Cookie Policy

DÉCISION DE L’AUTORITÉ DE CONTRÔLE DE LA PROTECTION DES DONNÉES À CARACTÈRE PERSONNEL : FICHE DE SYNTHÉSE DE LA DÉCISION N° 231 DU 10 JUIN 2021 « COOKIE : NOUVELLES LIGNES DIRECTRICES EN DÉFENSE DES UTILISATEURS »

Dans sa décision de juin dernier, l’Autorité de contrôle pour la protection des données à caractère personnel a voulu réunir et actualiser toutes les indications réglementaires en matière de cookies et/ou autres systèmes de traçage de la personne exploitant des outils technologiques pour la navigation.

Le point crucial est le respect des principes de responsabilité, confidentialité dès la conception et confidentialité par défaut, lesquels visent en fait à une utilisation toujours plus éclairée et à un renforcement du pouvoir de décision de l’utilisateur pendant sa navigation en ligne.

Selon la Décision de l’Autorité de contrôle, chaque responsable du traitement du site a 6 mois pour s'adapter aux lignes directrices.

Le schéma ci-dessous reprend les principales questions et réponses qui permettent une gestion correcte de la déclaration relative aux cookies de chaque site web.

 

1. Définition du terme « cookie »

Il s’agit de chaînes de texte que les sites web visités par les utilisateurs ‘(les Éditeurs ou « premières parties ») ou des sites ou serveurs web différents (les « tierces parties ») placent et enregistrent dans le dispositif final de l'utilisateur, pour qu’ils soient ensuite retransmis aux sites lors de la visite successive.

2. À quoi servent les cookies ?

Ils ont différentes finalités telles que:
a) l’exécution d’authentifications informatiques;
b) le suivi des sessions;
c) l’enregistrement d'informations sur des configurations spécifiques relatives aux utilisateurs qui entrent dans le serveur;
d) l’enregistrement des préférences, destinées également à faciliter l’exploitation des contenus en ligne (ex. pour garder une trace des articles dans un panier d'achats ou des informations pour la compilation d’un formulaire informatique, etc.);
e) le profilage de l’utilisateur (c’est-à-dire « l’observation » de ses comportements en vue de l’envoi de publicités ciblées, l’évaluation de l’efficacité du message publicitaire et l’adoption ultérieure de stratégies commerciales) en l'occurrence les cookies de profilage.
Le même résultat peut être obtenu par le biais d’autres outils ou techniques de traçage, dont la prise d’empreintes digitales.

3 En quoi consistent les cookies techniques?

Ces cookies servent à naviguer ou à fournir un service demandé par l’utilisateur. Ils ne sont pas utilisés à d’autres fins et sont normalement installés directement par le responsable du traitement du site web.
Sans ces cookies, certaines opérations seraient impossibles ou plus compliquées et/ou moins sûres, comme les activités de home banking (affichage de l’extrait de compte, virements, paiement de factures, etc.) pour lesquelles les cookies permettant d’identifier l'utilisateur et de conserver cette identification durant la session, sont indispensables.

4 Les cookies analytiques sont-ils des cookies techniques?

Non.
L’Autorité de contrôle a précisé qu’ils peuvent être assimilés aux cookies techniques à condition d’être utilisés directement pour optimiser le site par le responsable du traitement du site. Ce dernier pourra collecter des informations d’ordre statistique sous forme agrégée sur le nombre d’utilisateurs et leur mode de visite du site.
Si l’élaboration de ces analyses statistiques est confiée en revanche à des tiers, les données des utilisateurs devront être préalablement minimisées et ne pourront être combinées à d'autres élaborations ni transmises à d’autres tiers. Dans ces conditions, les règles prévues pour les cookies techniques, relatives aux informations à fournir et au consentement, s’appliquent également aux cookies analytiques.
À titre d’exception, il est permis tant à la première partie, qui s’y emploie personnellement qu’à la tierce partie qui agit sur mandat de la première, de produire des statistiques avec des données de plusieurs domaines, sites web ou applications attribuables au même responsable du traitement ou groupe d’entreprises.

5 Le consentement est-il toujours indispensable pour l’installation des cookies sur son propre dispositif?

Tout dépend des finalités d’utilisation des cookies, à savoir s'il s’agit de cookies « techniques » ou de « profilage ».
L'installation des cookies techniques et analytiques n’impose pas l’obtention du consentement des utilisateurs, mais il y a toujours lieu de fournir les informations (art. 13 du règlement UE 2016/679).
L’ utilisation des cookies de profilage ou d’autres outils de traçage est subordonné, en revanche, au consentement de l’utilisateur, après qu’il aura été informé par des modalités simplifiées.

6 Modalités de délivrance des informations simplifiées sur les cookies et le consentement aux cookies de profilage

Comme le stipule l’Autorité de contrôle, les informations devraient être configurées sur plusieurs niveaux et fournies par plusieurs canaux, en prenant les mesures les plus adaptées pour les rendre accessibles sans discriminations aux porteurs de handicap.
Dans le respect de la responsabilité, l’Autorité de contrôle suggère toutefois d’adopter un mécanisme qui déclenche l’affichage instantané d’un bandeau contenant les premières informations « succinctes », la demande de consentement à l’utilisation des cookies et un lien pour accéder à des informations plus « détaillées », au moment de l’entrée de l’utilisateur sur un site web (sur la page d'accueil ou sur toute autre page).
Sur cette page, l’utilisateur trouvera des informations plus détaillées concernant les cookies et choisira quels cookies autoriser.

7 Comment doit être réalisé le bandeau?

Le responsable doit garantir que, le traitement ne concerne, pour une configuration prédéfinie, que les données nécessaires à certaines finalités, limitant de ce fait, le traitement au minimum indispensable à la navigation des utilisateurs sur le site. Au moment du premier accès de l’utilisateur, aucun cookie ou autre outil de traçage ne pourra donc être utilisé.
Par la suite un bandeau de dimensions appropriées aux différents types de dispositifs utilisables, pourra s'afficher. Sans entraver le maintien des configurations prédéfinies, ce bandeau permettra à qui le souhaite de donner son consentement.
L’utilisateur qui s’y refuse, se contentera de fermer le bandeau en sélectionnant la commande normalement utilisée à cet effet (en général, un bouton portant un X placé en haut à droite du bandeau).

8 Quels indications et commandes doit contenir le bandeau?

Le bandeau doit:
- spécifier, le cas échéant, que le site utilise des cookies de profilage, voire également de « tierces parties », qui permettent d’envoyer des messages publicitaires conformes aux préférences de l'utilisateur ;
- contenir le lien aux informations détaillées à fournir et une zone dans laquelle il est possible de sélectionner en mode analytique les fonctionnalités, les cookies et les tierces parties à qui l’on a l'intention de donner son consentement ;
- contenir une commande pour consentir en acceptant tous les cookies ou autres outils de traçage ;
- préciser que si l’utilisateur choisit de fermer le bandeau en utilisant le bouton portant le X en haut à droite, les configurations prédéfinies qui ne permettent pas l’utilisation de cookies ou d'autres outils de traçage que les outils techniques seront conservées.

9 Comment peut être documentée l’obtention du consentement par l’utilisation des bandeaux?

Pour conserver une trace du consentement, le responsable du traitement du site peut se servir d’un cookie technique spécial, système non particulièrement invasif et qui n’exige pas de consentement ultérieur, ainsi que d'autres modalités qui permettent de garder à jour la documentation des choix de la personne concernée.
L’utilisateur est libre de modifier aisément, à tout instant, ses options. À cet égard, il est bon de prendre une précaution technique (par exemple une icône ou un signe graphique) qui indique à tout moment l’état des consentements précédents de l’utilisateur.

10 Le bandeau peut-il être reproposé à chaque nouvelle connexion au site?

Non.
Si l’utilisateur n’a pas donné son consentement ou n’a consenti qu’à l’utilisation de certains cookies, le bandeau ne devra plus réapparaître sauf dans des cas bien spécifiques:
a) quand une ou plusieurs conditions du traitement changent, par exemple les « tierces parties » ;
b) quand il est impossible pour le prestataire de services de savoir si un cookie technique a déjà été placé dans le dispositif de l'utilisateur (par exemple au cas où l’utilisateur efface lui-même les cookies) ;
c) quand six mois au moins se sont écoulés depuis l’affichage précédent du bandeau.

11 Le consentement en ligne à l’utilisation des cookies peut-il être demandé uniquement via le bandeau?

Non.
Les responsables du traitement des sites ont toujours la possibilité de recourir à d’autres moyens que celui identifié par l’Autorité de contrôle dans la décision susmentionnée, pour autant que les moyens choisis remplissent toutes les conditions de validité du consentement requises par la loi.

12 Le bandeau des cookies est-il nécessaire si l’on se contente d’utiliser des cookies techniques?

Non.
Dans ce cas, le responsable du traitement du site peut donner les informations aux utilisateurs par les moyens qu’il juge les plus appropriés, par exemple l’insertion d'indications concernant la déclaration de confidentialité indiquée sur le site.

13 Consentement par défilement

Non, le défilement du curseur sur la page n’est pas adapté pour consentir.
Le défilement pourrait au besoin constituer une des composantes d'un processus plus élaboré qui permettrait de générer un événement informatique apte à exprimer un choix enregistrable, susceptible d’être documenté et sans équivoque.

14 Est-il permis de refuser l’accès à un site au cas où l’utilisateur ne consent pas à l’utilisation de cookies et/ou d’autres systèmes de traçage?

Non, sauf dans l’hypothèse, à vérifier au cas par cas, où le responsable du traitement du site, en agissant dans le respect du principe de loyauté, donne à la personne concernée la possibilité d'accéder à un contenu ou à un service équivalent sans donner son consentement.

15 Que doivent mentionner les informations détaillées?

- Tous les éléments prévus par la loi, la description analytique des caractéristiques et des finalités des cookies installés par le site,
- Elles doivent citer les autres destinataires éventuels des données à caractère personnel, les temps de conservation des informations et les indications sur la possibilité et les modalités d’exercice des droits des utilisateurs en matière de protection des données à caractère personnel.
- Elles doivent contenir les critères de codification des cookies ou d'autres outils de traçage utilisés pour faire notamment la distinction entre les cookies techniques, analytiques et de profilage.

16 Qui doit fournir les informations et demander le consentement à l’utilisation des cookies?

Le responsable du traitement du site web qui installe des cookies de profilage.
Pour les cookies tiers installés par le site, les obligations d’informations et de consentement échoient aux tierces parties. Toutefois le responsable du traitement du site, en tant qu’intermédiaire technique entre ces tiers et les utilisateurs, se doit d’insérer les liens actualisés aux informations et formulaires de consentement des tierces parties dans les informations « détaillées ».