Consentement préalable au dépôt de traceurs

Cookies et traceurs : les règles applicables

Les opérations de lecture et d'écriture dans le terminal d'un internaute relèvent d'un régime distinct de celui du règlement (UE) 2016/679 : il est issu de la directive vie privée et communications électroniques, transposé en droit national, et la CNIL en assure le contrôle. Ce régime s'applique que l'information lue soit ou non une donnée personnelle, ce qui explique qu'un identifiant technique puisse y être soumis.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Le principe : consentement avant dépôt

Toute action tendant à accéder à des informations déjà stockées dans le terminal de l'utilisateur ou à y inscrire des informations suppose son consentement préalable. Le consentement est celui du règlement (UE) 2016/679 : une manifestation de volonté libre, spécifique, éclairée et univoque, par laquelle la personne accepte par une déclaration ou un acte positif clair, selon l'article 4.11.

Trois conséquences en découlent, et chacune correspond à un manquement constaté de manière récurrente. La poursuite de la navigation ne vaut pas consentement, puisqu'elle n'est pas un acte positif clair. Les cases pré-cochées ne valent pas consentement, pour la même raison. Et aucun traceur non exempté ne doit être déposé avant le choix de l'internaute, ce qui se vérifie sur le comportement réel du site et non sur le paramétrage annoncé par l'outil de gestion du consentement.

Refuser doit être aussi simple qu'accepter

Le caractère libre du consentement suppose que le refus soit possible et qu'il ne soit pas rendu plus coûteux que l'acceptation. Un bandeau qui propose un bouton d'acceptation immédiat et renvoie le refus derrière plusieurs écrans de paramétrage ne recueille pas un consentement libre : c'est la configuration qui a donné lieu aux sanctions les plus lourdes de l'autorité de contrôle en la matière.

L'article 7.3 du règlement impose par ailleurs qu'il soit aussi simple de retirer son consentement que de le donner. Un site qui recueille le consentement en un clic et n'offre aucun moyen visible de revenir sur ce choix est en écart, même si le recueil initial était correct.

Ce qui est exempté, et à quelles conditions

L'exemption vise les traceurs strictement nécessaires à la fourniture d'un service de communication en ligne expressément demandé par l'utilisateur, ou ayant pour finalité exclusive de permettre ou de faciliter une communication électronique. Entrent classiquement dans ce champ les traceurs de session d'authentification, de panier d'achat, de sécurité et de mémorisation du choix exprimé sur les traceurs eux-mêmes.

La mesure d'audience peut bénéficier d'une exemption, mais à des conditions restrictives que la CNIL a précisées : la finalité doit être strictement limitée à la mesure d'audience pour le compte exclusif de l'éditeur, les données produites ne doivent pas être recoupées avec d'autres traitements ni transmises à des tiers, le périmètre doit rester limité au site concerné, et la durée de vie des traceurs et de conservation des données doit être limitée.

Ces conditions excluent la plupart des outils de mesure grand public dans leur configuration par défaut, en particulier lorsqu'ils alimentent des fonctions publicitaires ou opèrent un suivi entre sites. L'exemption se vérifie sur la configuration réelle, pas sur la catégorie à laquelle l'outil est rangé.

Durée, périmètre et preuve

Le consentement n'est pas acquis indéfiniment : la CNIL recommande de le solliciter de nouveau à intervalles appropriés, et la durée de vie des traceurs doit être limitée à ce qui est nécessaire à leur finalité. Un traceur publicitaire dont la durée de vie dépasse largement celle de la campagne excède sa finalité.

La preuve du consentement incombe au responsable, en application de l'article 7.1 du règlement, qui lui impose d'être en mesure de démontrer que la personne a consenti. Cette preuve suppose de conserver, pour chaque consentement, l'horodatage, le périmètre des finalités acceptées et la version du dispositif présenté. C'est la conservation de cette dernière information qui manque le plus souvent : sans elle, il est impossible d'établir ce que l'internaute avait effectivement sous les yeux.

Le point de départ de toute mise en conformité reste l'inventaire réel des traceurs déposés, réalisé sur le site en fonctionnement. Il fait presque systématiquement apparaître des traceurs tiers embarqués par des scripts intégrés — lecteurs vidéo, cartes, outils de partage — dont l'éditeur ignorait la présence et dont il répond pourtant.

Questions fréquentes

Le bandeau cookies est-il obligatoire ?

Ce n'est pas le bandeau qui est obligatoire, mais le recueil du consentement préalable au dépôt de traceurs non exemptés. Un site qui ne dépose que des traceurs strictement nécessaires au service expressément demandé n'a pas à recueillir de consentement, et n'a donc pas besoin de bandeau. L'inventaire réel des traceurs détermine la réponse.

La mesure d'audience nécessite-t-elle un consentement ?

Elle peut en être exemptée si elle est strictement limitée à la mesure pour le compte exclusif de l'éditeur, sans recoupement avec d'autres traitements ni transmission à des tiers, avec un périmètre limité au site et des durées restreintes. Ces conditions ne sont pas réunies par la configuration par défaut de la plupart des outils grand public.

Peut-on conditionner l'accès au site à l'acceptation des cookies ?

Le caractère libre du consentement est apprécié au regard des conséquences du refus. Une pratique consistant à refuser l'accès en cas de refus des traceurs publicitaires fait l'objet d'un encadrement strict et ne peut être envisagée qu'à des conditions précises, notamment l'existence d'une alternative réelle et équitable. Elle ne peut pas être mise en place sans examen préalable.

Combien de temps le consentement est-il valable ?

Le texte ne fixe pas de durée. La CNIL recommande de solliciter de nouveau le consentement à intervalles appropriés, la durée de vie des traceurs devant par ailleurs être limitée à ce qui est nécessaire à leur finalité. La preuve du consentement doit être conservée, avec le périmètre accepté et la version du dispositif présenté à l'internaute.

Ce que ce régime déclenche ailleurs

Une audience publicitaire n'est exploitable que si le consentement recueilli en amont par l'éditeur est valide : la vérification porte sur le libellé réellement affiché.

Le ciblage publicitaire et la chaîne de consentement

Ce que le règlement met à la charge du délégué, à qui la formation s'adresse réellement, ce qu'elle doit couvrir par métier, et la trace à conserver.

Formation RGPD

Ce qu'un diagnostic examine, dans quel ordre, ce qu'il produit, et pourquoi une organisation hors du champ du règlement doit le savoir dès cette étape.

Audit RGPD

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.