La question de la protection des données personnelles est devenue centrale dans notre quotidien. Ainsi, la collecte et le traitement de ces données sont réglementés par le Règlement général sur la protection des données (RGPD).
Le cabinet Avomedias vous accompagne dans la mise en conformité de vos pratiques commerciales aux législations nationales et européennes concernant la protection des données personnelles des utilisateurs.
Définition de la notion de cookie
Dès que l’on navigue sur Internet, il est désormais impossible de plus être confronté à des cookies.
Le terme cookie en informatique doit être assimilé à l’idée d’un traceur. Il existe plusieurs types de cookies.
La Commission nationale de l’informatique et des libertés (CNIL) a proposé une définition de ces traceurs, en retenant que c’est une suite d'informations souvent de petite taille, qui permet d’identifier l’utilisateur. Ces traceurs sont ainsi téléchargés automatiquement sur un serveur dans le terminal (ordinateur, téléphone, etc.) d’un internaute par l’intermédiaire de son navigateur.
Ainsi, lors d’une nouvelle visite sur le site web, l’adresse IP sera reconnue et l’utilisateur sera dispensé de certaines taches comme par exemple, de remplir un formulaire de renseignements sur ses informations personnelles.
La réglementation autour des cookies
Le droit européen est venu encadrer cette nouvelle pratique avec notamment deux textes importants :
- Le Règlement général sur la protection des données.
- La Directive ePrivacy transposée par la loi Informatique et Libertés.
Parallèlement, la CNIL a adopté le 17 septembre 2020 des lignes directrices, complétées par une recommandation visant à préciser les règles applicables à l'implantation et à la lecture des cookies.
Elle précise notamment que tout traitement associé à un cookie doit respecter les dispositions du RGPD et celles de la loi Informatique et Libertés.
La question du consentement des internautes face aux cookies
Les textes européens ont élaboré des obligations à respecter pour les responsables de traitement des données personnelles dans l’utilisation de cookies :
- Le responsable de traitement doit informer préalablement l’utilisateur que ses données pourront être collectées. Cela concerne notamment les cookies reliés à la publicité personnalisée. Il est alors possible d’informer les utilisateurs à l’aide d’une charte d’utilisation de cookies ou avec un bandeau affiché sur le site web pour y avoir accès.
- Ensuite, l’utilisateur doit consentir au stockage et à l’utilisation de ses données. Pour le consentement cookies, l’internaute doit faire un choix pour autoriser ou non l’étape de la collecte de ses données. Cela peut également passer par la mises en place d’un bandeau affiché sur le site, dès que la page web s’ouvre. Cependant, certains traceurs ne sont pas soumis à cette étape, comme par exemple, les traceurs destinés à garder en mémoire les éléments d’un panier d’achat sur un site internet.
Le RGPD délimite la notion de consentement :
- Article 4 du RGPD : le consentement de la personne concernée correspond à « toute manifestation de volonté, libre, spécifique, éclaireée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ».
- Article 7 du RGPD : pour être valable le consentement de l’utilisateur est encadré de plusieurs conditions. Cet article défini comment doit être recueilli le consentement des internautes et comment ils peuvent se rétracter.
L’article 82 de la loi Informatique et Libertés transpose ces règles en droit interne.
Récemment, la pratique dite de « cookie wall » aussi appelée « mur de cookies » est apparue. Cette méthode consiste à subordonner la fourniture d’un service ou l’accès à un site web par l’acception de l’utilisation de cookies.
La CNIL a tout d’abord interdit cette pratique, mais par la suite, le Conseil d’État dans une décision du 19 juin 2020 a censuré l’interdiction générale de l’utilisation de cette méthode.
En réalité, selon cette autorité, la pratique des murs de cookies devrait être appréciée au cas par cas et doit analyser les sites qui proposent des alternatives. À cet égard, on peut remarquer que plusieurs sites internet ont mis en place des cookies tout en proposant à l'utilisateur une alternative s’il les refuse. Notamment, l’utilisateur peut faire un paiement pour accéder au site sans accepter d'être tracé. Reste à savoir ce que la CNIL va penser de cela.
La CNIL a alors inscrit dans les lignes directrices adoptées en 2020, que cette pratique est susceptible de porter atteinte à la liberté du consentement, dans certains cas. C’est pourquoi, cette pratique doit être appréciée au cas par cas et l’information fournie à l’utilisateur doit indiquer les conséquences des choix de l’utilisateur.
Les obligations mises en place par ces textes sont imposées aux responsables de traitements qui utilisent des traceurs soumis au consentement de ses utilisateurs. Ces derniers vont être responsables en cas d’abus au niveau de la collecte et du traitement des données personnelles.
Les sanctions prévues en cas de non-respect des règles encadrant les cookies
La CNIL peut recevoir des plaintes et effectuer des contrôles pour enquêter sur le respect des règles encadrant la protection des données personnelles.
En cas de non-respect des règles exposées par le RGPD, la CNIL peut :
- Prononcer des sanctions dont le montant peut s’élever jusqu’à 20 millions d’euros ou dans le cas d’une entreprise jusqu’à 4 % du chiffre d’affaire annuel mondial.
- Prononcer un rappel à l’ordre.
- Demander de mettre le traitement des données en conformité, y compris sous astreinte.
- Prononcer la suspension des flux de données.
Actualité : la CNIL a prononcé, le 7 décembre 2020, une amende de 100 000 d’euros à l’encontre des sociétés Google LLC et Google Ireland Limited pour avoir mis en place des cookies publicitaires sur les ordinateurs d’internautes utilisant le moteur de recherche google.fr sans les informer des collectes de leurs données personnelles et sans recueillir préalablement leurs consentements.
Actualité : le 29 juillet 2021, la CNIL a prononcé une amende de 50 000 euros à la société Du Figaro pour les mêmes pratiques.
Comment mettre en place des cookies de manière sécurisée et légale ?
Pour éviter toute sanction, en tant que professionnel, il est judicieux d’agir aux côtés d’un avocat pour agir en conformité avec les législations.
Pour utiliser des traceurs qui ne vont pas à l’encontre des règles du RGPD, les utilisateurs doivent être informés et consentir de manière clair et compréhensible à la collecte de leurs données personnelles.
L’utilisateur peut alors accepter des conditions générales d’utilisation, mais cela n’est qu’une modalité. L’internaute doit avoir le choix d’accepter ou refuser la lecture des cookies.
De plus, l’utilisateur doit pouvoir revenir sur son consentement comme le souligne l’article 7 du RGPD. Cela doit être une procédure simple, comme l’acception et accessible à tout moment.
Les responsables de traitement doivent ensuite garder la preuve que le consentement des utilisateurs a bien été recueilli.
Si vous êtes un professionnel et que vous souhaitez mettre vos pratiques en conformité avec les législations autour des données personnelles, le cabinet Avomedias vous accompagne dans ce processus et vous assiste en cas de contrôle d’une autorité administrative.
