1.1. L’usage des cookies et autres traceurs en France est encadré par l’article 82 de la loi Informatique et Libertés, qui transpose l’article 5.3 de la directive 2002/58/CE « vie privée et communications électroniques » (directive « ePrivacy »). Cet article prévoit, sauf exception, l’obligation de recueillir le consentement des internautes avant toute opération d’écriture ou de lecture de cookies et autres traceurs sur leur terminal.
1.2. L’entrée en application, le 25 mai 2018, du règlement général sur la protection des données (RGPD) a renforcé les exigences en matière de validité du consentement. Une partie de la recommandation de 2013 de la CNIL sur les opérations de lecture et d’écriture par des cookies est ainsi devenue obsolète, nécessitant une actualisation des règles applicables aux traceurs.
1.3. Dans ce contexte, la CNIL a adopté des lignes directrices modificatives et une recommandation portant sur l’usage des cookies et autres traceurs. Cette évolution marque un tournant pour les internautes, qui peuvent désormais exercer un meilleur contrôle sur les traceurs en ligne, et pour le secteur de la publicité en ligne, fortement dépendant de ces technologies.
2.1. En 2013, la CNIL adopte une première recommandation destinée à guider les acteurs dans la mise en œuvre des textes régissant les opérations de lecture et d’écriture par des cookies. Cette recommandation constitue alors un cadre de référence pour les sites web et services en ligne.
2.2. À la suite de l’entrée en vigueur du RGPD, la CNIL engage, dans le cadre de son plan d’action sur le ciblage publicitaire, une actualisation en deux temps de ses référentiels. Le 4 juillet 2019, elle adopte des lignes directrices rappelant le droit applicable en matière de cookies et traceurs.
2.3. Ces lignes directrices sont ensuite ajustées le 17 septembre 2020 pour tirer les conséquences de la décision du Conseil d’État du 19 juin 2020. Parallèlement, la CNIL élabore un projet de recommandation, à l’issue d’une concertation avec les professionnels et la société civile, afin de proposer un guide pratique sur les modalités concrètes de recueil du consentement de l’internaute.
2.4. Ce projet de recommandation est soumis à une consultation publique le 14 janvier, dont les apports permettent d’enrichir la version finalement adoptée le 17 septembre 2020. L’ensemble forme un corpus cohérent : lignes directrices modificatives rappelant le droit et recommandation détaillant les bonnes pratiques.
3.1. L’évolution des règles applicables, clarifiées par les lignes directrices et la recommandation, constitue un tournant pour le secteur de la publicité en ligne. Les pratiques de ciblage publicitaire reposant sur des traceurs doivent être réévaluées à l’aune des nouvelles exigences de consentement et de transparence.
3.2. Pour les internautes, ces règles renforcent la capacité à exercer un meilleur contrôle sur les traceurs en ligne. Les utilisateurs doivent pouvoir décider, de manière libre et éclairée, de l’acceptation ou du refus des cookies non essentiels, et comprendre les conséquences de leurs choix sur la navigation et les services proposés.
4.1. Concernant le consentement des utilisateurs, la CNIL confirme que la simple poursuite de la navigation sur un site ne peut plus être considérée comme une expression valide du consentement de l’internaute. Le consentement implicite par inaction ou simple navigation est donc exclu.
4.2. Les personnes doivent consentir au dépôt de traceurs par un acte positif clair, par exemple en cliquant sur un bouton de type « j’accepte » dans une bannière cookie. À défaut d’un tel acte positif, aucun traceur non essentiel au fonctionnement du service ne peut être déposé sur leur appareil.
4.3. Les utilisateurs doivent être en mesure de retirer leur consentement facilement et à tout moment. Le refus des traceurs doit être aussi aisé que leur acceptation, ce qui implique des interfaces de gestion des cookies équilibrées et accessibles.
4.4. Les organismes exploitant des traceurs doivent être en mesure de fournir à tout moment la preuve du recueil valable du consentement, lequel doit être libre, éclairé, spécifique et univoque. Cette exigence de preuve du consentement renforce les obligations de traçabilité et de documentation des responsables de traitement.
5.1. Avant de consentir, les personnes doivent être clairement informées des finalités des traceurs. L’information doit également porter sur les conséquences attachées à l’acceptation ou au refus des traceurs, notamment en termes de fonctionnalités disponibles ou de personnalisation des contenus.
5.2. Les utilisateurs doivent aussi être informés de l’identité de tous les acteurs utilisant des traceurs soumis au consentement. Cette transparence sur les tiers et partenaires impliqués dans le dépôt ou la lecture de cookies est essentielle pour un consentement réellement éclairé.
6.1. La CNIL rappelle que certains traceurs sont exemptés du recueil de consentement. Il s’agit notamment des traceurs destinés à l’authentification auprès d’un service, indispensables à la connexion sécurisée de l’utilisateur.
6.2. Sont également exemptés les traceurs destinés à garder en mémoire le contenu d’un panier d’achat sur un site marchand, qui permettent d’assurer le bon fonctionnement du service de commerce électronique.
6.3. Certains traceurs visant à générer des statistiques de fréquentation peuvent aussi être exemptés, sous conditions, lorsqu’ils sont strictement nécessaires à la mesure d’audience et ne permettent pas un suivi global de la navigation.
6.4. Enfin, la CNIL mentionne les traceurs permettant aux sites payants de limiter l’accès gratuit à un échantillon de contenu demandé par les utilisateurs. Ces traceurs, liés à la gestion de l’accès au contenu, peuvent être considérés comme nécessaires au service.
7.1. La CNIL recommande que l’interface de recueil du consentement ne comporte pas uniquement un bouton « tout accepter », mais aussi un bouton « tout refuser ». Cette symétrie vise à rendre le refus des traceurs aussi simple que leur acceptation, conformément aux principes rappelés dans les lignes directrices.
7.2. La CNIL suggère que les sites internet, qui conservent généralement pendant une certaine durée le consentement aux traceurs, conservent également le refus des internautes pendant une certaine période. L’objectif est de ne pas réinterroger l’internaute à chacune de ses visites, ce qui pourrait être perçu comme une pression à consentir.
7.3. Pour que l’utilisateur soit pleinement conscient de la portée de son consentement, la CNIL recommande que, lorsque des traceurs permettent un suivi sur des sites autres que le site visité, le consentement soit recueilli sur chacun des sites concernés par ce suivi de navigation. Cette approche limite les consentements globaux peu compréhensibles pour l’utilisateur.
7.4. Afin d’accompagner les acteurs concernés et les internautes, la CNIL met à disposition une FAQ qui accompagne la publication des lignes directrices modificatives et de la recommandation « cookies et autres traceurs ». Cette FAQ précise les modalités pratiques de mise en œuvre des nouvelles règles.
8.1. La CNIL invite tous les acteurs concernés à s’assurer de la conformité de leurs pratiques aux exigences du RGPD et de la directive ePrivacy. Les responsables de sites web, d’applications et de services en ligne doivent revoir leurs dispositifs de cookies et traceurs à la lumière des lignes directrices modificatives et de la recommandation.
8.2. La CNIL indique que le délai de mise en conformité aux nouvelles règles ne devra pas dépasser six mois à compter de leur adoption, soit au plus tard fin mars 2021. Durant cette période, l’autorité privilégie l’accompagnement des acteurs sur les contrôles, tout en tenant compte des difficultés opérationnelles rencontrées.
8.3. Conformément à la jurisprudence du Conseil d’État, la CNIL se réserve toutefois la possibilité de poursuivre certains manquements, notamment en cas d’atteinte particulièrement grave au droit au respect de la vie privée (référence à la décision CE, 16 octobre 2019, n° 433069, Rec.). Les manquements les plus sérieux peuvent donc faire l’objet de sanctions, même pendant la phase d’adaptation.
8.4. Par ailleurs, la CNIL continuera à poursuivre les manquements aux règles relatives aux cookies antérieures à l’entrée en vigueur du RGPD, éclairées par sa recommandation du 5 décembre 2013. Les obligations historiques en matière de cookies demeurent donc pertinentes pour l’analyse des pratiques passées.
9.1. Les nouvelles lignes directrices et la recommandation de la CNIL impliquent une adaptation des bandeaux cookies et des mécanismes de preuve de consentement RGPD. Les interfaces doivent permettre un acte positif clair, offrir un choix équilibré entre acceptation et refus, et présenter une information transparente sur les finalités et les acteurs impliqués.
9.2. Les responsables de traitement doivent mettre en place des dispositifs techniques et organisationnels permettant de conserver la preuve du consentement ou du refus, de gérer la durée de conservation de ces choix, et de garantir la possibilité pour l’utilisateur de retirer son consentement à tout moment. Ces exigences s’inscrivent dans la logique de responsabilisation portée par le RGPD.
10.1. Lignes directrices modificatives et recommandation « cookies et autres traceurs » de la CNIL : https://www.cnil.fr/fr/cookies-et-autres-traceurs/regles/cookies/lignes-directrices-modificatives-et-recommandation
Approfondir ce sujet :