Internet : la CNIL modifie les règles sur les cookies

La CNIL a émis de nouvelles lignes directrices sur l’utilisation des cookies. Désormais, leurs objectifs doivent être énoncés clairement et leur acception ou refus à porter de tous à tout moment, notamment.

« Un tournant pour le secteur de la publicité en ligne et pour les internautes »

À la suite de la décision du 19 juin 2020 du Conseil d’État, la Commission nationale de l’information et des libertés (CNIL) a publié, le jeudi 17 septembre, la version définitive de ses nouvelles lignes directrices sur les cookies publicitaires. Cette version apporte un encadrement plus strict quant à l’utilisation de ces cookies, qu’ils s’appliquent à des données personnelles ou non. Pour rappel, les cookies sont des fichiers informatiques stockés dans l’ordinateur de l’internaute par un serveur. Ils permettent de collecter des données de navigation utiles comme les mots de passe et les informations sur un panier d’achats. Ils peuvent aussi servir à tracer et connaître l’internaute car ils révèlent ses habitudes et comportements (orientation sexuelle, opinion politique, état de santé…). Ce qui peut représenter une atteinte à la vie privée des individus.

« L’évolution des règles applicables (…) marque un tournant tant pour le secteur de la publicité en ligne que pour les internautes, qui pourront désormais exercer un meilleur contrôle sur les traceurs en ligne », écrit l’autorité protectrice de la vie privée dans son communiqué. La nouvelle doctrine de la Cnil considère que la simple poursuite de la navigation sur un site web ne peut plus être considérée comme « une expression valide » du consentement de l’internaute. Ce qui signifie que les utilisateurs doivent consentir par un acte « positif clair », comme le fait de cliquer sur « j’accepte » dans une bannière informative.

Obligation d’ajouter la mention « Tout refuser »

Aussi, la Cnil recommande que l’interface de recueil du consentement comprenne un bouton « Tout refuser », en plus du bouton « Tout accepter ». Par ailleurs, l’internaute doit pouvoir retirer son consentement facilement et à tout moment. En outre, l’autorité administrative indique qu’il faut informer les utilisateurs des finalités des traceurs avant d’obtenir leur consentement et de les avertir des conséquences qui s’attachent à une acceptation ou un refus de traceur.

La Cnil précise que certains traceurs sont exemptés de ces règles relatives au recueil du consentement. Il s’agit des « traceurs destinés à l’authentification auprès d’un service, ceux destinés à garder en mémoire le contenu d’un panier d’achat sur un site marchand, certains traceurs visant à générer des statistiques de fréquentation, ou encore ceux permettant aux sites payants de limiter l’accès gratuit à un échantillon de contenu demandé par les utilisateurs ».

Six mois pour se mettre en conformité avec la nouvelle politique

Enfin, la Cnil revoit sa position sur les « cookie walls », pratique qui consiste à bloquer l’accès à un site internet pour l’utilisateur qui ne donnerait pas son consentement. En juin dernier, le Conseil d’Etat avait statué que leur interdiction ne relevait pas de la responsabilité de l’organisme. Dorénavant, ces « cookie walls » seront analysés au cas par cas et devront respecter les principes d’information et de facilité du choix.

Pour harmoniser leurs pratiques et se mettre en conformité avec les nouvelles délibérations de la CNIL, les sites internet ont six mois : avant le 1er avril 2021.