En application de la directive européenne dite " paquet télécom ", les internautes doivent être informés et donner leur consentement préalablement à l'insertion de traceurs.
Ils doivent disposer d'une possibilité de choisir de ne pas être tracés lorsqu'ils visitent un site ou utilisent une application. Les autoentrepreneurs qui ont un site Web ont donc l'obligation de solliciter au préalable le consentement des utilisateurs. Ce consentement est valable 13 mois maximum. Certains traceurs sont cependant dispensés du recueil de ce consentement.
Quel est le cadre juridique applicable ?
En modifiant l'article 5(3) de la directive 2002/58/CE par l'adoption de la directive 2009/136/CE, le législateur européen a posé le principe d'un consentement préalable de l'utilisateur avant le stockage d'informations sur l'équipement d'un utilisateur ou l'accès à des informations déjà stockées.
En application de la loi informatique et libertés, les traceurs (cookies ou autres) nécessitant un recueil du consentement ne peuvent donc être déposés ou lus sur son terminal, tant que la personne n’a pas donné son consentement.
A qui s'impose cette obligation ?
Lorsque plusieurs acteurs interviennent dans le dépôt et la lecture de cookies (par exemple lorsque les éditeurs facilitent le dépôt de cookies qui sont ensuite lus par des régies publicitaires), chacun d'entre eux doit être considéré comme coresponsable des obligations découlant des dispositions de l'article 32-II
L'obligation de recueil du consentement s'impose notamment :
aux éditeurs de sites, de système d'exploitation, et d'applications.
Que recouvre le terme de « cookies » ou de « traceurs » ?
Sont concernés les traceurs déposés et lus par exemple lors de la consultation d'un site internet, de la lecture d'un courrier électronique, de l'installation ou de l'utilisation d'un logiciel ou d'une application mobile et ce, quel que soit le type de terminal utilisé tels qu'un ordinateur, un Smartphone, une liseuse numérique et une console de jeux vidéos connectée à Internet.
Ces obligations s'appliquent que les cookies collectent des données à caractère personnel ou non.
Quels cookies nécessitent le consentement préalable des utilisateurs ?
Parmi les cookies nécessitant une information préalable et une demande de consentement, on peut notamment citer :
- les cookies liés aux opérations relatives à la publicité ciblée ;
- certains cookies de mesure d'audience ;
- les cookies des réseaux sociaux générés notamment par leurs boutons de partage lorsqu'ils collectent des données personnelles sans consentement des personnes concernées.
Cette liste n'est pas exhaustive.
Comment recueillir valablement le consentement ?
Le consentement doit être préalable à l'insertion ou à la lecture de cookies
Tant que la personne n'a pas donné son consentement, ces cookies ne peuvent être déposés ou lus sur son terminal.
Il doit être requis à chaque fois qu'une nouvelle finalité vient s'ajouter aux finalités initialement prévues.
Le consentement est une manifestation de volonté, libre, spécifique et informée : la validité du consentement est donc liée à la qualité de l'information reçue. L'information doit être visible, mise en évidence et complète. Elle doit être rédigée en des termes simples et compréhensibles pour tout utilisateur. Elle doit permettre aux internautes d'être parfaitement informés des différentes finalités des cookies. L'utilisateur doit pouvoir accepter ou refuser le dépôt des cookies.
Le consentement ne peut être valable que si la personne concernée est en mesure d'exercer valablement son choix et n'est pas exposée à des conséquences négatives importantes si elle refuse de donner son consentement. La personne qui refuse un cookie nécessitant un consentement doit pouvoir continuer à bénéficier du service (l'accès à un site internet par exemple).
Concrètement, comment se mettre en conformité ?
Le consentement doit se manifester par une action positive de la personne préalablement informée des conséquences de son choix et disposant des moyens de l'exercer. Des systèmes adaptés doivent donc être mis en place pour recueillir le consentement selon des modalités pratiques qui permettent aux internautes de bénéficier de solutions conviviales et ergonomiques.
L'acceptation de conditions générales d'utilisation ne peut être une modalité valable de recueil du consentement.
La CNIL recommande une procédure de recueil du consentement en deux étapes.
- ETAPE 1 : information de l'utilisateur : l'internaute qui se rend sur le site d'un éditeur (page d'accueil ou page secondaire du site) doit être informé, par l'apparition d'un bandeau des finalités précises des cookies utilisés, de la possibilité de s'opposer à ces cookies et de changer les paramètres en cliquant sur un lien présent dans le bandeau, du fait que la poursuite de sa navigation vaut accord au dépôt de cookies sur son terminal.
- ETAPE 2 : page " en savoir plus " en cas de clic sur " En savoir plus / paramétrer les traceurs ", les personnes doivent disposer de solutions leur permettant de refuser l'insertion des cookies.
Les durées de vie des cookies
Le consentement à être suivi peut être oublié par les personnes qui l'ont manifesté à un instant donné, la CNIL estime nécessaire de limiter à 13 mois au maximum ce consentement qui devra être à nouveau recueilli.
-
