Cookies et autres traceurs : la CNIL publie ses lignes directrices modificatives et sa recommandation
La CNIL a adopté des lignes directrices modificatives ainsi qu'une recommandation portant sur l'usage de cookies et autres traceurs. Elles ont été publiées au Journal officiel du 2 octobre 2020. Les entreprises et acteurs concernés ont jusqu'à mars 2021 pour se mettre en conformité.
Pour rappel, la CNIL avait adopté une première recommandation en 2013. L'entrée en vigueur du
En parallèle, la CNIL a décidé d'établir, à l'issue d'une concertation avec les professionnels et la société civile, un projet de recommandation. Celle-ci n'est pas prescriptive, précise la CNIL. Elle peut cependant jouer le rôle de guide pratique afin d'éclairer les acteurs utilisant des traceurs sur les modalités concrètes de recueil du consentement de l'internaute. Ce projet a été soumis en janvier dernier à une consultation publique, (Projet de recommandation « cookies et autres traceurs » : la CNIL lance une consultation publique).
- Lignes directrices. Les grands principes retenus
• Concernant le consentement des utilisateurs :
- la simple poursuite de la navigation sur un site ne peut plus être considérée comme une expression valide du consentement de l'internaute ;
- les personnes doivent consentir au dépôt de traceurs par un acte positif clair (comme le fait de cliquer sur « j'accepte » dans une bannière cookie). Si elles ne le font pas, aucun traceur non essentiel au fonctionnement du service ne pourra être déposé sur leur appareil ;
- les utilisateurs devront être en mesure de retirer leur consentement facilement, et à tout moment ;
- refuser les traceurs doit être aussi aisé que de les accepter ;
• Concernant l'information des personnes :
- elles doivent être clairement informées des finalités des traceurs avant de consentir, ainsi que des conséquences qui s'attachent à une acceptation ou un refus de traceurs ;
- elles doivent également être informées de l'identité de tous les acteurs qui utilisent des traceurs soumis au consentement ;
- les organismes exploitant les traceurs doivent être en mesure de fournir, à tout moment, la preuve du recueil valable du consentement libre, éclairé, spécifique et univoque de l'utilisateur.
La CNIL prévoit que certains traceurs sont exemptés du recueil du consentement :
- les traceurs destinés à l'authentification auprès d'un service ;
- les traceurs destinés à garder en mémoire le contenu d'un panier d'achat sur un site marchand ;
- certains traceurs visant à générer des statistiques de fréquentations ;
- les traceurs permettant aux sites payant de limiter l'accès gratuit à un échantillon de contenu demandé par les utilisateurs.
- Recommandation
Dans sa recommandation, la CNIL suggère que :
- l'interface du recueil du consentement ne comprenne pas seulement un bouton « tout accepter » mais aussi un bouton « tout refuser » ;
- les sites internet, qui généralement conservent pendant une certaine durée le consentement aux traceurs, concernent également le refus des internautes pendant une certaine période, afin de ne pas réinterroger l'internaute à chacune de ses visites ;
- lorsque des traceurs permettent un suivi sur des sites autres que le site visité, le consentement soit recueilli sur chacun des sites concernés par ce suivi de navigation.
Le délai de mise en conformité aux nouvelles règles ne devra pas dépasser 6 mois, soit au plus tard fin mars 2021. La CNIL tiendra compte des difficultés opérationnelles des opérateurs pendant cette période durant laquelle elle privilégiera l'accompagnement sur les contrôles. Elle se réserve cependant la possibilité de poursuivre certains manquements, notamment en cas d'atteinte particulièrement grave au droit au respect de la vie privée. En outre, la CNIL continuera à poursuivre les manquements aux règles relatives aux cookies antérieures à l'entrée en vigueur du
Consulter la FAQ.