Droit&expertise

Droit De L’internet

Cookies sur internet : un nouvel avis du G29 pour une meilleure information et une protection harmonisée des internautes au sein de l’union européenne

Le 2 octobre 2013, le G291 a adopté un nouvel avis sur le mode d’obtention du consente-

ment en cas d’utilisation de cookies2 par des sites Internet. Pour rappel, si la directive «ePrivacy», modifiée en 20093, pose le principe du recueil du consentement de l’utilisateur pour l’utilisation et le stockage de cookies, force est de constater que les pays membres de l’Union européenne n’ont pas mis en œuvre ce principe de la même manière et des disparités importantes existent entre les différents opérateurs concernant les mécanismes mis en place pour recueillir ce consentement.La CNIL a ainsi adopté une position assez conser-vatrice en exigeant que les sites Internet infor-ment les internautes et recueillent leur consen-tement préalablement à toute mise en œuvre de cookies (sauf exceptions)4. Par contraste, l’autorité de protection anglaise a récemment modifié son propre mode de recueil du consentement des cookies sur son site. Depuis janvier, ce site affiche une bannière informant les utilisateurs de l’utilisation de cookies et du fait qu’en continuant sa navigation, l’internaute mani-feste son accord (opt-in), tout en fournissant un lien vers sa politique d’utilisation des cookies qui offre un mécanisme d’opt-out.Dans ce contexte, l’avis du G29 est bienvenu, puisqu’il donne des lignes directrices destinées aux exploitants de sites Internet afin que leurs pratiques soient conformes aux exigences du droit européen. Quatre points sont évoqués dans cet avis.

une information spécifiquePour le G29, le site doit afficher un avis clair et complet sur la page où l’utilisateur démarre une session de navigation. Cette information doit inclure : la finalité des cookies, si des cookies sont

placés par des tiers ou si des tiers accèdent aux données collectées par les cookies, la durée de conservation des cookies ou tout autre informa-tion technique. L’utilisateur doit être informé de la manière dont il peut accepter tout ou partie des cookies et comment il peut modifier ses préférences dans le futur. Cette opinion du G29 rejoint celle de la CNIL qui exige un consente-ment «libre», «spécifique» (portant sur un cookie précis associé à une finalité clairement définie) et «informé» (information préalable précisant la finalité du cookie et la possibilité d’opposition

ultérieure).

un consentement préalableLe G29 indique que le consentement de l’uti-lisateur doit être donné avant que le traitement de données ne commence, c’est-à-dire avant que les cookies ne soient mis en place ou lus. Cette exigence est là encore

similaire aux exigences de la CNIL et aux dispo-sitions de l’article 32 II de la loi Informatique et Libertés du 6 janvier 1978 modifiée.

un comportement actif de l’utilisateur Le G29 indique que les mécanismes de consen-tement peuvent notamment prendre la forme d’écrans de démarrage, de bannières, de boîtes de dialogue ou résulter des paramètres du navi-gateur. Toutefois, l’opérateur ne peut s’appuyer sur le paramétrage du navigateur que dans le cas où l’opérateur peut être assuré que l’utilisateur a été pleinement informé et a «activement confi-guré» son navigateur, ce qui ne pourra s’appliquer que dans certaines circonstances. Le G29 semble là encore reprendre la position exprimée par la CNIL sur les différents mécanismes de recueil du consentement et rejoint les sérieuses réserves qu’elle avait exprimées sur l’utilisation des para-

8�����Mercredi 30 octobre 2013

Par Béatrice Delmas-Linel, avocat,

et Grégoire Dumas, avocat,Osborne Clarke

L’utilisateur doit être

informé de la manière

dont il peut accepter tout

ou partie des cookies et

comment il peut modifier

ses préférences dans le

futur.

Mercredi 30 octobre 2013 �����9

mètres du navigateur comme modalité de recueil du consentement5. Le G29 insiste sur l’idée que le consentement doit être fondé sur une conduite active de l’utilisateur, par exemple cliquer sur un bouton ou une case à cocher. Le G29 ajoute que si l’utilisateur se contente de rester sur la page d’accueil du site sans autre comportement actif, il est alors difficile de considérer que le consente-ment a été donné.

un vrai choix – un consentement donné librementPour le G29, le mécanisme de recueil du consen-tement doit être «réel» et «significatif». Le G29 recommande que les utili-sateurs aient le choix de consentir soit à la tota-lité, soit simplement à certains cookies spéci-fiques. Ceux-ci doivent également pouvoir modi-fier leurs paramètres rela-tifs aux cookies par la suite. La CNIL tend ainsi à valider les mécanismes de consentement par catégorie ou finalité de cookies. En outre, le G29 indique que les opérateurs de site Web ne doivent pas conditionner un «accès général» sur le site au consentement des cookies. Seuls certains contenus du site doivent être limités en pareil cas. Par exemple, le G29 indique que pour les sites de e-commerce, dont le but principal est de vendre des produits, «ne pas accepter les cookies (non fonctionnels) ne devrait pas empêcher un utilisa-teur d’acheter des produits sur ce site». Sur ce point, le G29 va un petit peu plus loin et complète les positions officielles prises par la CNIL à ce jour. Toutefois, on peut se demander quel site refuserait à ses visiteurs d’acheter ses produits ou services s’il refuse ses cookies, surtout que les cookies «strictement nécessaires à la fourni-ture d’un service de communication en ligne à la demande expresse de l’utilisateur6» ne sont pas concernés par le principe de l’information et du consentement préalable.En outre, l’utilisateur doit être à même d’exprimer un véritable choix en matière de cookies «non-nécessaires» à la fourniture des services offerts

par le site Web et en matière de tracking cookies, généralement utilisés «pour suivre le comporte-ment d’un individu sur différents sites, créer des profils basés sur ce comportement, en déduire des centres d’intérêts et prendre des décisions affectant individuellement ces individus». Cette précision complète là encore les recommanda-tions de la CNIL sans les contredire.

En conclusion, le G29 prône la mise en place de mécanismes d’informa-tion préalable et de recueil du consentement assez lourds, ce qui non seule-ment conforte la position de la CNIL, mais devrait tendre à harmoniser les positions des autorités nationales chargées de la protection des données personnelles dans les diffé-rents Etats membres. Les opérateurs seront dès lors bien avisés de revoir leurs procédures et mécanismes

actuels, dans une démarche tant de conformité que de différenciation sur le marché, même s’il est clair que ceci les conduira le plus souvent à modifier substantiellement les pratiques en vigueur et risque d’affecter la fluidité de la navi-gation des internautes sur les différents sites Internet. n

1.Groupe de travail à caractère consultatif et indépendant fondé sur l’article 29 de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données.2. Disponible à l’adresse : http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2013/wp208_en.pdf.3. Directive 2002/58 du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques) modifiée par la directive 2009/136 du 25 novembre 2009.4. Voir la fiche pratique de la CNIL intitulée «Ce que le Paquet Telecom change pour les cookies» du 26 avril 2012 disponible à l’adresse suivante : http://www.cnil.fr/documentation/fiches-pratiques/fiche/article/ce-que-le-paquet-telecom-change-pour-les-cookies/.5. Voir infra la fiche pratique de la CNIL intitulée «Ce que le Paquet Telecom change pour les cookies».6. Article 32 II de la loi n° 78-17 du 6 janvier 1978 modifiée, issue de l’article 5, § 3, de la directive 2002/58/CE telle que modifiée par la directive 2009/136/CE.

Droit&expertise

Le G29 indique que pour

les sites de e-commerce,

dont le but principal est

de vendre des produits,

«ne pas accepter les

cookies ne devrait pas

empêcher un utilisateur

d’acheter des produits sur

ce site».