Évolution des pratiques du web en matière de cookies : la CNIL constate que son plan d’action « a eu un fort impact »
Favoriser la conformité des professionnels aux nouvelles règles, tout en s’assurant de la bonne compréhension de celles-ci par les internautes : le plan d’action de la Commission nationale de l'informatique et des libertés (CNIL) en matière de cookies (2020 à 2022) a-t-il répondu à l’objectif affiché ? Le régulateur des données personnelles a investigué et est arrivé à la conclusion qu’il « a eu un fort impact ».
Des utilisateurs mieux informés et un taux de refus en hausse. - La Commission a cherché à mesurer les effets de ses décisions sur le terrain, notamment à travers des sondages pour évaluer la compréhension et l’utilisation des nouvelles règles par les internautes français.
Il en ressort que les utilisateurs ont « une bien meilleure connaissance de la réglementation ». Par ailleurs, a été constaté « un taux de refus des cookies en hausse ». Sachant que « l’attitude par rapport au refus de cookies dépasse les clivages habituels de catégorie socio-professionnelle, d’âge ou de géographie ».
Évolutions des pratiques des sites web français. – Le Laboratoire d’innovation numérique de la CNIL a suivi, de janvier 2021 à août 2022, les pratiques des 1 000 sites à plus forte audience en France. L’analyse « n’avait pas pour objectif d’apprécier la conformité de ces sites à la réglementation, mais permettait d’observer le nombre de cookies déposés ou lus par des acteurs tiers avant toute action de l’utilisateur ».
Qu’a-t-il observé ? « Les résultats démontrent que l’action de la CNIL a permis de diminuer l’intensité du traçage publicitaire sur les sites web visités par les français. » Dans le même temps, a été constaté une réduction du nombre moyen de cookies tiers déposés par site, nombre qui doit être croisé avec les pratiques en matière d’information des personnes et de gestion du consentement par les sites avant de conclure à une non-conformité.
Ces résultats « montrent des premiers résultats positifs des actions de la CNIL en ce qui concerne la première visite des sites, avant que l'utilisateur n’exprime un choix en matière de traceurs ». « Les chiffres indiquent toutefois que le traçage des données de navigation par les acteurs de la publicité ciblée, sans consentement des personnes, reste potentiellement important. » En conséquence, la CNIL maintiendra ses efforts de mise en conformité sur les sites à forte audience en France.
Contrôles, mises en demeure et sanctions. – Depuis la publication de ses lignes directrices et recommandation le 1er octobre 2020, la CNIL a procédé à plusieurs vérifications de la bonne mise en conformité des sites visités par les internautes français. Sachant que les contrôles opérés ont porté sur les sites à plus fortes audiences, que l’éditeur du site soit établi en France, dans le reste de l’Europe ou dans un pays tiers. Car, les nouvelles règles sont applicables à tous les acteurs du web, quels qu’ils soient, à partir du moment où l’internaute est situé en France.
Après une période d’adaptation de 6 mois, expirant au 31 mars 2021, la Commission a adressé 94 mises en demeure à des organismes non conformes lors d’une campagne de 125 contrôles en ligne. Au total, 3 vagues de mises en demeure ont été lancées (mai 2021, fin juin 2021, décembre 2021), puis ont été closes après la mise en conformité des sites concernés.
Parallèlement, les acteurs majeurs du numérique qui ne pouvaient ignorer l’entrée en vigueur des nouvelles règles et disposaient des moyens de se mettre en conformité, des procédures de sanctions ont été lancées. Ainsi, la CNIL a sanctionné Google (250 M€), Facebook (60 M€) et Amazon (35 M€), en les contraignant à se mettre en conformité dans un délai de 3 mois.
Au total, la CNIL a prononcé 8 sanctions de 2020 à 2022 sur la thématique des cookies, pour des manquements tels que le défaut d’information, le dépôt de cookies sans consentement préalable, la défaillance du mécanisme de refus ou l’impossibilité de refuser les cookies aussi facilement que de les accepter.
Le montant cumulé de ces sanctions atteint 421 M€. Pour certains acteurs, transnationaux, leur impact a bien souvent dépassé le territoire français, car les entités se sont alors mises en conformité pour l’ensemble de leurs opérations européennes.