Cookies : Point de situation sur les lignes directrices de la CNIL

Comme vous le savez, le consentement aux cookies est un sujet prioritaire pour la CNIL. Depuis le 4 juillet 2019, un simple bandeau indiquant l'utilisation de cookies ne suffit plus. En 2020, la CNIL a poursuivi ses travaux malgré un calendrier perturbé par la crise sanitaire que nous connaissons. Dans cet article, nous reviendrons sur ces bouleversements ainsi que sur la nouvelle et récente décision du Conseil d'État sur le sujet. 

⚠️UPDATE - Cet article n'est pas le dernier que nous avons publié sur le sujet  Vous aimerez certainement notre article : CNIL et Cookies : nouvelles lignes directrices 2020/2021 [+Template]

Pour mémoire, le 4 juillet 2019,  la CNIL a adopté des lignes directrices sur les cookies et autres traceurs précisant les règles applicables depuis l'entrée en vigueur du RGPD.

Dans un précédent article, nous avions déjà décrit ces règles et la position du Conseil d'Etat sur le calendrier de la CNIL sur ce thème.

Depuis cet article, la CNIL a publié un projet de recommandation et lancé une consultation publique. Le Conseil d'Etat, quant-à-lui, s'est prononcé sur les lignes directrices et l'interdiction des cookie walls en leur sein.

I. Le calendrier de la CNIL et le projet de recommandation « cookies et autres traceurs »

Lors de la communication de ses lignes directrices sur les « cookies et autres traceurs », la CNIL avait annoncé une concertation préalable à l’écriture de recommandations de mise en œuvre des lignes directrices [1]. Elle prévoyait également le lancement début 2020 d’une consultation des professionnels et la société civile sur ces recommandations et, au printemps 2020, la publication de la version finale des recommandations.

En accord avec son agenda, le 14 janvier 2020, la CNIL a publié un « projet de recommandation sur les modalités pratiques de recueil du consentement (...) de la recommandation « cookies et autres traceurs ».

Ainsi, par exemple, la CNIL propose des textes d’informations type concernant l'information de l'internaute sur les finalités (art. 2.1 point 19).

Retrouvez ci-dessous les textes d'information types de la CNIL : 

• « Si le ou les traceurs sont utilisés afin d’afficher de la publicité personnalisée, cette finalité peut être décrite de la manière suivante :

  « Publicité personnalisée : [nom du site / de l’application] [et des sociétés tierces / nos partenaires] utilise / utilisent des traceurs afin d’afficher de la publicité personnalisée en fonction de votre navigation et de votre profil ».
  

• Si le ou les traceurs ne sont utilisés que pour afficher la publicité et mesurer son audience, sans la sélectionner sur la base de données personnelles, le responsable du traitement peut utiliser la formulation suivante :

  « Affichage de publicité : [nom du site/ de l’application] [et des sociétés tierces/ nos partenaires] utilise/ utilisent des traceurs dans le but d’afficher de la publicité [sur le site ou l’application], sans vous profiler ».

• Si la publicité est personnalisée en fonction de la géolocalisation précise (avec une précision supérieure à l’échelle d’une ville ou plus d’une décimale de précision dans la latitude/longitude) de l’utilisateur, cette finalité peut être décrite de la manière suivante :
  
  « Publicité géolocalisée : [nom du site/ de l’application] [et des sociétés tierces/ nos partenaires] utilise / utilisent des traceurs pour vous adresser de la publicité en fonction de votre localisation ».»

La CNIL a ensuite lancée une consultation publique sur ce projet, aujourd’hui close, pour recueillir l’avis des professionnels du secteur et de la société civile. La publication de la version définitive des recommandations était prévue pour début avril 2020.

Au regard de la situation sanitaire en cours (COVID-19), la CNIL a adapté son calendrier et reporté cette publication à une date indéterminée.

La CNIL a annoncé que les recommandations tiendront compte de la décision du Conseil d’Etat sur les lignes directrices et notamment sur les cookie walls.

[1] Ces recommandations n’auraient pas de valeur contraignante. Elles ont seulement pour objectif de proposer une traduction concrète des lignes directrices de la CNIL.

*Téléchargement gratuit*

II. La décision du Conseil d’Etat sur les lignes directrices et notamment sur les cookie walls

Par une décision du 19 juin 2020 (Nr. 434684), le Conseil d’Etat a validé la plupart des règles contenues dans les lignes directrices de la CNIL, sauf celles sur les cookie walls.

💡Pour rappel, le cookie wall consiste à donner l’impression aux internautes que leur consentement aux traceurs est obligatoire pour la poursuite de la navigation.

Dans ses lignes directrices de 2019, la CNIL avait prohibé cette pratique [2]. Le Conseil d'Etat a lui décidé que l'interdiction générale et absolue de la pratique des cookie walls n’avait pas sa place dans les lignes directrices de la CNIL et l’a annulée.

Cependant, le principe même de l'interdiction des cookie walls n’a pas été directement remis en cause par le Conseil d'Etat. Ce dernier a simplement considéré qu'une telle interdiction ne pouvait figurer dans des lignes directrices, qui sont un instrument de « droit souple », à l'inverse d’instruments contraignants tels que par exemple les lois et décrets.

[2] En accord avec :

- les lignes directrices du G29 sur le consentement
- les lignes directrices 05/2020 (point Nr. 39) du Comité européen de protection des données (CEPD) : « In order for consent to be freely given, access to services and functionalities must not be made conditional on the consent of a user to the storing of information, or gaining of access to information already stored, in the terminal equipment of a user (so called cookie walls)».

________________________________________________________

💡 Vous aimerez aussi : Garanties - Que peuvent exiger vos clients de votre part ?
________________________________________________________

👉 Dès lors, nos recommandations ne changent pas, pour rappel :

• Sur le fond :
  Dans l'attente de la publication de recommandations précises, il convient, en tout état de cause, d'informer l'utilisateur dès à présent et avant tout dépôt de cookies nécessitant un consentement.

• Sur la forme :
  L'utilisation d'une bannière ou d'un bandeau cookies n'est pas en soi une obligation. Il convient bien plus que chaque professionnel trouve le moyen adapté pour informer sur chaque cookie, recueillir le consentement, conserver la preuve du recueil de ce consentement et permettre son retrait (un outil de type consent manager par exemple). En outre, il convient d'actualiser la politique de protection des données à ce sujet.

Vous souhaitez mettre en place un jeu-concours ou une loterie pour vos clients ? Pour l'organiser en toute sérénité, il est indispensable que vous connaissiez les dispositions légales régulant ce sujet ! 👇