sûr que non, cela serait trop facile. On parle de n'importe quel terminal connecté : votre ordinateur, votre smartphone mais aussi n'importe quel objet connecté comme une TV, un réfrigérateur...

Nous parlions donc de l'article 82 de la loi Informatique et libertés modifiée (oui on dit “modifiée” parce qu'elle a été tellement de fois...). Sauf que voilà : ni la directive e-privacy, ni la loi Informatique et libertés ne définissent ce grand mot qui est le consentement (pour les GAFAM ce serait même un gros mot plus qu’un grand mot). Ainsi, pour définir le consentement il faut se tourner vers le RGPD, vous savez ce texte européen qui a fait couler beaucoup d'encre depuis 2018 (il date de 2016 et il est d’application directe dans les états membres depuis 2018). 

A ceux qui viendrait penser que : « si on ne dit pas non, c’est qu’on dit oui », ces gens-là ont tout faux.

Le consentement sur Internet doit être représenté par un acte positif COMME DANS LA VRAI VIE ! En gros, ça signifie que la case ne doit pas être cochée par avance, que l'utilisateur n'a pas été poussé dans son choix, qu'on ne doit avoir aucun doute sur ce choix, que la personne doit être informée sur ce qui va se passer pour ces données avant de dire oui ou non, et on ne peut en aucun cas déduire le consentement d'un manque d'action : c'est tout l'inverse.

Exit l'ancienne recommandation de 2013 qui laissait la possibilité de penser que la poursuite de la navigation valait consentement : encore une fois "c'est pas parce qu'on dit rien qu'on dit oui".

"Oui mais il existe l'exemption de consentement" :
En effet , à partir du moment où le cookie est strictement nécessaire à la fourniture du service demandé par l'utilisateur alors il est exempté de consentement. Nous parlerons d’ailleurs du cas de l’exemption pour certains outils de mesure d’audience un peu plus loin.

Si vous ne voulez pas vous retrouver dans la liste des 422 plaintes de l'ONG NOYB, il serait mieux de suivre les recommandations de la CNIL.

La CNIL propose des outils complémentaires du droit : les lignes directrices (synthèse du droit applicable) et les recommandations qui sont des exemples de modalités pratiques. Vous savez, le fameux droit « souple ».
Nous ne saurions d’ailleurs que vous recommander le 2nd texte, d'autant plus qu'il est gratuit et accessible publiquement.
Vous n'avez plus aucune excuse pour ne pas mettre vos sites en conformité !

Les recommandations précisent justement que la poursuite de la navigation ne vaut pas consentement, propose des modalités pratiques de recueil du consentement, de refus du consentement, de retrait du consentement et de preuve du consentement.
Et au-delà de le mettre en œuvre, n’oubliez pas que vous êtes également sensés pouvoir le prouver !
Rassurez-vous : on ne prouve pas que chaque utilisateur particulier a donné ou refusé le dépôt des traceurs, mais on doit en tout cas pouvoir prouver la validité du processus de recueil du consentement.

Et si vous êtes polyglotte ou si vous avez la traduction automatique sur votre navigateur, vous pouvez même aller voir la FAQ de NOYB. 

Rappelez-vous simplement, comme dit précédemment dans cet article : « pré-cocher c'est mal ».
De plus on peut parler d'intérêts légitimes comme base légale pour traiter de données à caractère personnel (RGPD), mais ça n'a strictement rien à voir avec le fait que pour avoir le droit d'entrer dans une maison il faut avoir l'autorisation de l'habitant !

Traduction : l'article 82 de la loi Informatique et libertés dit qu'il faut obtenir le consentement de l'utilisateur avant de déposer un traceur.

Et si ce traceur embarque des données à caractère personnel, les 2 textes, art 82 loi Informatique et libertés et RGPD, sont applicables !

Et bien non ! Qu’il y ait des données à caractère personnel ou non, l'article 82 de la loi Informatique traite des cookies et vous demande d'obtenir le consentement de l'utilisateur avant de déposer le traceur.

Le fait que les données soient anonymes ou à caractère personnel permet de savoir si en plus il faut - notamment - le déclarer dans le registre des traitements tel que requis par le RGPD.

Alors là, non plus. Pas bien ! On frôle le harcèlement là.

Ici le consentement n'est pas libre. C’est plutôt forcer le clic : l’utilisateur dirait oui juste pour être tranquille. Un tel consentement n’est pas valide.

L’ironie dans tout ça, c'est que même si l'utilisateur refuse le dépôt des cookies, il faut quand même en déposer un – sans son consentement en plus puisque c’est un cookie fonctionnel : celui qui va conserver le choix qui a été fait.

La CNIL recommande de conserver ce choix - refus où acceptation - pendant 6 mois. C'est une recommandation, ce n'est donc pas une obligation. Mais comme c’est la CNIL qui sanctionne, on vous conseille donc de suivre ses recommandations !

C'est comme pour la durée de vie des cookies : avant c'était facile, dans la recommandation de 2013 on disait qu'il devait durer au maximum 13 mois. Dans la recommandation actuelle, ces 13 mois ne concernent que les cookies de mesure d'audience, les "analytics".

Mais alors quid des autres traceurs ? Gardez à l’esprit cette règle de base : on n'a pas le droit de conserver des informations à vie. Il faut forcément une date de fin, et cette durée de conservation doit être adaptée aux finalités.

De ce fait plus cette durée s'éloigne de 13 mois, plus la CNIL sera tentée de vérifier si c'est bien pertinent avec les finalités déclarées.

Puisqu'on en parle, savez-vous si les cookies de mesure d'audience - ces fameux analytics - sont exemptés de consentement ? Et bien ça dépend.

L'exemption qui a été introduite en 2013 existe toujours dans les lignes directrices actuelles, mais uniquement lorsqu'il s'agit de fournir un service demandé par l'utilisateur, et ils doivent avoir pour seule finalité la mesure d'audience statistique du site web.

De fait, cela exclut le suivi global de la navigation par exemple. Cela exclut aussi les outils pour lesquels l'éditeur se permet de conserver les données pour l'amélioration de son propre service.

La CNIL tient une liste à jour de solutions de mesure d'audience bénéficiant de cette exemption. Mais attention, il faut suivre à la lettre la configuration associée à chaque outil sans quoi l'exemption ne tient pas.

Et bien si en fait, parce que à partir du moment où cela n'est pas strictement nécessaire à la fourniture du service demandé par l'utilisateur, son consentement est requis.

Peu importe que la publicité soit personnalisée ou non, cela n'entre pas en ligne de compte.

Comme nous l’avons écrit plus haut, le consentement est lié à la finalité. Si la finalité du traceur est autre que celle de fournir le service demandé par l'utilisateur, le consentement est requis.