Xi Ingénierie. La performance technologique au service de votre e-commerce. Comment exploiter les cookies sur vos applications web en toute légalité?

Transcription

1 Xi Ingénierie La performance technologique au service de votre e-commerce Comment exploiter les cookies sur vos applications web en toute légalité? Copyright 2012 Xi Ingénierie Toute reproduction ou diffusion sans notre accord est interdite SARL au capital de ,00 - RCS TOULOUSE SIRET

2 Xi Ingénierie a le plaisir de vous proposer ce document qui, nous l espérons, répondra à vos questions. Si toutefois vous souhaitez obtenir plus d informations, n hésitez pas à nous contacter via notre site web : Xi Ingénierie, créée en 2004, est partenaire Magento depuis l origine (Magento Gold Solution Partner). Notre offre met en œuvre notre forte expertise technique : Création de sites e-commerce avec Magento Refonte de sites vers Magento Adaptation de Magento pour la vente interentreprises (B to B) Connexion des sites e-commerce avec les ERP (PGI) Audit de sites e-commerce & co-développement Bonne lecture! 1

3 Table des matières 1 INTRODUCTION QU EST-CE QU UN COOKIE? QUEL EST LE CADRE LEGAL EN FRANCE? ACCEPTATION PREALABLE DE L UTILISATEUR NOTIFICATION DE VIOLATION CAS SPECIFIQUE DE LA MESURE D AUDIENCE EXEMPLES D UTILISATION DES COOKIES GESTION DE LA SESSION UTILISATEUR PANIER ET TUNNEL D ACHAT CONNEXION A UN COMPTE CLIENT BANNIERES PUBLICITAIRES INSERTION D UN COOKIE PAR UN TIERS COMMENT OBTENIR L ACCORD DE L UTILISATEUR? CONSEQUENCES SUR L UTILISATION DES SITES GESTION DES COOKIES DEPUIS LE NAVIGATEUR SOURCES

4 1 INTRODUCTION Difficile d imaginer le web sans l utilisation des cookies. Ces petits marqueurs permettent aux applications de fournir le service qu en attendent leurs utilisateurs. Mais les dérives sur l exploitation des données collectées ont rapidement été identifiées et il a fallu trouver des parades. En tant qu exploitant de services web, il n est pas toujours facile d y voir clair et, surtout, de savoir comment mettre en œuvre les outils pour rester dans la légalité. Nos experts ont donc fait le point sur le sujet et vous propose un document de synthèse qui, nous l espérons, vous permettra d optimiser la gestion des cookies dans votre activité. 2 QU EST-CE QU UN COOKIE? Un cookie est un outil technique permettant de stocker des informations dans l équipement terminal (ordinateurs, tablettes, smartphones, etc.) afin de les exploiter ultérieurement. Cela permet par exemple de suivre l activité de l utilisateur sur un site et de conserver les données liées à ce qu il y fait (connexion à son compte, alimentation d un panier sur un site e-commerce, etc.). Tous les navigateurs web savent gérer les cookies avec un degré de paramétrage plus ou moins avancé. Déposer un cookie consiste à coller une sorte d étiquette sur le terminal de l utilisateur. Si cette étiquette contient un numéro d identification unique, le site pourra utiliser cet identifiant pour distinguer un internaute d un autre, et donc le reconnaître d une visite à l autre. Un cookie contient très peu d éléments : un nom, qui est une sorte d identifiant, défini par le service internet ; un contenu, une valeur rarement compréhensible par l utilisateur ; un hôte, qui définit le serveur qui manipule le cookie ; un chemin, qui permet de limiter l utilisation du cookie au sein de l hôte ; une expiration, qui définit la durée de vie du cookie sur le terminal. Voici un exemple de cookie : Nom : PHPSESSID Contenu : 2hir204uo8q6q4mr7moh76p574 3

5 Hôte : Expiration : à la fin de session Ce cookie est du type «cookie de session». Il est nécessaire pour que l application fonctionne et délivre le contenu attendu. Il sera inutilisable après la destruction de la session de l utilisateur. PHPSESSID permet à l application de reconnaître le cookie de session stocké sur le terminal, de récupérer ces éléments, de le mettre à jour ou de le détruire. Son contenu est une simple chaîne de caractère stockée également sur le serveur pour faire le lien entre le navigateur web et les contenus de l utilisateur sur le serveur. Très souvent, le cookie n est donc qu une étiquette qui ne stocke aucune donnée personnelle ou confidentielle, mais permet au serveur de retrouver les données les données personnelles ou confidentielles dans son référentiel (base de données, fichiers, services tiers, etc.). Par extension, d autres dispositifs techniques sont considérés comme des cookies et donc concernés par les obligations légales, par exemple les cookies Flash ("Local Shared Objects") ou le stockage local de contenu et d activité ("Document Object Model"). 3 QUEL EST LE CADRE LEGAL EN FRANCE? L utilisation des cookies est encadrée par la loi n du 6 janvier 1978 (Informatiques, Fichiers et Libertés) et précisée par la directive 2009/136 du 25 novembre 2009 (surnommée "Paquet Télécom"), appliquée par l ordonnance du 24 août Le «Paquet Télécom» contient la transcription en droit français de deux directives européennes (2002/58/EC et 2009/136/EC) concernant la gestion des cookies. Chaque pays européen respecte donc cette directive, avec quelques nuances qu il convient d analyser au cas par cas. 4

6 3.1 Acceptation préalable de l utilisateur Depuis le 24 août 2011, l utilisation des cookies est soumise à l acceptation systématique de l utilisateur (ce principe est nommé "opt-in" dans le jargon e- commerce). L opérateur du service web (responsable du traitement des données personnelles) doit apporter des informations "claires et complètes" sur l exploitation des cookies avant que l utilisateur n accède au service. Il faut notamment décrire la finalité de chaque cookie et les moyens de s opposer à leur exploitation. Avant le 24 août 2011, les utilisateurs pouvaient s opposer à l exploitation des cookies, mais a posteriori. Le changement est simple, mais radical car il impose une étape de validation de l utilisateur avant de bénéficier du service. Il existe cependant deux exceptions : les cookies qui ont pour «finalité exclusive de permettre ou faciliter la communication par voie électronique» ; les cookies qui sont «strictement nécessaires à la fourniture d un service expressément demandé par l internaute». Dans ces cas, l exploitation des cookies est autorisée sans accord préalable de l utilisateur. En pratique, les cookies suivants ne sont pas concernés par l accord préalable (liste non exhaustive) : cookies utilisés pour conserver un panier d achat sur un site marchand ; cookies de session utilisateur permettant de lier les actions d un utilisateur lors d une même session pour lui fournir le service qu il demande ; cookies qui ont pour unique finalité de contribuer à la sécurité du service (gestion de la connexion au compte client, par exemple) ; cookies permettant de gérer les particularités locales liées à l utilisateur (langue, devise, format d affichage, etc.) ; cookies Flash contenant des éléments strictement nécessaires au fonctionnement d un lecteur de média, correspondant à un contenu demandé par l utilisateur. On notera que ces cookies ont une durée de vie très courte (quelques secondes à quelques dizaines de minutes). Si une information préalable n est pas nécessaire pour ce type de cookie, il est néanmoins recommandé par la CNIL de fournir une information sur leur utilisation dans la politique de confidentialité du site web. Pour les autres cookies, il est de la responsabilité de l exploitant de mettre en place les outils de son choix pour respecter ses obligations. Mais, dans tous les cas, il doit 5

7 intégrer et décrire les dispositions imposées par la loi et l ordonnance dans les conditions d utilisation du service. Les conditions d exploitation des cookies doivent être expressément acceptées par l utilisateur. Un accord tacite est donc interdit. Cette acceptation conditionne «toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement». Notons que les cookies qui ne contiennent pas réellement de données personnelles, mais simplement des informations techniques (identifiant interne, code de tracking, date, etc.) restent concernés et doivent donc obtenir l acceptation de l utilisateur. 3.2 Notification de violation En cas de violation de données personnelles (violation susceptible de porter atteinte aux données personnelles ou à la vie privée de l utilisateur ou d une autre personne physique), l exploitant du service doit en notifier l utilisateur «sans délai». Les cas de violation sont multiples, mais on peut citer : la divulgation l accès non autorisé par un tiers l altération la destruction la perte Les données concernées par cette obligation de notification sont celles traitées dans le cadre de la «fourniture de services de communications électroniques ouverts au public» (fournisseurs «prenant en charge les dispositifs de collecte de données et d identification»). La notification doit être adressée à la fois à la CNIL et aux utilisateurs concernés. Une exception existe : la notification n est pas nécessaire si des mesures de protection appropriées ont été mises en œuvre (par exemple, données inexploitables car cryptées). Pour cela, l efficacité des mesures de protection doivent être constatées par la CNIL qui peut imposer d informer les utilisateurs concernés en cas de défaut. La notification doit comprendre les éléments suivants : - nature de la violation de données personnelles ; 6

8 - contacts pour l obtention d informations complémentaires ; - mesures mise en œuvre ou à adopter pour limiter les conséquences de la violation. La notification faite à la CNIL doit également comporter une description des conséquences potentielles (voire réelles) de la violation. Chaque violation doit être consignée dans un inventaire, mis à disposition de la CNIL : description de la violation ; conséquences réelles ; mesures mise en œuvre. Le défaut de notification peut être lourdement sanctionné : peine pouvant aller jusqu à 5 ans de prison et d amende. 3.3 Cas spécifique de la mesure d audience Une des utilisations les plus fréquentes des cookies est la mesure d audience de sites. Parmi les indicateurs-clés, figure celui du suivi des sessions utilisateurs et de la traçabilité complète sur le long terme des actions d un utilisateur. Un cas évidemment «limite»! La CNIL propose donc un cadre très précis pour utiliser les cookies avec les outils de mesure d audience. Les statistiques de fréquentation permettent aux éditeurs de détecter des problèmes de navigation dans leur site ou encore de mettre en avant certains contenus particulièrement demandés par les internautes. Le but est donc bien d optimiser le service proposé aux utilisateurs. Compte tenu de la finalité spécifique de ces cookies et du risque très limité sur la protection de la vie privée, la CNIL a décidé de considérer que ces cookies pouvaient être mis en œuvre sans avoir reçu le consentement préalable des personnes concernées. 7

9 En contrepartie, il est nécessaire de respecter certaines conditions : Une information claire et complète de l internaute doit être délivrée par l éditeur du site internet afin d assurer une parfaite transparence sur l utilisation des outils d analyse de fréquentation. Un lien vers cette information devrait être présent sur la page d accueil du site, qui peut ensuite être détaillée précisément dans les conditions générales d utilisation, par exemple. La personne doit pouvoir exercer son droit d accès. Concernant le droit d opposition, l outil permettant de désactiver la traçabilité mise en œuvre par l outil d analyse de fréquentation doit remplir a minima plusieurs caractéristiques, notamment celles d un accès et d une installation aisés pour tous les internautes sur l ensemble des terminaux (y compris les smartphones), des systèmes d exploitation et des navigateurs internet. De plus, aucune information relative aux internautes ayant décidé d exercer leur droit d opposition ne doit être transmise à l éditeur de l outil d analyse de fréquentation. La finalité du dispositif doit être limitée à la mesure d audience des pages du site internet, afin de permettre une évaluation des contenus publiés et de l ergonomie du site, sans pour autant permettre l identification des personnes. Les données collectées ne doivent donc pas être recoupées avec d autres traitements (fichiers clients ou statistiques de fréquentation d autres sites par exemple). L utilisation du cookie déposé doit également être strictement cantonnée à la production de statistiques anonymes. Sa portée doit être limitée à un seul éditeur et ne doit pas permettre le suivi de la navigation de l internaute sur les sites d éditeurs distincts. L utilisation de l adresse IP pour géolocaliser l internaute ne doit pas être plus précise que l échelle de la ville. Cette adresse IP doit également être supprimée ou anonymisée une fois la géolocalisation effectuée, pour éviter toute autre utilisation de cette donnée personnelle ou tout recoupement avec d autres informations personnelles. Les informations doivent être conservées pendant une durée non excessive. S agissant des cookies permettant la traçabilité des internautes, ils ne doivent pas être conservés au-delà de six mois (la date d expiration du cookie ne doit donc pas excéder six mois à partir de sa première insertion et cette durée ne doit pas être prorogée lors des nouvelles visites). Les données de fréquentation brutes associant un identifiant (adresse IP par exemple) ne doivent pas être conservées plus de six mois. Au-delà de ce de délai, les données doivent être soit supprimées, soit anonymisées. 8

10 4 EXEMPLES D UTILISATION DES COOKIES Sur le terrain, il n est pas toujours simple d identifier la limite entre l exploitation légale et illégale d un cookie. Voici donc quelques exemples d application. 4.1 Gestion de la session utilisateur Par un cookie de session, l application web peut suivre le parcours de l utilisateur et adapter les fonctionnalités et le contenu. La majorité des applications web ont besoin de ce cookie pour apporter le service au client : contenus personnalisés, gestion de l authentification, sécurisation des échanges, actions en plusieurs étapes, etc. Ce cookie purement technique n est pas soumis à accord préalable. 4.2 Panier et tunnel d achat Sur un site e-commerce, les actions faites sur la catalogue produits, le panier et le tunnel d achat sont considérées comme un parcours technique. Les cookies spécifiques associés (gestion de panier, étape de commandes, etc.) sont donc considérés comme des cookies de session, non soumis à accord préalable. 4.3 Connexion à un compte client Sur un site web, notamment e-commerce, les données personnelles sont essentiellement visibles dans le compte utilisateur ou compte client. Cependant, le cookie qui identifie l utilisateur connecté reste un cookie technique de session. Il n est donc pas soumis à accord préalable. 4.4 Bannières publicitaires L affichage d une bannière ne nécessite pas forcément la création d un cookie (tirage aléatoire de bannières, par exemple). Le cookie devient utile pour personnaliser les bannières en fonction du profil du visiteur. Les cookies concernés sont soumis à accord préalable. Dans le cas où le cookie est inséré par un tiers (publicité insérée par une régie publicitaire, par exemple), l information et le consentement n ont pas à être réalisés deux fois. Ainsi, si la régie publicitaire fournit l information et recueille le consentement de l internaute, le site internet sur lequel la publicité est diffusée n a pas à répéter cette opération. L application technique d une telle obligation reste très complexe aujourd hui, avec les 9

11 outils à disposition sur le marché. Elle nécessite une relation très claire et précise entre régie et support pour définir les responsabilités et gérer les cas conflictuels (notification de violation, demande de retrait, refus d accord, etc.). Concernant la description de la finalité du cookie, la loi, nous l avons vu, impose d être clair. Le texte «Publicité» ne suffit pas, il faut par exemple afficher : «Création de profil d utilisateurs afin d adresser des publicités ciblées». 4.5 Insertion d un cookie par un tiers Lorsque le cookie est inséré par un tiers, c est la responsabilité de l exploitant du site qui est engagée! Il faut donc être particulièrement vigilent sur le fonctionnement technique des outils intégrés à un site web. Cela concerne notamment les services des régies publicitaires, d outils de tracking comme Google Analytics, de partage d informations via Facebook, Twitter, de plates-formes d affiliation, etc. 5 COMMENT OBTENIR L ACCORD DE L UTILISATEUR? Pour résumer les points précédents : L utilisateur doit avoir le libre choix d accepter un cookie. Chaque cookie doit être soumis à acceptation. La finalité de chaque cookie doit être clairement décrite. Il faut donc : 1. Informer l internaute 2. Demander son accord 3. Obtenir son accord En pratique, comment mettre les outils en place pour y arriver? La plupart du temps, la première requête de l utilisateur sur un site déclenche l affichage d une zone dédiée à la demande d accord. Un fois cet accord obtenu ou refusé, le site ne propose plus cette zone. 10

12 Exemple simple d acceptation d un cookie concernant la gestion des bannières publicitaires gérées par Google sur un site web. Autre exemple plus élaboré : un simple bandeau s affiche en haut de page. Si l utilisateur veut plus de détails, il les obtient facilement. L outil propose la liste des cookies concernés et un accès vers la politique de gestion 11

13 des cookies et données personnelles. Certaines solutions web intègrent désormais cette contrainte d accord des cookies. C est le cas notamment de Magento, depuis les versions Enterprise Edition 1.12 et Community Edition 1.7. Affichage de la demande d acceptation des cookies par Magento. Pour la petite anecdote, il est préférable d éviter d utiliser un cookie pour stocker le refus de l utilisateur d exploiter des cookies! La loi ne l interdit pas, puisqu il s agit d un cookie technique lié au fonctionnement du service lors d une session, mais l utilisateur peut avoir du mal à saisir la subtilité, même si elle est clairement décrite dans les conditions d utilisation du service. 6 CONSEQUENCES SUR L UTILISATION DES SITES Certains acteurs d internet ont alerté les autorités sur les risques de baisse d activité liée à la mise en place de l accord préalable sur les sites. L application de la directive ne s est pas accompagnée d une communication auprès du grand public. Le risque est un refus systématique de l utilisateur, face à une question technique qu il ne maîtrise pas, avec les conséquences sur l utilisation du service (dégradation fonctionnelle, accès impossible) qui pénalise l utilisateur. L implémentation de la demande d accord doit donc être réalisée avec soin, notamment sur les sites e-commerce, pour ne pas perdre de trafic ou de transactions. Une autre conséquence concerne les services tiers, notamment les régies publicitaires et outils marketing, qui ne peuvent plus assurer leurs services sans cookies. La perte de chiffre d affaires peut alors être très importante pour eux. La loi impose un cadre qu il n est pas toujours simple d appliquer (manque d outils, manque de recul, manque d information). C est pourquoi peu de sites français demandent l accord préalable sur les cookies, alors que la directive est appliquée depuis août Cependant, elle permet d assurer la pérennité des outils de tracking, tout en garantissant le respect de la vie privée. Un objectif qu il était nécessaire d encadrer, tant les dérives se multipliaient ces derniers années. 12

14 7 GESTION DES COOKIES DEPUIS LE NAVIGATEUR Certains navigateurs peuvent être configurés pour alerter systématiquement l utilisateur sur la création d un cookie. A l inverse, ils peuvent aussi ne jamais alerter l utilisateur, voire l alerter quand il consulte certains sites seulement. Ces fonctionnalités ne peuvent cependant pas remplacer les obligations de l exploitant du site pour plusieurs raisons : le navigateur ne décrit pas la finalité du cookie ; l exploitant ne peut pas vérifier la configuration du navigateur ; la configuration ne sait pas distinguer les types de cookies ; la configuration n est pas toujours simple à mettre en œuvre par l utilisateur. 13

15 8 SOURCES guide/~/media/documents/library/privacy_and_electronic/practical_appli cation/cookies_guidance_v3.ashx -Guidance on the rules on use of cookies and similar technologies 14

16 Besoin d informations supplémentaires sur l e-commerce? Mail: contact@x2i.fr Tel : (+33) Fax : (+33) impasse de la flambère Toulouse 15