L’essentiel
1. Cadre juridique de la recommandation CNIL sur les « cookies et autres traceurs »
1.1. La délibération n° 2020-092 du 17 septembre 2020 porte adoption d’une recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux « cookies et autres traceurs ». Elle s’inscrit dans un ensemble normatif comprenant la convention n° 108 du Conseil de l’Europe, le règlement (UE) 2016/679 (RGPD), la directive 2002/58/CE modifiée, la directive 2008/63/CE, la loi n° 78-17 du 6 janvier 1978 modifiée dite « Informatique et Libertés », le décret n° 2019-536 du 29 mai 2019, ainsi que les lignes directrices 5/2020 sur le consentement du CEPD.
1.2. La recommandation complète les lignes directrices du 17 septembre 2020 relatives à l’application de l’article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture ou écriture dans le terminal d’un utilisateur. Elle vise à expliciter le droit applicable aux traceurs et à proposer des exemples pratiques de recueil d’un consentement conforme.
1.3. La Commission nationale de l’informatique et des libertés (CNIL) précise que cette recommandation n’est ni prescriptive ni exhaustive. Elle a pour objectif d’aider les professionnels dans leur démarche de mise en conformité, sans exclure d’autres méthodes de recueil du consentement dès lors qu’elles respectent les textes en vigueur.
1.4. Le texte résulte d’une concertation avec des représentants des professions concernées par la publicité numérique et des représentants de la société civile, ainsi que d’une consultation publique organisée du 14 janvier au 25 février 2020. Il s’agit donc d’un document d’analyse et de recommandations opérationnelles sur les cookies et traceurs.
2. Périmètre : acteurs et environnements concernés par les traceurs
2.1. La recommandation s’applique à tous les organismes qui recourent à des traceurs, tels que définis dans les lignes directrices du 17 septembre 2020. Sont visées toutes les opérations de lecture et/ou d’écriture d’informations dans l’équipement terminal de communications électroniques de l’abonné ou de l’utilisateur.
2.2. Les environnements web et les applications mobiles sont au cœur de la recommandation, mais les exemples peuvent inspirer d’autres contextes où le consentement prévu par l’article 82 est requis : télévision connectée, console de jeux vidéo, assistant vocal, objets communicants, véhicule connecté, etc.
2.3. La CNIL souligne que la recommandation couvre à la fois les univers logués (utilisateurs authentifiés) et les univers non logués. Le fait qu’un utilisateur soit authentifié ne dispense pas de recueillir son consentement dès lors que des traceurs soumis au consentement sont utilisés.
3. Information, consentement et refus : principes généraux
3.1. Lorsque aucune des exceptions prévues à l’article 82 n’est applicable, les utilisateurs doivent recevoir une information conforme à cet article, complétée, le cas échéant, par les exigences du RGPD, et être clairement informés des conséquences de leur choix.
3.2. L’absence de consentement est désignée par le terme « refus ». Toute inaction ou action autre qu’un acte positif signifiant le consentement doit être interprétée comme un refus de consentir. Dans ce cas, aucune opération de lecture ou d’écriture soumise au consentement ne peut légalement avoir lieu.
3.3. Pour être compréhensible et ne pas induire en erreur les utilisateurs, l’information et le design des interfaces doivent permettre aux personnes de prendre la pleine mesure des options qui s’offrent à elles. La CNIL encourage le développement d’interfaces standardisées, utilisant un vocabulaire uniformisé, afin de faciliter la compréhension lors de la navigation.
4. Information sur les finalités des traceurs
4.1. Les finalités des traceurs doivent être présentées avant que l’utilisateur ne puisse consentir ou refuser. Elles doivent être formulées dans un langage intelligible, adapté et suffisamment clair pour que l’utilisateur comprenne précisément ce à quoi il consent.
4.2. La CNIL recommande de mettre chaque finalité en exergue dans un intitulé court et mis en évidence, accompagné d’un bref descriptif. Plusieurs exemples de formulations sont proposés :
4.3. Pour la publicité personnalisée : « Publicité personnalisée : [nom du site / de l’application] [et des sociétés tierces / nos partenaires] utilise / utilisent des traceurs afin d’afficher de la publicité personnalisée en fonction de votre navigation et de votre profil ».
4.4. Pour la publicité non personnalisée (simple mesure d’audience de la publicité sans profilage) : « Publicité non personnalisée : [nom du site / de l’application] [et des sociétés tierces / nos partenaires] utilise / utilisent des traceurs dans le but de mesurer l’audience de la publicité [sur le site ou l’application], sans vous profiler ».
4.5. Pour la publicité géolocalisée : « Publicité géolocalisée : [nom du site / de l’application] [et des sociétés tierces / nos partenaires] utilise / utilisent des traceurs pour vous adresser de la publicité en fonction de votre localisation ».
4.6. Pour la personnalisation de contenu éditorial ou de l’affichage des produits et services : « Personnalisation de contenu : Notre site / application [et des sociétés tierces] utilise / utilisons des traceurs pour personnaliser le contenu éditorial [de notre site / application] en fonction de votre utilisation », ou encore « Notre site / application [et des sociétés tierces] utilise / utilisons des traceurs pour personnaliser l’affichage de nos produits et services en fonction de ceux que vous avez précédemment consultés [sur notre site / application] ».
4.7. Pour le partage sur les réseaux sociaux : « Partage sur les réseaux sociaux : Notre site / application utilise des traceurs pour vous permettre de partager du contenu sur les réseaux sociaux ou plateformes présents [sur notre site / application] ». Lorsque les traceurs ne sont déclenchés que lors de l’interaction avec la fonctionnalité de partage, l’information et le recueil du consentement peuvent apparaître au moment où l’utilisateur déclenche cette fonctionnalité.
4.8. La CNIL recommande de proposer, en complément de la liste des finalités sur le premier écran, une description plus détaillée accessible via un bouton de déroulement ou un lien hypertexte (comme illustré par les Figure 1 et Figure 2). Cette information additionnelle peut préciser, par exemple, que l’affichage de la publicité englobe le capping publicitaire, la lutte contre la fraude au clic, la facturation, la mesure des cibles, etc.
4.9. Pour accroître la transparence, le responsable de traitement peut également préciser les catégories de données collectées et les associer aux finalités correspondantes.
5. Portée du consentement et identité des responsables de traitement
5.1. Lorsque des traceurs soumis au consentement, déposés par d’autres entités que l’éditeur, permettent un suivi de la navigation au-delà du site ou de l’application initiale, la CNIL recommande fortement de recueillir le consentement sur chacun des sites ou applications concernés, afin que l’utilisateur soit pleinement conscient de la portée de son consentement.
5.2. Les utilisateurs doivent pouvoir connaître l’identité de l’ensemble des responsables du ou des traitements, y compris les responsables conjoints, avant de donner leur consentement ou de refuser. Une liste exhaustive et régulièrement mise à jour doit être mise à disposition au moment du recueil du consentement.
5.3. Pour concilier clarté et concision, les informations spécifiques (identité, lien vers la politique de traitement des données à caractère personnel) peuvent être fournies à un second niveau d’information, accessible via un lien hypertexte ou un bouton depuis le premier niveau. Une dénomination descriptive telle que « liste des sociétés utilisant des traceurs sur notre site / application » est recommandée.
5.4. La liste des responsables de traitement devrait être disponible de manière permanente, à un endroit aisément accessible sur le site ou l’application (par exemple via un module de paramétrage accessible sur toutes les pages, une icône statique « cookie » ou un lien hypertexte en bas ou en haut de page).
5.5. Pour favoriser la lecture, le nombre de responsables impliqués peut être indiqué au premier niveau, et leur rôle mis en évidence en les regroupant par catégories définies en fonction de leur activité et de la finalité des traceurs.
6. Expression du consentement ou du refus
6.1. Le consentement doit se manifester par un acte positif clair, conformément au RGPD et aux lignes directrices du 17 septembre 2020. La CNIL considère que des cases à cocher décochées par défaut ou des interrupteurs (« sliders ») désactivés par défaut sont des mécanismes facilement compréhensibles, à condition que le choix exprimé soit aisément identifiable.
6.2. L’information accompagnant chaque élément actionnable (consentement ou refus) doit être facilement compréhensible et ne pas nécessiter d’efforts de concentration ou d’interprétation. Il est déconseillé de rédiger les options de manière à ce qu’une lecture rapide puisse laisser croire que l’option sélectionnée produit l’inverse de ce que l’utilisateur pensait choisir.
6.3. Le caractère libre du consentement implique que l’utilisateur soit en mesure d’exercer librement son choix. La CNIL recommande de demander le consentement de façon indépendante et spécifique pour chaque finalité distincte, tout en admettant la possibilité de proposer un consentement global à un ensemble de finalités, à condition que l’ensemble des finalités soit présenté au préalable.
6.4. Il est possible de proposer, dès le premier niveau d’information, des boutons d’acceptation et de refus globaux tels que « tout accepter » et « tout refuser », « j’autorise » et « je n’autorise pas », « j’accepte tout » et « je n’accepte rien », permettant de consentir ou de refuser en une seule action.
6.5. Pour permettre un choix granulaire par finalité, un bouton comme « personnaliser mes choix » ou « décider par finalité » peut être proposé au même niveau que les boutons « tout accepter » et « tout refuser » (comme illustré par la Figure 3). L’utilisateur peut ainsi accepter ou refuser finalité par finalité, soit directement sur le premier niveau, soit via des menus déroulants associés à chaque finalité.
6.6. Le refus doit être aussi simple que l’acceptation. La CNIL recommande que le mécanisme permettant d’exprimer un refus soit accessible sur le même écran et avec la même facilité que celui permettant d’exprimer un consentement. Des interfaces qui nécessitent un seul clic pour consentir mais plusieurs actions pour refuser risquent de biaiser le choix de l’utilisateur.
6.7. Au premier niveau, l’utilisateur peut par exemple avoir le choix entre deux boutons de même format, tels que « tout accepter » et « tout refuser », « autoriser » et « interdire », ou « consentir » et « ne pas consentir » (voir Figure 4). Cette modalité est considérée comme un moyen simple et clair d’exprimer un refus.
6.8. Le refus peut aussi résulter d’autres types d’actions : fermeture de la fenêtre de recueil du consentement, absence d’interaction pendant un certain laps de temps, ou clic sur un bouton tel que « continuer sans accepter » (illustré par la Figure 5). Dans ces cas, la possibilité de refuser doit être clairement indiquée sur la fenêtre, faute de quoi l’utilisateur pourrait ne pas comprendre que ces actions entraînent l’absence de toute opération de lecture ou d’écriture soumise au consentement.
6.9. Pour ne pas induire en erreur les utilisateurs, la CNIL recommande d’éviter les pratiques de design potentiellement trompeuses (mise en valeur visuelle d’un choix, impression de consentement obligatoire). Les boutons et la police d’écriture doivent être de même taille, offrir la même facilité de lecture et être mis en évidence de manière identique.
7. Conservation, renouvellement et retrait du consentement
7.1. Il est en principe nécessaire de conserver les choix exprimés par les utilisateurs durant leur navigation. À défaut, une nouvelle fenêtre de demande de consentement apparaîtrait à chaque page, ce qui pourrait porter atteinte à la liberté du choix.
7.2. Lorsque le refus peut être manifesté par la poursuite de la navigation, la CNIL recommande que le message sollicitant le consentement disparaisse au bout d’un laps de temps court, afin de ne pas gêner l’utilisation du site ou de l’application et de ne pas conditionner le confort de navigation à l’expression du consentement.
7.3. De manière générale, le choix exprimé (consentement ou refus) devrait être enregistré de façon à ne pas solliciter à nouveau l’utilisateur pendant un certain temps. La durée de conservation de ces choix doit être appréciée au cas par cas, selon la nature du site ou de l’application et les spécificités de l’audience.
7.4. La CNIL considère que conserver ces choix pendant une durée de 6 mois constitue une bonne pratique. Par ailleurs, le consentement pouvant être oublié par les personnes, il est recommandé de renouveler son recueil à des intervalles appropriés, en tenant compte du contexte, de la portée du consentement initial et des attentes des utilisateurs.
7.5. Les utilisateurs ayant donné leur consentement doivent pouvoir le retirer à tout moment. Il doit être aussi simple de retirer son consentement que de le donner. Les utilisateurs doivent être informés, avant même de consentir, des solutions de retrait mises à leur disposition.
7.6. Les solutions de retrait du consentement doivent être aisément accessibles à tout moment. La simplicité se mesure notamment au temps passé et au nombre d’actions nécessaires. Un lien ou une icône « cookie » (par exemple en bas à gauche de l’écran, comme dans la Figure 6) peut donner accès à un module de gestion des cookies ou à une interface « gérer mes cookies ».
7.7. Le mécanisme de gestion et de retrait du consentement doit être placé dans une zone visible où les utilisateurs s’attendent à le trouver, avec des visuels explicites. Pour que le retrait soit effectif, des solutions techniques spécifiques peuvent être nécessaires pour garantir l’absence de lecture ou d’écriture des traceurs précédemment utilisés.
8. Preuve du consentement et responsabilité des acteurs
8.1. Les responsables du ou des traitements doivent être en mesure de démontrer à tout moment que les utilisateurs ont donné leur consentement. Des mécanismes de preuve doivent donc être mis en place.
8.2. Lorsque les organismes ne collectent pas eux-mêmes le consentement (par exemple pour des cookies tiers), une simple clause contractuelle prévoyant qu’une partie recueille un consentement valable pour le compte de l’autre ne suffit pas. La CNIL recommande que cette clause soit complétée pour prévoir la mise à disposition de la preuve du consentement à chaque responsable de traitement souhaitant s’en prévaloir.
8.3. Parmi les modalités de preuve recommandées (non exclusives) figurent :
8.4. La mise sous séquestre des différentes versions du code informatique utilisé pour le recueil du consentement, ou la publication horodatée d’un condensat (« hash ») de ce code sur une plate-forme publique, afin de prouver son authenticité a posteriori.
8.5. La conservation horodatée de captures d’écran du rendu visuel affiché sur terminal mobile ou fixe pour chaque version du site ou de l’application.
8.6. La réalisation d’audits réguliers des mécanismes de recueil du consentement par des tiers mandatés.
8.7. La conservation, de façon horodatée, des informations relatives aux outils mis en œuvre et à leurs configurations successives (notamment les solutions de recueil du consentement ou Consent Management Platform – CMP) par les tiers éditant ces solutions.
9. Traceurs exemptés du recueil du consentement
9.1. L’article 82 de la loi « Informatique et Libertés » n’impose pas d’informer les utilisateurs sur l’existence d’opérations de lecture et écriture non soumises au consentement préalable. Par exemple, un cookie de préférence linguistique stockant uniquement la langue préférée de l’utilisateur peut être couvert par l’exemption et ne pas constituer un traitement de données à caractère personnel soumis au RGPD.
9.2. Pour assurer une transparence pleine et entière, la CNIL recommande toutefois d’informer les utilisateurs de l’existence de ces traceurs exemptés et de leurs finalités, par exemple via une mention dans la politique de confidentialité.
9.3. S’agissant des traceurs de mesure d’audience exemptés du recueil du consentement (tels que décrits à l’article 5 des lignes directrices du 17 septembre 2020), la CNIL recommande :
9.4. D’informer les utilisateurs de leur mise en œuvre, par exemple via la politique de confidentialité du site ou de l’application mobile.
9.5. De limiter la durée de vie des traceurs à une durée permettant une comparaison pertinente des audiences dans le temps, comme une durée de treize mois, sans prorogation automatique lors des nouvelles visites.
9.6. De conserver les informations collectées par l’intermédiaire de ces traceurs pour une durée maximale de vingt-cinq mois, et de procéder à un examen périodique des durées de vie et de conservation.
10. Mesures techniques pour accroître la transparence des traceurs
10.1. L’utilisation de cookies différents pour chaque finalité distincte permettrait aux utilisateurs de distinguer les traceurs et de s’assurer du respect de leur consentement. La CNIL recommande que les traceurs exemptés du recueil du consentement ne soient utilisés que pour une seule et même finalité, afin que l’absence de consentement n’affecte pas l’usage de traceurs nécessaires à la navigation.
10.2. La Commission incite à ne pas recourir à des techniques de masquage de l’identité de l’entité utilisant des traceurs, telles que la délégation de sous-domaine, qui nuisent à la transparence.
10.3. Les noms des traceurs devraient être explicites et, dans la mesure du possible, uniformisés quel que soit l’acteur à l’origine de leur émission, afin de faciliter la compréhension par les utilisateurs.
10.4. La CNIL encourage les professionnels à nommer le traceur permettant de stocker le choix des utilisateurs « eu-consent », en attachant à chaque finalité une valeur booléenne « vrai » ou « faux » mémorisant les choix effectués. Cette structuration contribue à la gestion fine du consentement et à la traçabilité des décisions de l’utilisateur.
11. Publication et portée de la délibération
11.1. La délibération n° 2020-092 prévoit que la recommandation sera publiée au Journal officiel de la République française. Cette publication renforce la visibilité et la portée normative de la recommandation dans l’écosystème des cookies et autres traceurs.
11.2. Signée par la Présidente Marie-Laure DENIS, la recommandation s’inscrit dans la continuité des travaux de la CNIL sur le consentement, la protection des données à caractère personnel et la mise en conformité des acteurs du secteur des communications électroniques, en particulier dans le contexte de la publicité numérique, de la mesure d’audience et de la personnalisation de contenu.
RGPD & protection des données
Approfondir ce sujet :