1.1. La délibération n° 2020-091 du 17 septembre 2020 de la Commission nationale de l’informatique et des libertés (CNIL) adopte de nouvelles lignes directrices relatives à l’application de l’article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture et écriture dans le terminal d’un utilisateur, notamment aux « cookies et autres traceurs », et abroge la délibération n° 2019-093 du 4 juillet 2019. Elle s’inscrit dans un environnement normatif comprenant la convention n° 108 du Conseil de l’Europe, le règlement (UE) 2016/679 (RGPD), la directive 2002/58/CE modifiée dite directive « ePrivacy », la directive 2008/63/CE, la loi n° 78-17 du 6 janvier 1978 modifiée et le décret n° 2019-536 du 29 mai 2019.
1.2. La CNIL rappelle qu’elle est chargée de veiller au respect de l’article 82 de la loi « Informatique et Libertés ». Les lignes directrices ont pour objet de rappeler et expliciter le droit applicable aux opérations de lecture et/ou d’écriture d’informations dans l’équipement terminal de communications électroniques de l’abonné ou de l’utilisateur, en particulier l’usage des témoins de connexion (« cookies »). Le cadre légal résulte des dispositions de la directive « ePrivacy », transposées à l’article 82, et de la définition du consentement à l’article 4 du RGPD, éclairée par les lignes directrices sur le consentement du Comité européen de la protection des données (CEPD).
1.3. L’article 82 impose que tout abonné ou utilisateur d’un service de communications électroniques soit informé de manière claire et complète de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal ou à y inscrire des informations, ainsi que des moyens dont il dispose pour s’y opposer. Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que la personne ait exprimé son consentement après information, consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.
1.4. L’article 82 prévoit deux exceptions à l’exigence de consentement : lorsque l’accès ou l’inscription a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ou lorsqu’il est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur. En dehors de ces cas, le recueil du consentement préalable est obligatoire pour toute action visant à stocker des informations ou à accéder à des informations stockées dans le terminal.
1.5. La CNIL souligne que le consentement prévu par l’article 82, lu à la lumière de l’article 5 de la directive « ePrivacy » et de l’article 94 du RGPD, renvoie à la définition et aux conditions des articles 4(11) et 7 du RGPD. L’entrée en application du RGPD a conduit à abroger la recommandation de 2013 relative aux cookies et autres traceurs et à la remplacer par des lignes directrices, actualisées à la suite de la décision du Conseil d’Etat n° 434684 du 19 juin 2020.
2.1. Les lignes directrices couvrent toutes les opérations visant à accéder, par voie de transmission électronique, à des informations déjà stockées dans l’équipement terminal de l’abonné ou de l’utilisateur d’un service de communications électroniques, ou à inscrire des informations dans celui-ci. L’article 1er de la directive 2008/63/CE définit l’équipement terminal comme tout équipement connecté directement ou indirectement à l’interface d’un réseau public de télécommunications pour transmettre, traiter ou recevoir des informations, que la connexion soit établie par fil, fibre optique ou voie électromagnétique.
2.2. Cette définition englobe de nombreux dispositifs : tablette, ordiphone (« smartphone »), ordinateur fixe ou mobile, console de jeux vidéo, télévision connectée, véhicule connecté, assistant vocal, ainsi que tout autre équipement terminal connecté à un réseau de télécommunication ouvert au public. Les lignes directrices concernent tous ces équipements, quels que soient les systèmes d’exploitation ou logiciels applicatifs (tels que les navigateurs web) utilisés.
2.3. Elles portent en particulier sur l’utilisation des cookies HTTP, mais également sur d’autres technologies : local shared objects (souvent appelés « cookies Flash »), local storage du standard HTML 5, identifications par calcul d’empreinte du terminal (« fingerprinting »), identifiants générés par les systèmes d’exploitation (IDFA, IDFV, Android ID, etc.), identifiants matériels (adresse MAC, numéro de série ou tout autre identifiant d’un appareil). Pour l’application des lignes directrices, le terme « traceur » désigne l’ensemble de ces dispositifs susceptibles d’être visés par l’article 82.
2.4. Les lignes directrices couvrent les opérations de lecture et écriture de toute information stockée ou consultée dans un équipement terminal, qu’il s’agisse ou non de données à caractère personnel au sens du RGPD. Les dispositions du paragraphe 3 de l’article 5 de la directive « ePrivacy » et, par conséquent, de l’article 82, sont applicables indépendamment du caractère personnel ou non des données concernées.
2.5. La CNIL rappelle que tout traitement portant sur des données produites ou collectées via un traceur, dès lors qu’il s’agit de données à caractère personnel (données directement identifiantes comme une adresse électronique, ou indirectement identifiantes comme un identifiant unique de cookie, une adresse IP, un identifiant du terminal, le résultat d’un calcul d’empreinte, ou un identifiant généré par un logiciel ou un système d’exploitation), doit respecter les dispositions du RGPD et de la loi « Informatique et Libertés ». Ces traitements, bien que liés aux traceurs, ne sont pas directement régis par les présentes lignes directrices, qui se concentrent sur les opérations de lecture et d’écriture dans le terminal.
3.1. En application combinée de l’article 82 de la loi « Informatique et Libertés » et de l’article 4 du RGPD, les traceurs nécessitant un recueil du consentement ne peuvent être utilisés en écriture ou en lecture qu’à condition que l’utilisateur ait manifesté sa volonté libre, spécifique, éclairée et univoque, par une déclaration ou un acte positif clair. La CNIL détaille ces quatre dimensions.
3.2. S’agissant du caractère libre du consentement, le RGPD impose de tenir le plus grand compte de la question de savoir si l’exécution d’un contrat, y compris la fourniture d’un service, est subordonnée au consentement à un traitement de données qui n’est pas nécessaire à l’exécution dudit contrat. Le considérant 42 du RGPD précise que le consentement ne doit pas être considéré comme libre si la personne ne dispose pas d’une véritable liberté de choix ou ne peut refuser ou retirer son consentement sans subir de préjudice. Dans ce contexte, la CNIL estime que la pratique dite de « cookie wall », qui subordonne la fourniture d’un service ou l’accès à un site web à l’acceptation d’opérations de lecture ou écriture sur le terminal, est susceptible de porter atteinte, dans certains cas, à la liberté du consentement.
3.3. En cas de mise en place d’un cookie wall, et sous réserve de la licéité de cette pratique appréciée au cas par cas, l’information fournie à l’utilisateur doit clairement indiquer les conséquences de ses choix, notamment l’impossibilité d’accéder au contenu ou au service en l’absence de consentement. Par ailleurs, le considérant 43 du RGPD précise que le consentement est présumé ne pas avoir été donné librement si un consentement distinct ne peut pas être donné à différentes opérations de traitement répondant à des finalités distinctes. La CNIL considère que le couplage de finalités, consistant à recueillir un consentement unique pour plusieurs traitements sans possibilité d’accepter ou refuser finalité par finalité, est susceptible d’affecter la liberté de choix de l’utilisateur.
3.4. Sur le caractère spécifique du consentement, la CNIL rappelle que le consentement aux opérations de lecture et écriture doit être spécifique : il ne peut être valablement recueilli via une acceptation globale de conditions générales d’utilisation. L’utilisateur doit pouvoir se prononcer de manière distincte sur les finalités associées aux traceurs.
3.5. Concernant le caractère éclairé, le consentement doit être conforme aux articles 4(11), 7 et 13 du RGPD et à l’article 82. L’information doit être rédigée en termes simples et compréhensibles, permettre d’identifier les différentes finalités des traceurs et éviter une terminologie juridique ou technique trop complexe. Elle doit être complète, visible et mise en évidence : un simple renvoi vers les conditions générales d’utilisation est insuffisant.
3.6. A minima, pour assurer un consentement éclairé, l’utilisateur doit recevoir, préalablement au recueil de son accord, des informations sur : l’identité du ou des responsables de traitement des opérations de lecture ou écriture, la finalité de ces opérations, la manière d’accepter ou de refuser les traceurs, les conséquences attachées à un refus ou une acceptation, et l’existence du droit de retirer son consentement. La liste exhaustive et à jour des responsables conjoints doit être accessible de façon simple.
3.7. S’agissant du caractère univoque, le consentement doit se manifester par une action positive de la personne, préalablement informée et disposant des moyens d’exprimer son choix. La CNIL considère que continuer à naviguer sur un site, utiliser une application mobile ou faire défiler une page ne constituent pas des actions positives claires assimilables à un consentement valable. La CJUE, dans sa décision Planet 49 du 1er octobre 2019 (C-673/17), a jugé que l’utilisation de cases pré-cochées ne peut être considérée comme un acte positif clair. En l’absence d’un tel acte, l’utilisateur doit être considéré comme ayant refusé l’accès à son terminal ou l’inscription d’informations.
3.8. Des systèmes adaptés doivent être mis en place pour recueillir le consentement selon des modalités pratiques offrant des solutions simples d’usage. La CNIL renvoie à sa recommandation n° 2020-092 du 17 septembre 2020 pour des exemples et bonnes pratiques. Par ailleurs, l’article 7.1 du RGPD impose aux organismes exploitant des traceurs d’être en mesure de fournir à tout moment la preuve du recueil valable du consentement.
3.9. Sur le refus et le retrait du consentement, la CNIL observe que si le consentement doit se traduire par une action positive, le refus peut se déduire du silence de l’utilisateur. L’expression du refus ne doit nécessiter aucune démarche ou doit pouvoir se traduire par une action présentant le même degré de simplicité que celle permettant d’exprimer le consentement. Conformément à l’article 7.3 du RGPD, il doit être aussi simple de retirer son consentement que de le donner, et les utilisateurs doivent pouvoir le retirer simplement et à tout moment.
4.1. Les traceurs soumis au consentement n’impliquent pas systématiquement un traitement de données à caractère personnel, mais, dans un grand nombre de cas, les opérations de lecture ou écriture concernent de telles données et sont alors soumises aux autres dispositions de la loi « Informatique et Libertés » et du RGPD. La question de la qualification des acteurs (responsables de traitement, responsables conjoints, sous-traitants) est centrale.
4.2. La CNIL rappelle que l’éditeur d’un site qui dépose des traceurs doit être considéré comme un responsable de traitement, y compris lorsqu’il sous-traite à des tiers la gestion de ces traceurs mis en place pour son propre compte. Sont également responsables de traitement les tiers qui utilisent des traceurs sur un service édité par un autre organisme, par exemple une régie publicitaire déposant des traceurs lors de la consultation d’un site, dès lors qu’ils agissent pour leur propre compte.
4.3. Dans ce cas, le Conseil d’Etat, dans une décision du 6 juin 2018, a jugé que l’éditeur de site doit s’assurer auprès de ses partenaires qu’ils n’émettent pas, par l’intermédiaire de son site, des traceurs qui ne respectent pas la réglementation applicable en France, et doit effectuer toute démarche utile pour mettre fin à des manquements. L’organisme qui autorise l’utilisation de traceurs, y compris par des tiers, depuis son site ou application mobile, doit donc s’assurer de la présence effective d’un mécanisme de recueil du consentement.
4.4. De manière générale, les éditeurs de sites ou d’applications mobiles, du fait de leur contact direct avec l’utilisateur, sont souvent les plus à même de porter à la connaissance de ce dernier l’information sur les traceurs déposés et de collecter son consentement. Pour les opérations visées par l’article 82, la CJUE, dans l’arrêt Fashion ID GmbH & Co. KG / Verbraucherzentrale NRW eV (C-40/17, 29 juillet 2019), a jugé que l’éditeur du site ou de l’application mobile et le tiers déposant des traceurs sont réputés être des responsables conjoints du traitement lorsqu’ils déterminent conjointement les finalités et les moyens des opérations de lecture et écriture sur l’équipement terminal.
4.5. En cas de responsabilité conjointe, les responsables doivent, conformément à l’article 26 du RGPD, définir de manière transparente leurs obligations respectives afin d’assurer le respect des exigences du RGPD, en particulier en ce qui concerne le recueil et la démonstration d’un consentement valable. Cette répartition doit être documentée dans un accord accessible aux personnes concernées.
4.6. La CNIL précise qu’un acteur qui stocke et/ou accède à des informations dans l’équipement terminal d’un utilisateur exclusivement pour le compte d’un tiers doit être considéré comme un sous-traitant. Dans ce cas, le responsable de traitement et le sous-traitant doivent établir un contrat ou un autre acte juridique précisant les obligations de chaque partie, conformément à l’article 28 du RGPD.
4.7. Conformément à l’article 28.3 du RGPD, le sous-traitant doit aider le responsable du traitement à respecter certaines de ses obligations, notamment celles relatives aux demandes d’exercice des droits des personnes. Il doit également informer le responsable si l’une de ses instructions constitue une violation des textes applicables en matière de protection des données à caractère personnel.
5.1. L’article 82 précise que le consentement peut résulter de paramètres appropriés du dispositif de connexion de la personne ou de tout autre dispositif placé sous son contrôle. En théorie, les navigateurs et systèmes d’exploitation pourraient donc servir de vecteur de consentement.
5.2. Toutefois, à la date d’adoption des lignes directrices, la CNIL estime que les possibilités de paramétrage offertes par les navigateurs et systèmes d’exploitation ne peuvent, à elles seules, permettre à l’utilisateur d’exprimer un consentement valide. Les réglages existants ne garantissent pas un niveau suffisant d’information préalable ni une distinction par finalités des traceurs, ce qui est pourtant nécessaire pour respecter les principes rappelés dans les lignes directrices.
5.3. En particulier, les navigateurs ne permettent pas de distinguer les traceurs en fonction de leurs finalités, alors que cette distinction est essentielle pour garantir la liberté du consentement. La CNIL n’exclut pas une évolution de la technique, mais constate qu’en l’état, ces paramètres ne peuvent constituer l’unique base de recueil du consentement.
6.1. L’article 82 prévoit que l’exigence de consentement ne s’applique pas aux opérations ayant pour finalité exclusive de permettre ou faciliter la communication par voie électronique ou étant strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse des utilisateurs. Les traceurs exemptés de consentement ne sortent du champ d’application de l’article 82 que s’ils sont utilisés exclusivement pour une ou plusieurs finalités pouvant se rattacher à ces exceptions.
6.2. La CNIL précise que l’utilisation d’un même traceur pour plusieurs finalités, dont certaines n’entrent pas dans le cadre des exemptions, nécessite le recueil préalable du consentement pour ces finalités supplémentaires. Par exemple, dans un service offert via une plate-forme nécessitant l’authentification des usagers (« univers logué »), un cookie peut être utilisé sans consentement pour authentifier les utilisateurs, car il est strictement nécessaire à la fourniture du service. En revanche, l’utilisation de ce même cookie à des finalités publicitaires suppose un consentement spécifique.
6.3. En l’état des pratiques, la CNIL estime que plusieurs catégories de traceurs peuvent être regardés comme exemptés de consentement : les traceurs conservant le choix exprimé par les utilisateurs sur le dépôt de traceurs ; les traceurs destinés à l’authentification auprès d’un service, y compris ceux visant à assurer la sécurité du mécanisme d’authentification (par exemple en limitant les tentatives d’accès robotisées ou inattendues) ; les traceurs gardant en mémoire le contenu d’un panier d’achat ou permettant de facturer les produits et/ou services achetés.
6.4. Sont également visés : les traceurs de personnalisation de l’interface utilisateur (choix de la langue, présentation d’un service) lorsque cette personnalisation constitue un élément intrinsèque et attendu du service ; les traceurs permettant l’équilibrage de la charge des équipements concourant à un service de communication ; les traceurs permettant aux sites payants de limiter l’accès gratuit à un échantillon de contenu demandé par les utilisateurs (quantité prédéfinie et/ou sur une période limitée) ; et, sous conditions, certains traceurs de mesure d’audience.
6.5. Le cas spécifique des traceurs de mesure d’audience est central pour la maîtrise des traceurs sans consentement. La gestion d’un site web ou d’une application requiert presque systématiquement des statistiques de fréquentation et/ou de performance. Ces mesures sont souvent indispensables au bon fonctionnement du site ou de l’application et donc à la fourniture du service. La CNIL considère que les traceurs dont la finalité se limite à la mesure de l’audience (mesure des performances, détection de problèmes de navigation, optimisation des performances techniques ou de l’ergonomie, estimation de la puissance des serveurs, analyse des contenus consultés, etc.) sont strictement nécessaires au fonctionnement et à l’administration courante du site ou de l’application et ne sont donc pas soumis à l’obligation de consentement préalable.
6.6. Pour rester dans le périmètre de l’exemption, ces traceurs de mesure d’audience doivent avoir une finalité strictement limitée à la seule mesure d’audience pour le compte exclusif de l’éditeur. Ils ne doivent pas permettre le suivi global de la navigation de la personne sur différentes applications ou différents sites web. Ils doivent uniquement servir à produire des données statistiques anonymes, et les données à caractère personnel collectées ne peuvent être recoupées avec d’autres traitements ni transmises à des tiers, ces opérations n’étant pas nécessaires au fonctionnement du service.
6.7. Plus généralement, la CNIL rappelle que les traitements de mesure d’audience sont des traitements de données à caractère personnel soumis à l’ensemble des dispositions pertinentes du RGPD, même lorsqu’ils bénéficient d’une exemption de consentement au titre de l’article 82. La maîtrise des traceurs sans consentement suppose donc une analyse fine des finalités, des destinataires et des conditions de traitement.
7.1. L’article 6 de la délibération n° 2020-091 prévoit l’abrogation de la délibération n° 2019-093 du 4 juillet 2019 portant adoption de lignes directrices relatives à l’application de l’article 82 aux opérations de lecture et écriture dans le terminal d’un utilisateur. La nouvelle délibération actualise le cadre de référence à la lumière du RGPD, de la décision du Conseil d’Etat du 19 juin 2020 et de la jurisprudence de la CJUE.
7.2. La délibération n° 2020-091 doit être publiée au Journal officiel de la République française, ce qui lui confère une visibilité et une portée normative renforcées dans l’interprétation de l’article 82 de la loi « Informatique et Libertés ». Elle constitue un référentiel pour l’application des règles relatives aux cookies et autres traceurs, en particulier pour la maîtrise des traceurs sans consentement et la mise en conformité des pratiques de lecture et écriture dans le terminal d’un utilisateur.
Approfondir ce sujet :