La version finale des recommandations de la CNIL sur la manière d’obtenir le consentement des utilisateurs
Le 1er octobre 2020, la Commission nationale de l’informatique et des libertés (la » CNIL « ) a publié une version révisée :
- de ses lignes directrices sur les cookies et technologies similaires (les » Lignes directrices « )
- ses recommandations finales sur les modalités pratiques de recueil du consentement des utilisateurs pour le stockage ou la lecture des cookies non essentiels et technologies similaires sur leurs appareils (les » Recommandations « )
- et un ensemble de questions-réponses sur les Recommandations ( » FAQ « )
Contexte
Le 18 juillet 2019, la CNIL a publié les Recommandations afin de préciser les règles applicables à l’utilisation des cookies et technologies similaires en France à la lumière des exigences renforcées en matière de consentement du Règlement général sur la protection des données de l’UE ( » RGPD « ).
Les Lignes directrices devaient être complétées par les Recommandations pour guider les entreprises dans la mise en œuvre de ces règles en proposant des exemples concrets d’interface utilisateur pour obtenir le consentement pour les cookies non essentiels et les technologies similaires.
➜ Le 19 juin 2020, le plus haut tribunal administratif de France (le » Conseil d’État « ) a rendu une décision annulant partiellement les Recommandations
Le Conseil d’État a annulé la disposition des Lignes directrices imposant une interdiction générale et absolue des » murs de cookies » qui empêchent les utilisateurs qui ne consentent pas à l’utilisation de cookies d’accéder à un site ou à une application mobile.
Le jour de la décision du Conseil d’Etat, la CNIL a publié un communiqué annonçant qu’elle allait réviser ses Lignes directrices en conséquence.
Lignes directrices et recommandations de la CNIL sur les cookies
Les points clés des nouvelles lignes directrices et recommandations
➜ Le consentement des utilisateurs doit être obtenu sur chaque site
La CNIL considérait auparavant qu’il était acceptable de demander le consentement des utilisateurs pour un groupe de sites si les utilisateurs étaient informés de la portée exacte de leur consentement.
La CNIL recommande désormais vivement de solliciter le consentement des utilisateurs individuellement pour chaque site, lorsque des cookies non essentiels sont déposés par d’autres entités que l’éditeur du site et que ces cookies permettent de suivre les activités des utilisateurs sur d’autres sites.
➜ Informations à fournir aux utilisateurs pour obtenir un consentement « éclairé »
Les lignes directrices élargissent légèrement la liste des informations à fournir au minimum aux utilisateurs pour obtenir leur consentement éclairé.
- Les utilisateurs doivent non seulement être informés de l’identité du ou des responsables du traitement des données
- de la ou des finalités de l’utilisation des cookies et des technologies similaires
- et de l’existence de leur droit de retirer leur consentement
- ils doivent également être informés au moins de la manière dont ils peuvent accepter ou refuser les cookies et les technologies similaires
- et des conséquences de cette acceptation ou de ce refus
➜ Possibilité de refuser les cookies avec la même simplicité que pour donner son consentement
Les Lignes directrices que les Recommandations soulignent qu’il doit être aussi facile d’accepter l’utilisation de cookies que de la refuser.
Les interfaces de consentement qui ne comprennent que des boutons « Accepter tout » et « Personnaliser les paramètres », par lesquels les utilisateurs peuvent accepter tous les cookies en un clic mais les refuser en plusieurs clics, ne sont pas légales.
S’il existe un bouton « Accepter tout« , il doit y avoir un bouton « Refuser tout » de la même taille et au même niveau sur l’interface.
Alternativement, l’interface de consentement pourrait inclure un lien « Continuer sans accepter ». Il doit être clair pour les utilisateurs comment ils peuvent refuser les cookies.
Le refus des utilisateurs déduit de leur silence
La CNIL reconnaissait précédemment la possibilité pour les utilisateurs de différer leur choix, et recommandait d’insérer à cette fin un bouton » croix » dans l’interface de consentement.
La CNIL considère désormais que le silence, l’inaction ou l’action des utilisateurs (autre qu’un acte positif clair exprimant leur consentement) doit être interprété comme un refus de l’implantation de cookie sur leurs appareils.
➜ Assouplissement des conditions de dispense de consentement pour les cookies analytiques
La CNIL a historiquement considéré que les cookies analytiques pouvaient être exemptés de l’obligation de consentement, sous réserve de conditions strictes, notamment la possibilité pour les utilisateurs de refuser la présence de ces cookies.
En conséquence, très peu de solutions analytiques pouvaient bénéficier de l’exemption de consentement. La CNIL a maintenant assoupli ces conditions.
Cependant, l’exemption de consentement ne s’applique toujours qu’aux cookies analytiques dont la finalité est limitée à la mesure de l’audience du site ou de l’appli uniquement pour le compte de l’éditeur web. Ces cookies analytiques doivent être utilisés uniquement pour produire :
- des statistiques anonymes
- et les données personnelles collectées par le biais des cookies
- ils ne doivent pas être combinées avec d’autres données ou activités de traitement et ne doivent pas être partagées avec des tiers
➜ Murs de cookies
Les lignes directrices n’imposent plus une interdiction générale et absolue des » murs de cookies » . Cependant, la CNIL considère que cette pratique est susceptible d’affecter la liberté de consentement dans certains cas.
En outre, si un » mur de cookies » est mis en œuvre, les utilisateurs doivent être clairement informés des conséquences de leurs choix, notamment l’impossibilité d’accéder au contenu du site ou de l’appli ou du service s’ils ne donnent pas leur consentement.
Prochaines étapes
La CNIL effectuera des contrôles pour faire appliquer les lignes directrices après cette période de transition. Toutefois, conformément à la jurisprudence du Conseil d’État, la CNIL se réserve le droit de prendre des mesures à l’encontre de certaines infractions, notamment en cas d’atteintes particulièrement graves au droit à la vie privée.
- Consultez les recommandations finales de la CNIL.
- Quels sont les raccourcis pour effacer les cookies de votre navigateur internet ?
➜ Si vraiment vous souhaitez être anonyme lorsque vous publiez un commentaire ou un article sur internet, il vous faut un VPN.
Ce type de logiciel maquille votre adresse IP, cache votre identité et chiffre votre connexion.
| NordVPN est basé au Panama pour éviter l’obligation d’enregistrement des historiques (très rapide). |
| LeVPN est moins cher, français, basé à Singapour pour les mêmes raisons (moins diversifié). |