Ce qu'il faut retenir
- Depuis fin mars 2021, les entreprises doivent mettre leur politique cookies en conformité avec le RGPD et la directive ePrivacy.
- Le RGPD encadre le traitement des données dans l'Union européenne ; la directive ePrivacy le complète pour les communications électroniques.
- La poursuite de la navigation ne vaut plus consentement : l'utilisateur doit consentir aux cookies par un acte positif clair.
- Refuser les cookies doit être aussi simple que les accepter, et l'utilisateur doit pouvoir changer d'avis facilement.
- L'utilisateur doit être informé de la finalité de la collecte, de la liste des partenaires et des conséquences d'un refus ou d'une acceptation.
- Trois types de cookies sont impactés : statistiques, de fonctionnalités et publicitaires.
À compter de fin mars 2021, les entreprises doivent se mettre en conformité afin de répondre aux exigences du RGPD et de la directive ePrivacy en matière de politique cookies.
Votre cabinet d’avocat HASHTAG Avocats vous détaille les changements à opérer pour être en conformité avec les exigences du RGPD et de la directive ePrivacy.
Pour rappel, le RGPD est un texte réglementaire européen encadrant le traitement des données de manière uniforme sur tout le territoire de l’Union européenne. La directive ePrivacy est une directive qui vient compléter le règlement RGPD applicable au secteur des communications électroniques.
Conformément aux exigences du RGPD de mai 2018, les entreprises doivent faire apparaitre sur leur site des outils de gestion de consentement, et ce, notamment concernant le dépôt de cookie. Toutefois, ce règlement était trop sujet à interprétations.
En effet, certains sites considéraient que le seul fait de poursuivre la navigation valait consentement au dépôt de cookies. D’autres sites ne recueillaient même pas le consentement de leurs utilisateurs.
Afin de remédier à ces différentes interprétations et de clarifier la situation en la matière, la CNIL a adopté de nouvelles lignes directrices (délibération n° 2020-091 du 17 septembre 2020) et une recommandation (délibération n° 2020-092 du même jour), qui prévoient notamment :
- Continuer à naviguer ou faire défiler la page ne vaut plus consentement. L’utilisateur doit consentir aux cookies par un acte positif clair, par exemple en cliquant sur « j’accepte » ; à défaut, il est réputé avoir refusé.
- L’utilisateur doit pouvoir tout aussi aisément refuser les cookies. Ce dernier doit pouvoir changer d’avis facilement.
- Jusqu’alors, certains sites internet ne permettaient pas aux utilisateurs d’exprimer leur avis aussi facilement. Le refus notamment de consentir n’était pas aussi simple que l’acceptation. Pour faire valoir son refus ou même pour émettre des réserves, l’utilisateur devait consulter un onglet spécifique tel que « en savoir plus ».
- D’après ces lignes directrices, les utilisateurs doivent être complètement informés de l’usage qui sera fait de leurs données. La finalité de la collecte doit être communiquée, ainsi que la liste des partenaires qui utiliseront ces données et les conséquences qui s’attachent à un refus ou une acceptation des traceurs.
La CNIL a fixé à fin mars 2021 au plus tard le délai de mise en conformité à ces nouvelles règles.
Ces règles ont des conséquences pratiques, en particulier pour les sites qui recouraient au consentement par poursuite de la navigation : les traceurs soumis à consentement ne peuvent concerner que les utilisateurs qui l’ont donné, ce qui peut réduire le volume de données collectées.
Quelles données seront impactées par la mise en conformité au RGPD et à la directive ePrivacy ?
À compter de fin mars 2021, trois types de cookies sont particulièrement concernés :
1. Les cookies « statistiques » (ou de performance) permettent d’analyser la fréquentation et les performances d’un site web. En principe, ils ne peuvent être déposés qu’avec le consentement de l’utilisateur. Une nuance s’impose : selon les lignes directrices de la CNIL, les traceurs dont la finalité se limite strictement à la mesure d’audience, pour le compte exclusif de l’éditeur, sont dispensés de consentement, sous les réserves qu’elle précise.
2. Les cookies de fonctionnalités permettent de personnaliser l’expérience des utilisateurs en leur proposant des produits déjà consultés. Sans ces cookies, le parcours de l’utilisateur sera plus difficile à fluidifier.
3. Les cookies publicitaires, déposés par des annonceurs ou des régies, permettent notamment de mesurer les ventes générées par une campagne publicitaire. Sans eux, une régie démontre plus difficilement son efficacité.
Les acteurs dont le modèle économique repose sur la collecte de données, comme les médias ou les comparateurs de prix, sont particulièrement concernés.
Un audit des sites web et des applications mobiles permet d’identifier les actions nécessaires pour répondre aux exigences de la réglementation.
