Cookies et traceurs : responsabilité de l’éditeur pour le consentement des utilisateurs

L’article 82 de la loi Informatique et Libertés impose une information claire et complète ainsi que le consentement préalable de l’utilisateur avant toute lecture ou écriture d’informations dans son terminal, sauf exceptions limitativement prévues. Le refus exprimé doit également produire un effet réel.

L’éditeur d’un site qui autorise ses partenaires à déposer des cookies tiers participe au respect de ces obligations. Sa responsabilité ne disparaît pas lorsque les opérations sont techniquement réalisées par des tiers. Il doit vérifier la conformité de ses partenaires, surveiller les traceurs et engager les démarches utiles pour faire cesser les manquements, y compris en recourant aux mécanismes contractuels ou en mettant fin à la relation commerciale.

La formation restreinte retient une obligation de moyens, et non de résultat. En l’espèce, la plateforme de gestion du consentement, l’outil de veille limité à certains navigateurs et le signal de refus se sont révélés insuffisants. Les contrôles ont établi le dépôt d’un traceur avant toute action et la poursuite de requêtes après refus, sur Firefox comme sur Chrome.

L’article 20 de la loi Informatique et Libertés permet de prononcer directement une sanction sans mise en demeure préalable. L’article 20, paragraphe III, autorise notamment une amende administrative, déterminée selon la nature, la gravité et la durée du manquement, la coopération et les mesures d’atténuation. Une amende de 50 000 euros et la publicité de la décision ont été prononcées.

⬇️Télécharger la décision version officielle

La CNIL a constaté le dépôt de traceurs publicitaires dès l’arrivée sur le site et la poursuite d’opérations de lecture ou d’écriture après le refus de l’utilisateur. L’éditeur a été considéré comme responsable du contrôle des pratiques de ses partenaires. Malgré ses contestations, un manquement à l’article 82 de la loi Informatique et Libertés a été retenu, avec une amende de 50 000 euros et la publication de la décision pendant deux ans.

Une société éditant un site d’actualités gratuit et payant commercialisait des espaces publicitaires et utilisait différents cookies et traceurs. Une utilisatrice a saisi la CNIL, dénonçant le dépôt de cookies avant toute action et sans consentement.

Après cinq contrôles en ligne réalisés entre janvier 2020 et juin 2021, la CNIL a constaté le dépôt de traceurs publicitaires dès l’arrivée sur la page d’accueil, ainsi que la poursuite d’opérations de lecture ou d’écriture après le refus de l’utilisateur. Ces constats ont été effectués sur Firefox et Chrome.

La société contestait sa responsabilité pour les cookies déposés par des partenaires, l’efficacité des contrôles et la régularité de la procédure. La formation restreinte a néanmoins retenu que l’éditeur devait contrôler ses partenaires et prendre les mesures nécessaires pour faire cesser les manquements. Elle a prononcé une amende administrative de 50 000 euros et ordonné la publicité de la décision pendant deux ans sous l’identité de la société.

• Déposer ou permettre le dépôt de traceurs avant toute action de l’utilisateur
• Ne pas recueillir un consentement préalable et suffisamment informé
• Priver d’effet le refus exprimé par l’utilisateur
• Autoriser des partenaires à déposer des cookies non conformes
• Mettre en œuvre des outils de contrôle insuffisants ou limités
• Ne pas prendre les mesures nécessaires contre les partenaires défaillants

• Procès-verbaux des cinq contrôles en ligne de la CNIL
• Constat du dépôt d’un traceur avant toute action de l’utilisateur
• Présence d’un identifiant unique dans le stockage local
• Requêtes transmises à un domaine lié à la publicité ciblée
• Constats réalisés sur les navigateurs Firefox et Chrome
• Vérification de l’inefficacité du signal de refus

L’éditeur est sanctionné pour ne pas avoir assuré l’effectivité du consentement et du refus concernant les cookies de ses partenaires. Les partenaires concernés doivent être surveillés et, si nécessaire, faire l’objet de mesures contractuelles, d’une suspension ou d’une rupture de relation.

• Exclusion du consentement valable avant tout dépôt de traceur
• Responsabilité maintenue pour les cookies tiers autorisés sur le site
• Renforcement du contrôle sur les principaux navigateurs
• Activation des recours contractuels contre les partenaires défaillants
• Risque d’amende administrative et de publicité de la décision
• Conservation d’une exposition pour les manquements antérieurs

À faire

• Recenser tous les cookies et traceurs déposés
• Tester le site avant toute action de l’utilisateur
• Vérifier l’effectivité du refus sur chaque navigateur
• Contrôler régulièrement les partenaires publicitaires
• Prévoir des sanctions contractuelles applicables

À éviter

• Déposer un traceur avant consentement
• Maintenir des requêtes après refus
• Limiter la surveillance à un seul navigateur
• Se décharger sur les émetteurs tiers
• Attendre une mise en demeure pour agir

Les obligations de l’éditeur concernant les cookies tiers

L’article 82 de la loi Informatique et Libertés fait peser sur l’éditeur qui autorise des partenaires à déposer des cookies une responsabilité de moyens. Il doit vérifier leur conformité, surveiller les opérations et effectuer les démarches utiles pour faire cesser les manquements, même lorsque les opérations sont techniquement réalisées par des tiers.

Le consentement préalable et l’efficacité du refus

Les opérations de lecture ou d’écriture d’informations dans le terminal nécessitent une information claire et complète, puis le consentement de l’utilisateur, sauf exceptions prévues par l’article 82. Le refus doit être effectivement respecté. La poursuite de requêtes après refus caractérise le manquement.

La sanction sans mise en demeure préalable

L’article 20 de la loi Informatique et Libertés permet à la CNIL de prononcer directement une mesure correctrice, sans mise en demeure préalable. L’article 20, paragraphe III, autorise notamment une amende administrative, fixée en tenant compte de la nature, de la gravité et de la durée de la violation ainsi que des mesures prises par le responsable.

Article 82 de la loi n° 78-17 du 6 janvier 1978, Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 20, paragraphe III, de la loi n° 78-17 du 6 janvier 1978, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article 8, I, 2° d) et g) de la loi n° 78-17 du 6 janvier 1978, Article 19 de la loi n° 78-17 du 6 janvier 1978, Article 39 du décret n° 2019-536 du 29 mai 2019, Article 40 du décret n° 2019-536 du 29 mai 2019