Consentement préalable aux cookies et obligations des éditeurs et émetteurs

L’article 32-II de la loi n° 78-17 du 6 janvier 1978 impose une information claire et complète sur les finalités des cookies et les moyens de s’y opposer, ainsi qu’un consentement préalable lorsque le dépôt ou la lecture n’est pas strictement nécessaire à la communication électronique ou à un service expressément demandé. Le consentement doit être libre, spécifique et informé, résulter d’une action positive et pouvoir être retiré aussi facilement qu’il a été donné. L’acceptation de conditions générales ne suffit pas.

La recommandation préconise une information visible, compréhensible et détaillée, suivie d’un mécanisme permettant l’acceptation ou le refus par catégories de finalités. La simple poursuite de la navigation peut valoir accord seulement après affichage d’un bandeau informatif et lorsque l’utilisateur poursuit effectivement sa navigation. Le refus ne doit pas entraîner de conséquence négative importante ni empêcher l’accès au service.

Les éditeurs et les partenaires qui déterminent les finalités et les moyens du traitement sont considérés comme coresponsables des obligations prévues par l’article 32-II. Ils ne sont pas qualifiés de sous-traitants lorsqu’ils participent à la définition du profilage ou des finalités publicitaires.

L’exemption applicable à certains cookies de mesure d’audience suppose notamment une information, un mécanisme d’opposition accessible, une finalité limitée à la mesure d’audience, l’absence de recoupement, l’anonymisation ou la suppression de l’adresse IP après géolocalisation, ainsi qu’une durée maximale de treize mois. L’article 8 de la loi du 6 janvier 1978 demeure applicable aux données sensibles.

⬇️Télécharger la décision version officielle

La CNIL précise les règles applicables aux cookies et autres traceurs. Elle distingue ceux nécessitant un consentement préalable, notamment pour la publicité ciblée, certains outils de mesure d’audience et les réseaux sociaux, de ceux strictement nécessaires à la communication ou au service demandé. La recommandation détaille l’information, le consentement, son retrait, les responsabilités des acteurs, la durée de treize mois et les exemptions.

La CNIL adopte une recommandation relative aux cookies et autres traceurs utilisés lors de la consultation de sites, de courriers électroniques, de logiciels ou d’applications mobiles. Elle rappelle que l’article 32-II de la loi du 6 janvier 1978 s’applique aux accès ou inscriptions d’informations dans un terminal, que ces informations constituent ou non des données à caractère personnel.

La recommandation distingue les traceurs nécessitant un consentement préalable, notamment ceux liés à la publicité ciblée, à certains outils de mesure d’audience et aux réseaux sociaux, de ceux qui sont strictement nécessaires à la communication électronique ou à un service expressément demandé.

Elle précise les exigences d’information, de recueil et de retrait du consentement, les obligations respectives des éditeurs et partenaires, le rôle limité des paramètres du navigateur, la durée maximale de treize mois et les conditions d’exemption applicables à certains cookies de mesure d’audience.

• Informer clairement l’utilisateur avant tout dépôt ou lecture
• Recueillir un consentement libre, spécifique, informé et positif
• Permettre le refus et le retrait du consentement
• Réserver l’exemption aux traceurs nécessaires ou strictement encadrés
• Limiter les cookies d’audience à des statistiques anonymes
• Supprimer ou anonymiser l’adresse IP après géolocalisation
• Respecter une durée maximale de treize mois

• Bandeau informatif présentant les finalités des cookies
• Lien permettant le paramétrage et l’opposition
• Action positive de poursuite de navigation ou d’acceptation
• Mécanisme de retrait du consentement
• Paramètres du navigateur préalablement configurables
• Mesures d’anonymisation et de limitation de l’adresse IP

Les éditeurs et leurs partenaires doivent organiser conjointement l’information, le recueil du consentement et son retrait lorsque plusieurs acteurs interviennent. Les traceurs d’audience ne peuvent bénéficier d’une exemption que si leur usage reste strictement limité, transparent et non recoupé.n

• Mettre en place un bandeau visible et compréhensible
• Permettre l’acceptation ou le refus par finalité
• Documenter les rôles et responsabilités des partenaires
• Limiter les cookies à treize mois sans prorogation automatique
• Anonymiser ou supprimer l’adresse IP après géolocalisation
• Prévoir un mécanisme de retrait aussi accessible que l’acceptation

À faire

• Identifier chaque technologie de traçage utilisée
• Décrire précisément ses finalités
• Afficher l’information avant tout dépôt
• Recueillir une action positive de l’utilisateur
• Prévoir opposition et retrait accessibles

À éviter

• Déposer un cookie avant consentement requis
• Assimiler l’absence d’action à un accord
• Utiliser des conditions générales comme consentement
• Recouper les données d’audience avec d’autres fichiers
• Prolonger automatiquement les cookies au-delà de treize mois

Le consentement préalable aux cookies et traceurs

nL’article 32-II de la loi du 6 janvier 1978 exige une information claire et complète, puis un consentement préalable pour les accès ou inscriptions non strictement nécessaires. Le consentement doit être libre, spécifique et informé, résulter d’une action positive et pouvoir être retiré aussi facilement qu’il a été donné. L’acceptation de conditions générales ne constitue pas une modalité valable.n

La coresponsabilité des éditeurs et émetteurs

nLorsque plusieurs acteurs participent au dépôt et à la lecture des cookies, chacun est considéré comme coresponsable des obligations de l’article 32-II. Les partenaires qui déterminent les finalités et les moyens du traitement, notamment pour le profilage publicitaire, ne sont pas des sous-traitants.n

L’exemption des cookies de mesure d’audience

nL’exemption suppose une information, une opposition facilement accessible, une finalité limitée à la mesure d’audience, l’absence de recoupement, des statistiques anonymes, une portée limitée à un seul éditeur, une adresse IP supprimée ou anonymisée après géolocalisation et une durée maximale de treize mois.

Article 11 de la loi n° 78-17 du 6 janvier 1978, Article 32-II de la loi n° 78-17 du 6 janvier 1978, Article 8 de la loi n° 78-17 du 6 janvier 1978