1.1 Les lignes directrices de la CNIL sur les cookies et autres traceurs rappellent le droit applicable aux opérations de lecture ou d’écriture dans le terminal (ordiphone, ordinateur, tablette, etc.) d’un internaute. Elles s’appuient notamment sur l’article 82 de la loi Informatique et Libertés, qui transpose l’article 5(3) de la directive 2002/58/CE dite « ePrivacy ». La recommandation associée a pour objectif de guider les professionnels dans leur démarche de mise en conformité, sans être prescriptive : elle fournit des exemples de modalités pratiques de recueil du consentement et de preuve de ce consentement, ainsi que des exemples d’interfaces et de bandeaux cookies.
1.2 Les lignes directrices du 4 juillet 2019 ont été ajustées pour tenir compte de la décision du Conseil d’État du 19 juin 2020. Par rapport à la recommandation de 2013, l’entrée en application du RGPD (25 mai 2018) a clarifié les conditions d’obtention du consentement et la nécessité d’en démontrer le recueil. Désormais, la simple poursuite de la navigation ne peut plus être considérée comme une expression valide du consentement : le consentement doit être un acte positif clair (par exemple un clic sur « tout accepter »). La recommandation détaille des modalités pratiques de recueil du consentement et du refus, des moyens d’information sur l’identité des responsables de traitement et des modalités de preuve du consentement.
1.3 La politique répressive de la CNIL s’est structurée en deux phases. Une première phase, à partir d’octobre 2020, a visé le respect des principes déjà exposés dans la recommandation de 2013, avec la possibilité de mesures correctrices et de sanctions en cas de non-respect. Une seconde phase, à partir d’avril 2021, a consisté en des missions de contrôle sur l’application de l’ensemble du cadre juridique éclairé par les nouvelles lignes directrices. Conformément à la jurisprudence du Conseil d’État (CE, 16 oct. 2019, n° 433069, Rec.), la CNIL peut à tout moment poursuivre des manquements portant une atteinte particulièrement grave au droit à la protection des données et au respect de la vie privée.
1.4 Le projet de règlement européen « ePrivacy » vise à réviser la directive 2002/58/CE dans une logique d’harmonisation avec le RGPD et de cohérence avec la stratégie du marché unique numérique. Après l’adoption de la position du Parlement fin 2017, les États membres se sont accordés le 10 février 2021 sur un mandat de négociation, permettant au Conseil de l’Union européenne d’entamer les discussions avec le Parlement sur le texte définitif.
2.1 Les organismes publics comme les organismes privés sont concernés dès lors qu’ils sont soumis à la loi Informatique et Libertés et qu’ils procèdent à des opérations de lecture et/ou d’écriture visées par l’article 82. Les dispositions s’appliquent quel que soit le type de réseau (intranet, extranet, internet) dès lors que des traceurs sont déposés ou lus sur un terminal (ordinateur, smartphone, tablette, etc.). Les lignes directrices 2/2023 du CEPD sur le champ d’application technique de l’article 5(3) de la directive « vie privée et communications électroniques » rappellent que, depuis 2009, la protection vise tous les cas d’écriture ou de lecture sur un terminal, même sans passage par un réseau de communication électronique, dès lors que l’équipement est capable de se connecter à un réseau public de télécommunication.
2.2 L’article 82 s’applique indépendamment du caractère personnel ou non des informations collectées via les traceurs. La CNIL veille à la conformité de tout traitement relevant de la loi, qu’il porte ou non sur des données personnelles. Ainsi, même des traceurs qui ne collectent pas de données identifiantes restent soumis aux règles de l’article 82.
3.1 Les traceurs de mesure d’audience peuvent, sous conditions strictes, être exemptés de consentement. La CNIL considère que la mesure d’audience peut être, dans une certaine limite, strictement nécessaire au fonctionnement du site. Pour bénéficier de l’exemption, les traceurs doivent : (1) être strictement limités à la seule mesure d’audience sur le site pour le compte exclusif de l’éditeur ; (2) servir uniquement à produire des données statistiques anonymes ; (3) ne pas permettre un suivi global de la navigation sur différentes applications ou sites ; (4) ne pas permettre le recoupement des données avec d’autres traitements ni leur transmission à des tiers. Ces garanties sont rappelées à l’article 5 des lignes directrices « cookies et autres traceurs ». Le responsable de traitement doit pouvoir démontrer le respect de ces conditions lorsqu’il recourt à une solution de mesure d’audience sans consentement.
3.2 Même lorsqu’ils sont exemptés de consentement au titre de l’article 82, les traitements de mesure d’audience restent des traitements de données personnelles soumis à l’ensemble des obligations du RGPD. L’utilisateur peut s’opposer à un cookie de mesure d’audience exempté de consentement : le responsable doit mettre à disposition un mécanisme d’opposition lorsque le traitement est fondé sur l’intérêt légitime (article 6.1.f RGPD), ce mécanisme devant être aisément accessible pour faciliter l’exercice des droits (articles 15 à 22 RGPD).
3.3 Les solutions de mesure d’audience qui anonymisent les données collectées peuvent bénéficier de la dérogation à condition de respecter l’ensemble des garanties rappelées à la question 9. Le caractère anonyme doit être entendu au sens de la réglementation sur la protection des données : la pseudonymisation (simple suppression du nom ou d’autres identifiants) n’est pas une anonymisation. Les autorités européennes retiennent trois critères pour s’assurer qu’un jeu de données est véritablement anonyme. La CNIL renvoie à ses travaux sur l’anonymisation de données pour préciser ces critères.
3.4 Consciente des besoins des acteurs, la CNIL a mis en place un dispositif de vérification permettant aux fournisseurs de solutions de mesure d’audience de vérifier auprès de ses services si leurs paramétrages permettent de se prévaloir de l’exemption au recueil du consentement. L’objectif est d’identifier si les configurations disponibles permettent de proposer une offre de mesure d’audience exemptée. La CNIL publie sur son site la liste des solutions retenues.
4.1 Les traceurs utilisés pour la facturation des opérations d’affiliation ne sont pas exemptés de consentement. Ils n’entrent pas dans les exemptions de l’article 82, interprétées strictement, car ces opérations n’ont pas pour finalité exclusive de permettre ou faciliter la communication par voie électronique et ne sont pas strictement nécessaires à la fourniture d’un service de communication en ligne expressément demandé par l’utilisateur.
4.2 À l’inverse, les traceurs mis en œuvre pour des services de remboursement (« cashback ») ou de récompense (« reward ») peuvent être exemptés. Ces pratiques consistent à accorder un remboursement partiel ou un avantage (bons de réduction, tarifs préférentiels, etc.) aux internautes inscrits sur un site partenaire lorsqu’ils effectuent un achat sur un site marchand via un lien de ce partenaire. Le Conseil d’État, dans une décision du 8 avril 2022, a jugé que le consentement n’est pas nécessaire pour ces traceurs car ils sont strictement nécessaires à la fourniture d’un service de communication en ligne expressément demandé par l’utilisateur, même s’ils servent aussi à rémunérer les éditeurs.
4.3 Les traceurs utilisés à des fins de reciblage publicitaire par courrier électronique nécessitent le consentement préalable. Le reciblage (« retargeting ») consiste à adresser un courriel à un prospect ou client ayant visité un site pour l’inciter à finaliser un formulaire, un achat ou un panier abandonné. Des traceurs (cookies, etc.) suivent la navigation pour identifier les produits ou services à recibler, puis des données internes (adresses e-mail) ou des outils de « matching » font le lien entre l’identifiant du traceur et l’adresse de courriel. Ces traceurs ne sont pas strictement nécessaires au service demandé et ne relèvent pas des exemptions de l’article 82. Par ailleurs, le démarchage commercial par voie électronique doit respecter l’article L. 34-5 du CPCE, qui pose un principe de consentement. Un consentement unique (par exemple via une case à cocher décochée par défaut) peut couvrir à la fois le reciblage au titre de l’article 82 et la prospection au titre de l’article L. 34-5, à condition que l’information soit claire sur l’identité des responsables et les finalités.
4.4 Les traceurs utilisés à des fins de lutte contre la fraude ne sont pas, en principe, exemptés. Toutefois, certains traceurs destinés à assurer la sécurité d’un mécanisme d’authentification (par exemple limiter les tentatives d’accès robotisées ou inattendues) peuvent être considérés comme nécessaires au service de communication en ligne demandé et donc bénéficier d’une exemption. La CNIL a listé, à l’article 5 des lignes directrices, les principaux traceurs exemptés en l’état des pratiques.
4.5 Les systèmes anti-robot ou « CAPTCHA » peuvent impliquer des opérations de lecture/écriture soumises à l’article 82. Lorsque ces solutions ont pour seule finalité la sécurisation du site ou d’un mécanisme d’authentification au bénéfice des utilisateurs, le consentement n’est pas nécessaire. En revanche, si les opérations poursuivent d’autres finalités (publicitaires, profilage, réutilisation des données par le fournisseur, comme pour certaines versions de reCAPTCHA), le consentement devient requis. La CNIL recommande aux éditeurs de vérifier les conditions d’utilisation des fournisseurs et souligne qu’un CAPTCHA soumis au consentement peut rendre la finalité de sécurisation inopérante (un simple refus permettant de contourner le système). Elle préconise donc des solutions alternatives ou des dispositifs complémentaires de sécurité ne nécessitant pas le consentement.
4.6 Les traceurs fonctionnels ou autres traceurs ne nécessitant pas le consentement ne sont pas soumis à une obligation d’information par l’article 82, mais la CNIL recommande d’informer les utilisateurs de leur existence pour assurer une transparence pleine et entière. Cette information peut figurer dans la politique cookies. Indépendamment de l’article 82, le RGPD impose d’informer sur tous les traitements de données à caractère personnel mis en œuvre.
5.1 La poursuite de la navigation ne peut plus valoir acceptation des traceurs. Sous le régime antérieur, elle pouvait, sous conditions, être interprétée comme consentement ; désormais, elle doit être comprise comme un refus. Aucun traceur nécessitant le consentement ne peut alors être déposé ou lu. Le consentement doit se matérialiser par un acte positif clair (clic sur « tout accepter », etc.), et l’absence de manifestation claire doit être interprétée comme un refus. Cette évolution découle directement de l’exigence de consentement univoque introduite par le RGPD.
5.2 Un site ne peut pas se contenter de renvoyer au paramétrage du navigateur pour collecter le consentement. En l’état de l’art, les réglages des navigateurs et systèmes d’exploitation ne permettent pas, à eux seuls, d’exprimer un consentement valide. Le site doit donc mettre en place ses propres mécanismes de recueil.
5.3 Le site peut redemander le consentement après un refus initial, mais sous conditions. En principe, les choix de l’utilisateur (consentement ou refus) doivent être conservés pour éviter de le solliciter de page en page. Une durée de conservation de 6 mois des choix est généralement considérée comme une bonne pratique, à adapter au cas par cas selon la nature du site et son audience.
5.4 Les boutons de partage sur les réseaux sociaux impliquent souvent le dépôt de traceurs par des tiers pour des finalités autres que l’interaction avec le réseau (notamment publicitaires). Dans ce cas, le consentement de l’internaute est requis avant tout dépôt, conformément à l’article 82.
5.5 Lorsqu’un éditeur intègre des contenus externes (vidéos, widgets, boutons de partage) dont l’activation entraîne le dépôt de traceurs par des tiers, il doit s’assurer du recueil préalable du consentement de l’utilisateur. Aucun traceur soumis au consentement ne peut être déposé tant que l’utilisateur n’a pas consenti. Le consentement peut être recueilli : (1) via le bandeau cookies ou le gestionnaire de cookies global du site ; (2) de manière contextuelle, juste avant l’activation du contenu, via une fenêtre dédiée. L’information doit être claire sur : le fait que l’activation requiert le dépôt de traceurs, les finalités de ces traceurs, un lien vers la politique de confidentialité (en français) du fournisseur, les conséquences d’un refus (éventuelle impossibilité d’accéder au contenu) et la possibilité de retirer le consentement à tout moment. Une analyse au cas par cas est nécessaire pour garantir le caractère libre du consentement lorsque le refus bloque l’accès à certains contenus.
5.6 Sur le premier niveau d’information, l’ensemble des informations rappelées à l’article 2 des lignes directrices doit être disponible au moment du choix. Il est recommandé d’indiquer clairement les finalités des cookies, de permettre l’accès à la liste des responsables de traitement (via lien ou bouton), d’informer sur la possibilité de retirer le consentement et, le cas échéant, sur les conséquences d’un refus. L’information doit être complète, visible et mise en évidence. La CNIL met en garde contre les pratiques de design trompeuses (« dark patterns ») susceptibles de biaiser le consentement.
5.7 La réglementation n’impose pas de permettre un choix individuel par société pour chaque responsable de traitement, mais une telle granularité peut renforcer le contrôle de l’utilisateur. En tout état de cause, l’utilisateur doit disposer d’une liste exhaustive des responsables de traitement concernés par les traceurs soumis au consentement. La CNIL recommande de rendre cette liste accessible dès le premier niveau via un lien ou un bouton.
5.8 La liste des tiers qui déposent ou lisent des traceurs doit permettre à l’utilisateur de connaître l’identité de l’ensemble des responsables, y compris les responsables conjoints, ainsi que les finalités poursuivies par chacun. La CNIL recommande d’y intégrer un lien vers la politique de confidentialité de chaque tiers. La recommandation (section 2.3) propose des modalités pratiques de mise en œuvre.
5.9 Les finalités doivent être présentées avec un degré de détail suffisant et dans un langage clair et intelligible. La CNIL recommande de mettre chaque finalité en exergue dans un intitulé court et mis en évidence, accompagné d’un bref descriptif. Il n’est pas nécessaire de détailler, au premier niveau, toutes les opérations techniques ou tous les traceurs concourant à une même finalité ; une description plus détaillée peut être accessible via un lien ou un bouton de déroulement. Par exemple, des opérations de capping publicitaire, de lutte contre la fraude au clic, de facturation de la prestation d’affichage ou de mesure de l’appétence à la publicité peuvent être regroupées sous la finalité globale de publicité personnalisée.
5.10 L’utilisateur doit pouvoir retirer son consentement aussi facilement qu’il l’a donné. Les solutions de gestion et de retrait du consentement doivent être aisément accessibles tout au long de la navigation, par exemple via un lien « gérer mes cookies » ou un module de paramétrage accessible sur toutes les pages (icône « cookie »). Le mécanisme doit être placé dans une zone visible où l’utilisateur s’attend à le trouver, avec des visuels explicites.
5.11 La CNIL fournit des exemples d’interfaces et un exemple de bandeau permettant d’offrir un choix clair et simple à l’utilisateur, illustrant concrètement les propositions de la recommandation.
5.12 La délégation de sous-domaine ou « CNAME cloaking » n’est pas, par principe, contraire à la réglementation, mais elle doit respecter les exigences d’information (identité du responsable) et de recueil du consentement lorsque nécessaire. Une mauvaise mise en œuvre peut créer des failles de sécurité (lecture de jetons d’authentification dans des cookies par des tiers), particulièrement sensibles pour des services comme la banque ou l’assurance.
6.1 Les murs de traceurs (« cookie walls ») consistent à bloquer l’accès à un site ou une application à l’utilisateur qui ne consent pas aux traceurs, parfois en proposant une contrepartie financière (« pay wall »). Le Conseil d’État, le 19 juin 2020, a jugé que la CNIL ne pouvait pas interdire de manière générale et absolue cette pratique. La CNIL applique donc les textes en vigueur, éclairés par la jurisprudence, pour apprécier au cas par cas si le consentement est libre et si un cookie wall est licite, en étant particulièrement attentive à l’existence d’alternatives réelles et satisfaisantes, notamment fournies par le même éditeur. Le CEPD a, de son côté, indiqué que les utilisateurs devraient toujours disposer d’alternatives équitables, indépendamment du secteur ou du modèle économique.
6.2 Certaines interfaces mentionnent l’intérêt légitime comme base légale pour les traitements de données issues de traceurs. La CNIL rappelle qu’il faut distinguer : (1) le dépôt et la lecture des traceurs, soumis à l’article 82 et nécessitant en principe le consentement préalable (sauf exceptions) ; (2) les traitements ultérieurs des données issues de ces traceurs, qui doivent reposer sur l’une des bases légales de l’article 6 RGPD. Le CEPD considère que le consentement sera en général la base la plus appropriée pour les traitements à finalité publicitaire. Même si un responsable invoque l’intérêt légitime pour l’usage des données, il ne peut traiter que si les traceurs ont été acceptés : en cas de refus, aucune donnée ne peut être collectée. En résumé, aucun traceur non essentiel ne peut être déposé sans consentement préalable, même si l’interface affiche l’intérêt légitime comme base légale.
6.3 La publicité contextuelle cible une audience en fonction du contexte (contenu de la page, thématique) et non du suivi de la navigation de l’utilisateur. En principe, son affichage ne nécessite pas de traceurs. Toutefois, la CNIL constate que, dans la pratique, des traceurs soumis au consentement sont souvent utilisés pour mesurer la performance publicitaire (cookies de capping, de mesure d’audience publicitaire, de lutte contre la fraude au clic). Dans ces cas, les règles de l’article 82 s’appliquent.
7.1 Il est possible de collecter un consentement unique pour un éditeur publiant sur plusieurs domaines ou sous-domaines, à condition que cela ne soit qu’un choix technique et que l’utilisateur perçoive l’ensemble comme un seul site, comprenant la portée de son consentement. Par exemple, un éditeur de presse « Le Journal Local » publiant sur lejournallocal.fr, sport.lejournallocal.fr et lemagasinedujournallocal.fr peut recueillir un consentement unique valable pour l’ensemble. Cela se distingue du consentement multi-propriétés (« cross-domain ») visant plusieurs sites ou médias d’un même groupe, qui fait l’objet de travaux spécifiques de la CNIL pour en définir les conditions de conformité.
7.2 Tout site utilisant des traceurs doit offrir un moyen de refus lorsque ceux-ci ne sont pas strictement nécessaires au fonctionnement du site ou au service de communication en ligne demandé. L’intégration d’un bouton « tout refuser » au même niveau et dans les mêmes formes que le bouton « tout accepter » est obligatoire, ou à défaut une autre solution permettant de refuser aussi aisément qu’accepter. Le refus peut se déduire du silence de l’utilisateur ou se manifester par une action aussi simple qu’un clic. L’utilisateur doit être clairement informé des moyens de refus, notamment lorsque ceux-ci sont moins explicites qu’un bouton dédié.
7.3 Le refus ne peut pas être cantonné au second niveau d’information (par exemple derrière un bouton « paramétrez vos choix ») si l’utilisateur doit effectuer plus d’actions pour refuser que pour accepter. La CNIL considère que la possibilité de consentir en un clic alors que plusieurs actions sont nécessaires pour refuser tend à biaiser le choix de l’utilisateur, qui souhaite accéder rapidement au contenu. Elle recommande fortement que le mécanisme de refus soit accessible sur le même écran et avec la même facilité que le mécanisme d’acceptation.
7.4 Le design des boutons (« tout accepter », « tout refuser ») est laissé à l’appréciation de l’éditeur, mais il ne doit pas tromper l’utilisateur ni rendre le refus plus complexe que l’acceptation. La CNIL recommande d’éviter les pratiques de design trompeuses qui laisseraient penser que le consentement est obligatoire ou qui mettraient visuellement trop en valeur un choix par rapport à l’autre.
8.1 Pour approfondir les règles d’utilisation des cookies et autres traceurs, les lignes directrices modificatives, la recommandation et la FAQ détaillée de la CNIL, il est possible de consulter les ressources suivantes :
Approfondir ce sujet :