Légalité des cookie walls : la CNIL publie des premiers critères d'évaluation
Depuis plusieurs mois, certains sites web et applications mobiles utilisent des « murs de traceurs » (« cookie walls » en anglais). Régulièrement interrogée sur le sujet et saisie de nombreuses plaintes, la CNIL publie des premiers critères permettant d'évaluer la légalité d'une telle pratique.
Pratiques. - La plupart des services proposés sur Internet sont présentés comme gratuits ; mais, cette gratuité pécuniaire n'est pas sans contrepartie : ainsi, les données personnelles des internautes collectées sont très souvent utilisées par les acteurs du web pour financer les services qu'ils proposent en recourant, notamment, à la publicité ciblée. Le dépôt de cookies et autres traceurs permet, par exemple, de collecter des informations sur un internaute telles que son âge, son lieu de résidence ou encore ses centres d'intérêt et ses habitudes de consommation, pour ensuite lui proposer des publicités qui ont de fortes chances de l'intéresser et donc de générer un achat.
Face aux exigences européennes liées au recueil du consentement préalable de l'internaute au dépôt de ces traceurs, de nombreux sites ont choisi de recourir à un cookie wall, qui désigne le fait de conditionner l'accès à un service à l'acceptation, par l'internaute, du dépôt de certains traceurs sur son terminal (ordinateur, smartphone, etc.). Certains sites ont recours, en cas de refus des traceurs par les internautes, à la mise en place d'un choix alternatif consistant pour ces derniers à devoir fournir une autre contrepartie. Les éditeurs de ces sites cherchent par ce biais à compenser la perte de revenus publicitaires résultant de l'absence de traceurs par un autre mode de rémunération. Dans la majeure partie des cas, la contrepartie est financière ; on parle alors de « paywall » : l'internaute qui refuse d'accepter les cookies est obligé de fournir une somme d'argent pour accéder au site.
Critères. – Comme rappelé dans les lignes directrices « cookies et autres traceurs », le fait de conditionner la fourniture d'un service ou l'accès à un site web à l'acceptation du dépôt de certains traceurs est susceptible de porter atteinte, dans certains cas, à la liberté du consentement. Si l'exigence d'un consentement « libre » n'entraîne pas une interdiction générale de la pratique des cookie walls, leur légalité doit être appréciée en tenant notamment compte de l'existence d'alternatives réelles et satisfaisantes proposées en cas de refus des traceurs.
Dans l'attente d'une législation ou d'un positionnement de la Cour de justice de l'Union européenne, la CNIL a estimé nécessaire de publier des critères permettant d'évaluer la légalité de telles pratiques, critères qui se concentrent sur les pratiques les plus couramment constatées et qui doivent être utilisés dans le cadre d'une analyse au cas par cas.
Que faut-il retenir essentiellement ?
• Généralités. L'ensemble des principes du
• Alternative pour accéder au contenu. Lorsqu'un internaute refuse l'utilisation de traceurs sur un site web (par exemple en cliquant sur un bouton « tout refuser »), la CNIL recommande aux éditeurs de proposer une alternative réelle et équitable permettant d'accéder au site et qui n'implique pas de devoir consentir à l'utilisation de leurs données. À défaut, l'éditeur devra être en mesure de démontrer, notamment à la CNIL, qu'un autre éditeur propose une telle alternative sans conditionner l'accès à son service au consentement de l'utilisateur au dépôt de traceurs, c'est-à-dire sans cookie wall.
• Tarif raisonnable. Le fait, pour un éditeur, de conditionner l'accès à son contenu, soit à l'acceptation de traceurs contribuant à rémunérer son service, soit au paiement d'une somme d'argent, n'est pas interdit par principe puisque cela constitue une alternative au consentement aux traceurs. Mais, cette contrepartie monétaire ne doit pas être de nature à priver les internautes d'un véritable choix : on peut ainsi parler de tarif raisonnable, dont la détermination dépend d'une analyse au cas par cas. En pratique, l'éditeur qui souhaite mettre en œuvre un paywall devra être en mesure de justifier du caractère raisonnable de la contrepartie monétaire proposée. Pour plus de transparence à l'égard des internautes, la CNIL encourage les éditeurs à publier leur analyse.
La CNIL invite les éditeurs à tenir compte, dans l'évaluation du montant raisonnable, des modes de consommation du service proposé. Par exemple, l'éditeur pourra choisir de recourir à des porte-monnaie virtuels permettant de réaliser des micropaiements pour accéder de façon ponctuelle à un contenu ou service en particulier de façon fluide et sans qu'il soit nécessaire pour l'internaute d'enregistrer ses données de carte bancaire auprès de l'éditeur.
Au-delà, la création d'un compte doit poursuivre des objectifs déterminés et transparents pour l'internaute.
• Acceptation des traceurs. Un « cookie wall » ou un « pay wall » peut-il systématiquement imposer d'accepter l'intégralité des traceurs du site web ? S'il n'est pas interdit de conditionner l'accès au site au consentement à une ou plusieurs finalités des traceurs, l'éditeur devra démontrer que son cookie wall est limité aux finalités qui permettent une juste rémunération du service proposé, indique la CNIL. Par exemple, si un éditeur considère que la rémunération de son service dépend des revenus qu'il pourrait obtenir de la publicité ciblée, seul le consentement à cette finalité devrait être nécessaire pour accéder au service : le refus de consentir à d'autres finalités (personnalisation du contenu éditorial, etc.) ne devrait alors pas empêcher l'accès au contenu du site.
À noter, par ailleurs : l'éditeur doit informer les internautes, de manière claire, des finalités pour lesquelles il est nécessaire - ou non - de consentir pour accéder au service.
Autre question : si l'utilisateur choisit l'accès payant sans consentir aux cookies, des traceurs peuvent-ils tout de même être déposés ? En principe, aucun traceur nécessitant le consentement de l'internaute ne devrait être déposé lorsque celui-ci refuse le dépôt de traceurs et choisi l'alternative proposée par l'éditeur. Seuls des traceurs nécessaires au fonctionnement du site web pourront être utilisés. Il n'empêche : l'éditeur pourra toutefois demander, au cas par cas, le consentement de l'internaute au dépôt de traceurs lorsque ces derniers sont imposés pour accéder à un contenu hébergé sur un site tiers (par exemple, pour visionner une vidéo hébergée par un site tiers) qui requiert l'utilisation d'un cookie non strictement nécessaire, ou à un service demandé par l'utilisateur (par exemple, pour donner accès aux boutons de partage sur des réseaux sociaux).