RECOMMANDATIONS RELATIVES AUX COOKIES : POSITIONS DE LA CNIL ET DU G29

Transcription

1 Février 2014 À la une. Département Prpriété intellectuelle / TIC / Médias NUMERO SPECIAL COOKIES RECOMMANDATIONS RELATIVES AUX COOKIES : POSITIONS DE LA CNIL ET DU G29 Quelques mis après l adptin d une recmmandatin similaire - Opinin 02/2013 du 2 ctbre par le Grupe de travail de la Cmmissin eurpéenne sur la prtectin des dnnées persnnelles, dit «G29», la CNIL a diffusé sur sn site internet, sa Délibératin n du 5 décembre 2013 prtant adptin d une recmmandatin relative aux Ckies et aux autres traceurs visés par l article 32-II de la li du 6 janvier Vici dnc, tur à tur, les principales dispsitins de ces deux recmmandatins, qui se veulent des guides de mise en cnfrmité en matière d utilisatin de ckies. Bien évidemment, il ne s agit que de recmmandatins, sans valeur juridique cntraignante, cependant elles cnstituernt un référentiel, ntamment pur les cntrôleurs de la CNIL. SOCIETE D'AVOCATS 174 avenue Victr Hug Paris Tél 33 (0) Fax : 33 (0)

2 POSITION DE LA CNIL 1. RAPPEL DES DISPOSITIONS DE LA LOI INFORMATIQUE ET LIBERTES En guise d intrductin, la recmmandatin de la CNIL rappelle le cadre juridique applicable au traçage réalisé par l intermédiaire des ckies, à savir l article 32-II de la li du 6 janvier 1978, qui dispse que : «Tut abnné u utilisateur d'un service de cmmunicatins électrniques dit être infrmé de manière claire et cmplète, sauf s'il l'a été au préalable, par le respnsable du traitement u sn représentant : - de la finalité de tute actin tendant à accéder, par vie de transmissin électrnique, à des infrmatins déjà stckées dans sn équipement terminal de cmmunicatins électrniques, u à inscrire des infrmatins dans cet équipement; - des myens dnt il dispse pur s'y ppser. Ces accès u inscriptins ne peuvent avir lieu qu'à cnditin que l'abnné u la persnne utilisatrice ait exprimé, après avir reçu cette infrmatin, sn accrd qui peut résulter de paramètres apprpriés de sn dispsitif de cnnexin u de tut autre dispsitif placé sus sn cntrôle. Ces dispsitins ne snt pas applicables si l'accès aux infrmatins stckées dans l'équipement terminal de l'utilisateur u l'inscriptin d'infrmatins dans l'équipement terminal de l'utilisateur : - sit a pur finalité exclusive de permettre u faciliter la cmmunicatin par vie électrnique ; - sit est strictement nécessaire à la furniture d'un service de cmmunicatin en ligne à la demande expresse de l'utilisateur». Pur rappel, le nn-respect de ces dispsitins est sanctinné par une cntraventin de la 5 ème classe, c està-dire par une amende de 1500 eurs. (Article R du Cde Pénal), il est également cnsidéré qu un défaut d infrmatin u de recueil de cnsentement cnstitue une cllecte délyale de dnnées passible d une peine de 5 ans d emprisnnement et de eurs d amende pur les persnnes mrales (Article du Cde Pénal). Aussi, sauf exceptin, les traceurs (ckies u autres) ne peuvent être dépsés u lus sur le terminal d un internaute, tant que celui-ci n a pas dnné sn cnsentement. 2. ACTEURS ET OUTILS CONCERNES 2.1. Les acteurs cncernés par le respect des dispsitins Les éditeurs de sites, de système d explitatin et d applicatins ; Les régies publicitaires ; Les réseaux sciaux (ceci vise ntamment les utils «Like» et «Partager» présents ntamment sur Facebk) ; Les éditeurs de slutins de mesure d audience (ceci vise ntamment l util Ggle Analytics). Elle indique à cet égard, à l article 3 de sa recmmandatin, que «lrsque plusieurs acteurs interviennent dans la lecture et le dépôt de ckies (par exemple lrsque les éditeurs facilitent le dépôt de ckies qui snt ensuite lus par des régies publicitaires) chacun d entre eux dit être cnsidéré cmme crespnsables des bligatins déculant des dispsitins de l article 32-II précité» Les utils techniques utilisés La CNIL précise que sa recmmandatin s applique nn seulement aux ckies HTTP par lesquels ces pératins de traçage snt le plus suvent réalisées, mais qu elle a également vcatin à s appliquer à d autres technlgies, à savir les lcal shared aussi appelés ckies flash, les pixels invisibles u «web bugs», ainsi qu aux identificatins par calcul d empreinte du terminal u encre aux identificateurs cachés. Pur la CNIL, les ckies nécessitant une infrmatin et un cnsentement préalable de l internaute snt les suivants : Les ckies liés aux pératins relatives à la publicité ciblée ; Les ckies de mesure d audience à l exceptin de ceux visés dans les exemptins (cf 6) ; Les ckies des réseaux sciaux générés par les «butns de partage de réseaux sciaux» dans le cas ù ils cllectent des dnnées persnnelles sans le cnsentement des persnnes cncernées. A l inverse, certains ckies peuvent être dépsés u lus sans recueillir le cnsentement des persnnes, il s agit : Des ckies de «panier achat» d un site marchand ; Des ckies «identifiants de sessin», pur la durée d une sessin, u les traceurs persistants limités à quelques heures dans certains cas ; Des ckies d authentificatin de l internaute ; Des ckies de sessin créés par un lecteur multimédia ; Des ckies de sessin u d équilibrage de charge ; Des ckies persistants de persnnalisatin de l interface utilisateur ; Certains ckies de mesure d audience (cf 6). La CNIL cnsidère que les règles applicables en matière de ckies divent être respectées par : Les infrmatins et pinins cntenues dans cette lettre d infrmatin ne prétendent pas à l exhaustivité et ne peuvent pas se substituer à un avis spécifique rendu au vu d une situatin particulière

3 3. OBLIGATION D INFORMATION PREALABLE ET MODALITES DE RECUEIL DU CONSENTEMENT La CNIL cnsidère que le cnsentement «ne peut être valable que si la persnne cncernée est en mesure d exercer valablement sn chix et n est pas expsée à des cnséquences négatives imprtantes si elle refuse de dnner sn cnsentement». En cnséquence, l infrmatin dit être visible, mise en évidence, cmplète, et rédigée en des termes simples et cmpréhensibles par tus. Seln la CNIL, la validité du cnsentement est liée à la qualité de l infrmatin reçue, ce qui signifie qu elle purra cnsidérer dans le cadre d une prcédure de cntrôle que le cnsentement dnné par l internaute n est pas valable, si l infrmatin cmmuniquée n est pas claire. Par ailleurs, elle suligne que le cnsentement dit se manifester par le biais d une actin psitive de la persnne préalablement infrmée des cnséquences de sn chix et des myens à sa dispsitin pur l exercer (à titre d exemple, elle précise que l acceptatin de cnditins générales d utilisatin ne peut être une mdalité valable de recueil du cnsentement). Autre élément imprtant, la persnne qui refuse un ckie nécessitant un cnsentement dit puvir bénéficier du service, ce qui risque de pser un certain nmbre de difficultés en pratique puisque de nmbreux sites internet ne snt pas cnfigurés en ce sens à l heure actuelle. Partant de ces principes, elle recmmande une prcédure de recueil du cnsentement en 2 étapes : Deuxième étape : Les persnnes divent être infrmées de manière simple et lisible des myens mis à leur dispsitin pur accepter u refuser tut u partie des ckies. La CNIL précise, qu en tut état de cause, et sauf cnsentement préalable de l internaute, le dépôt et la lecture de ckies ne divent pas être effectués : Si l internaute se rend sur le site et ne pursuit pas sa navigatin (l absence d actin ne peut pas être assimilée à une manifestatin de vlnté) ; S il clique sur le lien présent dans le bandeau lui permettant de paramétrer les ckies, et refuse le dépôt de ckies. Il est également précisé que les persnnes ayant dnné leur cnsentement divent être en mesure de le retirer à tut mment, et que des slutins simples divent être mises à leur dispsitin. 4. DUREE DE VIE DES COOKIES Il est précisé, au sein de la recmmandatin, que les ckies divent avir une durée de vie limitée à treize mis après leur premier dépôt dans l équipement terminal de l utilisateur, et que leur durée ne dit pas être prlngée par de nuvelles visites sur le site. Aussi, à l issue de ce délai de 13 mis, le cnsentement devra à nuveau être recueilli. Il s agit là bien entendu d une simple recmmandatin puisqu aucun texte législatif u règlementaire n est venu fixer de telles durées en la matière. Première étape : L internaute qui se rend sur un site dit être infrmé par l apparitin d un bandeau : des finalités précises des ckies utilisés ; de la pssibilité de s ppser à ces ckies et de changer les paramètres en cliquant sur un lien présent sur le bandeau ; et enfin du fait que la pursuite de sa navigatin vaut accrd pur l installatin et la lecture de ckies sur sn terminal. La CNIL précise, que dans la mesure ù le cnsentement ne dit pas être ambigu, le bandeau ne dit pas disparaître tant que la persnne n a pas pursuivi sa navigatin (c est-à-dire tant qu elle ne s est pas rendue sur une autre page du site u n a pas cliqué sur un autre élément du site, que ce sit une image, un lien u la faculté de recherche). 5. SUR LES PARAMETRES DU NAVIGATEUR La CNIL cnsidère que le paramétrage du navigateur ne peut exprimer la manifestatin d'un cnsentement que : si l utilisateur a pu être en mesure de mdifier les paramètres de sn navigateur pur accepter u refuser les Ckies ; et, s il a été infrmé avant le dépôt u la lecture de Ckies, de leurs finalités et des myens de s y ppser. Enfin, elle ajute que lrsqu'un internaute décide d'activer une ptin de type «d nt track» sur sn navigateur, aucun prfil ne devrait être réalisé sur cet internaute et sur sn terminal. Elle recmmande dnc, en cas d activatin de cette ptin, qu aucune infrmatin ne sit cllectée pur établir un prfil de l internaute et que ce dernier, cmme sn terminal, ne sient pas tracés. Les infrmatins et pinins cntenues dans cette lettre d infrmatin ne prétendent pas à l exhaustivité et ne peuvent pas se substituer à un avis spécifique rendu au vu d une situatin particulière

4 6. CAS SPECIFIQUE DES COOKIES DE MESURE D AUDIENCE Cncernant le cas spécifique des ckies de mesure d audience, la CNIL précise que pur puvir bénéficier de l exemptin au recueil du cnsentement, les cnditins suivantes divent être respectées : La persnne dit être infrmée ; Elle dit dispser d une faculté de s y ppser par l intermédiaire d un mécanisme d ppsitin facilement utilisable sur l ensemble des terminaux, des systèmes d explitatin, des applicatins et des navigateurs internet. Aucune infrmatin relative aux persnnes ayant décidé d exercer leur drit d ppsitin ne dit être cllectée et transmise à l éditeur de l util d analyse de fréquentatin ; La finalité du dispsitif dit être limitée à la mesure d audience du cntenu visualisé afin de permettre une évaluatin des cntenus publiés et de l ergnmie du site u de l applicatin. Les dnnées cllectées ne divent pas être recupées avec d autres traitements (fichiers clients u statistiques de fréquentatin d'autres sites par exemple). 7. AUTRES DISPOSITIONS APPLICABLES La CNIL rappelle également que l ensemble des dispsitins de la li infrmatique et libertés s appliquent dès lrs que des dnnées persnnelles directement u indirectement identifiantes snt traitées. Elle précise à cet égard, que : le drit d accès et d ppsitin dit puvir être exercé directement auprès de la régie publicitaire, du réseau scial u des éditeurs de slutins de mesure d audience ; les dnnées divent uniquement être cnservées pur une durée qui n excède pas celle nécessaire aux finalités pur lesquelles elles snt traitées ; les dispsitins relatives aux dnnées sensibles divent être respectées et qu une vigilance particulière dit être apprtée lrs du traitement de ces dnnées eut égard aux risques particuliers d atteinte à la vie privée et à leur caractère sensible (ex : sites relatifs à la santé, sites d assciatins ntamment plitiques u religieuses, etc.) EN BREF L utilisatin du Ckie dépsé dit également être strictement cantnnée à la prductin de statistiques annymes. Sa prtée dit être limitée à un seul éditeur et ne dit pas permettre le suivi de la navigatin de la persnne utilisant différentes applicatins u naviguant sur différents sites internet ; L utilisatin de l adresse IP pur gélcaliser l internaute ne dit pas furnir une infrmatin plus précise que la ville. Cette adresse IP dit également être supprimée u annymisée une fis la gélcalisatin effectuée, pur éviter tute autre utilisatin de cette dnnée persnnelle u tut recupement avec d autres infrmatins persnnelles. Pur la CNIL : Sauf exceptin, les ckies ne peuvent être dépsés u lus sur le terminal d un internaute qu avec sn cnsentement. L internaute dit bénéficier d une infrmatin visible, cmplète et rédigée en termes simples et cmpréhensibles par tus. Le cnsentement préalable de la persnne dit se manifester par le biais d une actin psitive. La prcédure de recueil du cnsentement se dérule en deux étapes. La durée de vie des ckies dit être limitée à 13 mis. Des dispsitins particulières s appliquent aux ckies de mesures d audience. Les infrmatins et pinins cntenues dans cette lettre d infrmatin ne prétendent pas à l exhaustivité et ne peuvent pas se substituer à un avis spécifique rendu au vu d une situatin particulière

5 POSITION DU GROUPE DE TRAVAIL DE LA COMMISSION EUROPEENNE «G29» Cnscient du cntexte d explitatin et d utilisatin mndialisé des sites internet, réseaux sciaux et autres applicatins mbiles, le grupe de travail de la cmmissin eurpéenne sur la prtectin des dnnées persnnelles s est penché sur la questin du recueil du cnsentement en matière de ckies, en délivrant des cnseils à destinatin des pérateurs de sites internet. Ce guide - mins détaillé que celui adpté par la CNIL - furnit tutefis les principes généraux applicables au sein des pays membres de l Unin Eurpéenne. La recmmandatin du G29 part, en effet, du cnstat que le principe du recueil du cnsentement de l utilisateur pur l utilisatin et le stckage de ckies, impsé par la Directive 2002/58/EC sur la prtectin de la vie privée dans le secteur des cmmunicatins électrniques, a dnné lieu à des divergences d interprétatin, ainsi qu à des mises en œuvre variées seln les pérateurs de sites internet à travers les états membres de l Unin Eurpéenne. Dans sa recmmandatin, le grupe de travail furnit dnc des précisins sur la mise en œuvre de mécanismes de recueil du cnsentement valables dans l ensemble des pays membres de l Unin Eurpéenne en indiquant, au travers de 4 axes principaux, les cnditins nécessaires à la validité du cnsentement : 1. INFORMATION SPECIFIQUE Seln le G29, pur être valide le cnsentement dit être spécifique et basé sur une infrmatin apprpriée. Ceci signifie que l pérateur du site internet dit mettre en place un mécanisme furnissant une mise en garde claire, cmplète et visible sur l utilisatin faite des ckies, et ceci au mment et à l endrit ù le cnsentement est recueilli, ntamment sur la page ù l utilisateur débute sa navigatin internet. En d'autres termes, le cnsentement général, sans précisin quant au but exact du traitement péré n'est pas valable. Il est précisé que l utilisateur dit être en mesure : d accéder aux infrmatins nécessaires sur les différents types de ckies utilisés ainsi que leur finalité ; de savir si des ckies snt placés par des tiers u si des tiers accèdent aux dnnées cllectées par les ckies ; caractéristiques standards et tutes autres infrmatins techniques ; de cnnaître les myens à sa dispsitin pur accepter tut u partie des ckies et la manière de mdifier ses préférences dans le futur. 2. CONSENTEMENT PREALABLE Le G29 précise que le cnsentement de l utilisateur dit être dnné avant que le traitement des dnnées ne cmmence, autrement dit avant que les ckies ne sient mis en place u lus. En cnséquence, l pérateur du site internet dit mettre en place une prcédure de recueil du cnsentement à travers laquelle aucun ckie n est mis en place avant que l utilisateur ne manifeste sa psitin vis-à-vis des ckies. 3. FORME DU CONSENTEMENT Seln le G29, les utils de recueil du cnsentement peuvent prendre différentes frmes, et ntamment d écrans de démarrage, de bannières, de bite de dialgues, vire même résulter des paramètres du navigateur (dans ce dernier cas, le cnsentement n est valablement btenu que dans le cas ù l utilisateur en a été pleinement infrmé et a cnfiguré activement sn navigateur). Le cnsentement dnné ne dit pas être ambigu et ne dit laisser aucun dute quant à l intentin de la persnne cncernée. Il est précisé que le cnsentement dit résulter d une actin psitive u d un cmprtement actif, qui dit se manifester après que l utilisateur ait été infrmé de ce que représentait sn actin (par exemple en cliquant sur un butn u un lien u en cchant une case à l endrit ù l infrmatin relative aux ckies est présentée). A cet effet, l infrmatin présente sur le site internet ne dit pas disparaître tant que l utilisateur n a pas manifesté sn cnsentement. Il ajute également que le fait de cliquer sur un lien «plus d infrmatin à prps des ckies» ne manifeste pas le cnsentement de l utilisateur. De la même manière, l absence de cmprtement ne peut pas être analysée cmme un cnsentement valable (par exemple, le fait de rester sur la page peut difficilement être interprété cmme un cnsentement dnné sans ambiguïté). de cnnaître la durée de cnservatin (c est-àdire la date d expiratin du ckie), les Les infrmatins et pinins cntenues dans cette lettre d infrmatin ne prétendent pas à l exhaustivité et ne peuvent pas se substituer à un avis spécifique rendu au vu d une situatin particulière

6 4. CONSENTEMENT LIBRE Enfin, le G29 précise que le mécanisme de recueil du cnsentement chisi dit présenter à l'utilisateur un chix réel et significatif en ce qui cncerne ckies, et qu il n y ait pur ce dernier aucun risque de déceptin, trmperie, intimidatin, cercitin u de cnséquences négatives imprtantes s il ne cnsent pas. A cet effet, le G29 recmmande aux pérateurs de sites internet de chisir un mécanisme permettant de mduler l intentin de l internaute quant aux ckies, et nn un mécanisme général permettant seulement d accepter tus les ckies. L'utilisateur dit puvir chisir librement entre la pssibilité d'accepter u de refuser certains u tus les ckies, et dit cnserver la pssibilité de mdifier ces paramètres dans le futur. Il est également précisé au sein de cette recmmandatin que les pérateurs de sites internet ne peuvent pas cnditinner l accès général au site internet à l acceptin de l ensemble des ckies, mais peuvent par cntre limiter l accès à certains cntenus si l utilisateur n a pas accepté les ckies. De la même manière, le G29 rappelle que les dnnées traitées divent être adéquates, pertinentes et nn excessives au regard des finalités pur lesquelles elles snt cllectées et/u traitées ultérieurement. Ainsi, il précise que si certains ckies ne snt pas nécessaires au regard de la finalité de la prestatin prpsée par le site internet, mais furnissent à l explitant du site internet des avantages supplémentaires, alrs l'utilisateur dit être à même d exprimer un véritable chix en ce qui cncerne ces ckies. Pur le G29, les types de ckies puvant être cnsidérés cmme disprprtinnés par rapprt à l'bjet du site peuvent varier en fnctin du cntexte. Il estime par exemple que le cnsentement à des ckies nn nécessaires purrait être cnsidéré cmme disprprtinné dans le cas de sites internet furnissant certains services que l utilisateur n a que peu u pas de chix d utiliser, parce que dans ce cas précis, l utilisateur n a pas véritablement le chix cncernant l utilisatin des ckies (c est seln lui le cas des sites internet des services publics). USA : GOOGLE CONDAMNE A VERSER 17 MILLIONS DE DOLLARS POUR QUELQUES COOKIES Entre juin 2011 et février 2012 Ggle a cnturné les paramètres du navigateur d Apple (Safari) qui blque par défaut les ckies tiers. Ggle a ainsi placé des ckies de pistage publicitaires à l insu des utilisateurs, permettant de suivre leurs navigatins sur le web afin de leur adresser de la publicité ciblée (les revenus publicitaires représentent pur Ggle 92% de ses revenus). Cette pratique avait déjà été sanctinnée par la Federal Trade Cmmissin qui avait alrs cndamné Ggle à une amende de 22,5 millins dllars. Cette fis-ci trente-huit états américains avaient décidé de pursuivre Ggle pur vilatin de la vie privée des internautes. Afin de mettre un terme à ce litige, Ggle a accepté de verser 17 millins dllars. Ggle s est également engagé à amélirer l infrmatin des internautes afin que ces derniers apprennent à cntrôler les ckies de tracking. EN FRANCE AUSSI La CNIL a prnncé le 3 janvier 2014 une sanctin pécuniaire de eurs à l encntre de Ggle, ntamment pur vilatin des dispsitins de la li infrmatique et libertés sur les ckies. P.D.G.B Sciété d Avcats 174, avenue Victr Hug Paris Tél. : 00 (33) Hélène LEBON Sandra TUBERT Enfin, il précise que les utilisateurs de sites internet devraient également puvir exprimer un véritable chix cncernant l utilisatin des ckies de traçage, ceux généralement utilisés pur suivre les cmprtements d un individu sur les différents sites internet, créer des prfils basés sur ces cmprtements, en déduire des centres d intérêts et prendre ainsi des décisins affectant persnnellement un individu. Les infrmatins et pinins cntenues dans cette lettre d infrmatin ne prétendent pas à l exhaustivité et ne peuvent pas se substituer à un avis spécifique rendu au vu d une situatin particulière