Une question précise ? Lancez une analyse avec le Copilote →
L’essentiel
- Fondement légal
- Article 82 de la loi Informatique et Libertés
- Consentement
- Préalable, libre, spécifique, informé et positif
- Refus
- Aussi simple que l’acceptation, sans design trompeur
- Retrait
- Possible à tout moment, aussi simplement
- Exemptions
- Communication ou service demandé strictement nécessaires
- Mesure d’audience
- Conditions strictes et durée maximale de treize mois
- Conservation des choix
- Six mois, bonne pratique générale
- Preuve
- Codes horodatés, captures, audits et configurations
Cadre juridique et définition
Les cookies sont des fichiers informatiques placés sur l’appareil de l’utilisateur par le fournisseur d’un site et auxquels celui-ci peut accéder lors d’une nouvelle visite. Ils peuvent faciliter la navigation, les transactions ou l’obtention d’informations sur le comportement de l’utilisateur.
L’article 82 de la loi du 6 janvier 1978 encadre les accès ou inscriptions d’informations sur l’équipement de l’utilisateur. Les traceurs qui ne sont pas strictement nécessaires à la communication ou au service demandé nécessitent en principe un consentement préalable.
Conditions du consentement et exemptions
Le consentement doit être précédé d’une information claire sur les finalités, les responsables de traitement et les conséquences du choix. Il doit résulter d’un acte positif, être libre et spécifique, avec des cases décochées et des interrupteurs désactivés par défaut.
L’acceptation et le refus doivent être proposés avec un degré de simplicité identique. L’inaction ne vaut pas consentement et le retrait doit rester possible à tout moment selon une procédure aussi simple que le recueil.
Certains traceurs peuvent être exemptés lorsqu’ils sont strictement nécessaires à la communication ou au service demandé. Pour la mesure d’audience, l’exemption suppose notamment une finalité limitée, l’absence de recoupement, des statistiques anonymes, une opposition facilement accessible et une durée maximale de treize mois.
- Publicité ciblée : consentement préalable requis.
- Réseaux sociaux et certains outils de mesure d’audience : consentement préalable requis.
- Traceurs strictement nécessaires : exemption possible.
- Choix des utilisateurs : conservation pendant une durée appropriée ; six mois constitue une bonne pratique générale.
Points de vigilance pour les éditeurs
| Point contrôlé | Exigence | Source |
|---|---|---|
| Équilibre entre les choix | Le refus doit être aussi simple que l’acceptation. | 4, 9 |
| Retrait du consentement | Le retrait doit rester possible à tout moment et selon une procédure aussi simple que le recueil. | 10 |
| Conservation des preuves | Les responsables doivent pouvoir démontrer la validité du consentement, notamment au moyen de codes horodatés, captures d’écran ou audits. | 11 |
| Partage des responsabilités | Les acteurs participant au dépôt et à la lecture des cookies peuvent être coresponsables des obligations applicables. | 13 |
Pour approfondir
Démarches pratiques pour les éditeurs
L’éditeur doit présenter, avant tout dépôt soumis au consentement, les finalités des cookies et les modalités d’acceptation, de refus et de retrait. Le bandeau doit permettre un refus aussi simple que l’acceptation et ne pas utiliser de design trompeur.
Les responsables de traitement doivent pouvoir démontrer à tout moment la validité du consentement. Cette preuve peut notamment reposer sur un code horodaté, des captures d’écran, des audits et la conservation des configurations successives des outils.
Lorsque plusieurs acteurs participent au dépôt et à la lecture des cookies, chacun peut être considéré comme coresponsable des obligations applicables. Une clause mettant le recueil du consentement à la charge d’un tiers ne suffit pas à établir la preuve de sa validité.
- Informer sur chaque finalité et sur les responsables concernés.
- Désactiver par défaut les traceurs soumis au consentement.
- Proposer l’acceptation et le refus avec une simplicité équivalente.
- Permettre le retrait à tout moment.
- Documenter et conserver les éléments prouvant le consentement.
Pour approfondir
Sanctions et exécution des injonctions
Une interface rendant le refus des cookies publicitaires plus difficile que leur acceptation peut caractériser un manquement à l’article 82 de la loi Informatique et Libertés. Dans une telle situation, la CNIL a prononcé une amende de 60 millions d’euros, assortie d’une injonction sous astreinte et de la publicité de la décision.
La mise en conformité doit porter sur l’ensemble des utilisateurs concernés. Une modification limitée aux utilisateurs connectés n’a pas suffi à corriger la différence de traitement constatée.
À l’inverse, après transmission de projets et de justificatifs démontrant la conformité du bandeau, une injonction a été considérée comme exécutée dans le délai imparti. L’astreinte de 100 000 euros par jour n’a alors pas été liquidée.
Preuve du consentement et responsabilités des acteurs
Les responsables de traitement doivent pouvoir démontrer à tout moment la validité du consentement recueilli. Une clause mettant contractuellement cette obligation à la charge d’un tiers ne suffit pas.
La preuve peut notamment reposer sur un code horodaté, des captures d’écran, des audits ou la conservation des configurations successives des outils. Elle doit pouvoir être mise à disposition des autres responsables concernés.
Lorsque plusieurs acteurs participent au dépôt et à la lecture des cookies, chacun peut être considéré comme coresponsable des obligations applicables. Les partenaires qui déterminent les finalités et les moyens du traitement, notamment pour le profilage publicitaire, ne sont pas des sous-traitants.
Exemples tirés de nos contenus
Questions fréquentes
Le refus des cookies doit-il être aussi simple que leur acceptation ?
Oui. L’acceptation et le refus doivent être proposés avec un degré de simplicité identique, sans design trompeur. Une interface rendant le refus plus difficile peut constituer un manquement à l’article 82 de la loi Informatique et Libertés.
Peut-on considérer qu’un internaute a consenti simplement parce qu’il poursuit sa navigation ?
Le consentement doit résulter d’un acte positif, libre et spécifique, après une information claire sur les finalités, les responsables et les conséquences du choix. Toute inaction ou action autre qu’un acte positif de consentement vaut refus pour les opérations soumises au consentement.
Comment retirer son consentement aux cookies ?
Le retrait doit être possible à tout moment, selon une procédure aussi simple que celle utilisée pour recueillir le consentement. Les choix doivent être conservés pendant une durée appropriée ; six mois constitue une bonne pratique générale.
Quels cookies de mesure d’audience peuvent être exemptés de consentement ?
L’exemption suppose notamment une finalité limitée à la mesure d’audience, l’absence de recoupement, des statistiques anonymes et une portée limitée à un seul éditeur. L’adresse IP doit être supprimée ou anonymisée après géolocalisation et la durée est limitée à treize mois.
Qui est responsable lorsque plusieurs acteurs déposent ou lisent des cookies ?
Lorsque plusieurs acteurs participent au dépôt et à la lecture des cookies, chacun est considéré comme coresponsable des obligations applicables. Les partenaires qui déterminent les finalités et les moyens du traitement, notamment pour le profilage publicitaire, ne sont pas des sous-traitants.
Comment prouver le consentement recueilli ?
Les responsables de traitement doivent pouvoir démontrer à tout moment la validité du consentement. La preuve peut notamment reposer sur un code horodaté, des captures d’écran, des audits ou les configurations successives des outils ; une simple clause contractuelle mettant le recueil à la charge d’un tiers ne suffit pas.
Décisions et analyses sur « Cookies »
Dernières décisions
Informations documentaires générées à partir de ressources officielles (jurisprudence, législation …) qui ne constituent pas un conseil juridiqueRetour en haut