Cookies et autres traceurs : lignes directrices et recommandations de la CNIL

Les opérations de lecture et/ou d’écriture d’informations dans l’équipement terminal d’un abonné ou d’un utilisateur de services de communications électroniques sont couramment appelées « traceurs ». Il en existe autant que la technologie peut le permettre, comme l’identification et le suivi d’une personne en fonction de son comportement sur le web (fingerpritting). Le traceur le plus connu reste le témoin de connexion, dit « cookie », stocké sur le terminal de l’utilisateur ou de l’abonné et consultable par une tierce personne. L’utilisation de ces traceurs est régie par l’article 5 de la directive ePrivacy (dir. 2002/58/CE, 12 juill. 2002, mod. dir. 2009/136/CE, 25 nov. 2009), transposée en droit français à l’article 82 de la loi n° 78-17 du 6 janvier 1978, dite loi « Informatique et Libertés » (LIL), qui renvoie pour la définition du consentement à l’article 4, 11, du Règlement général sur la protection des données (UE) 2016/679 du 27 avril 2016 (RGPD) lu à la lumière des lignes directrices du CEPD 05/2020 du 4 mai 2020 sur le consentement.

Auparavant, les lignes directrices de la CNIL n° 2013-378 du 5 décembre 2013 s’avéraient favorables aux exploitants des traceurs. L’entrée en vigueur du RGPD impose désormais un consentement libre, spécifique, éclairé et univoque, manifesté par un acte positif clair, rendant incompatible cette nouvelle règle avec les anciennes lignes directrices, qui se contentaient par exemple d’une simple poursuite de la navigation sur un site web pour caractériser la manifestation du consentement à l’utilisation de traceurs. La CNIL a ainsi édicté de nouvelles lignes directrices le 4 juillet 2019 (délib. n° 2019-093, v. Dalloz actualité, 11 sept. 2019, obs. C. Crichton ; D. 2019. 1673, obs. W. Maxwell et C. Zolynski ; Dalloz IP/IT 2019. 463, obs. C. Crichton ; ibid. 703, obs. D. Lebeau-Marianna et T. Caulier ) qui ont été partiellement censurées par le Conseil d’État le 19 juin 2020 (req. n° 434684, v. Dalloz actualité, 25 juin 2020, obs. M.-C. de Montecler ; Dalloz IP/IT 2020. 189, obs. F. Coupez et G. Péronne ; Lebon ; AJDA 2020. 1264 ; Légipresse 2020. 343 et les obs. ). En parallèle, elle a élaboré un projet de recommandation précisant ses lignes directrices et qui a été soumis à consultation publique du 14 janvier au 25 février 2020.

De nouvelles lignes directrices n° 2020-091, accompagnées de leur recommandation n° 2020-092, ont ainsi été adoptées le 17 septembre 2020 et publiées au Journal officiel le 2 octobre 2020. Conformément à l’article 8, I, 2°, b), de la LIL, ces textes n’ont pour objectif que de « faciliter la mise en conformité des traitements de données à caractère personnel avec les textes relatifs à la protection des données à caractère personnel ». Ils n’édictent pas de règles générales et absolues en ce qu’ils se limitent à de la soft law, ce que la CNIL rappelle par ailleurs en énonçant que sa recommandation, « et notamment les exemples qui y sont proposés, n’est ni prescriptive ni exhaustive et a pour seul objectif d’aider les professionnels concernés dans leur démarche de mise en conformité » (pt 3). L’enjeu est cependant de taille puisqu’un projet de règlement ePrivacy est actuellement en discussion et les lignes directrices de la CNIL pourraient en être une source d’inspiration.

Sur les opérations concernées

Traceurs

Les traceurs sont définis par les lignes directrices comme « toutes les opérations visant à accéder, par voie de transmission électronique, à des informations déjà stockées dans l’équipement terminal de l’abonné ou de l’utilisateur d’un service de communications électroniques ou à inscrire des informations dans celui-ci » (pt 9). Ils incluent bien évidemment les cookies, mais aussi d’autres techniques de traçage pourvu qu’elles entrent dans le champ de l’article 82 de la LIL (pt 13). Est exclu des lignes directrices le traceur qui « soit a pour finalité exclusive de permettre ou faciliter la communication par voie électronique […], soit est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur » (LIL, art. 82 ; pts 46-47), étant précisé que, si les finalités sont composites et que l’une d’entre elles au moins ne relève pas de ces exceptions, les lignes directrices s’appliquent (pt 48). La CNIL dresse ainsi une liste des traceurs pouvant être exemptés « en l’état des pratiques portées à sa connaissance » (pt 49). La recommandation de la CNIL donne l’exemple d’un traceur gérant la préférence linguistique de l’utilisateur, bien qu’elle recommande d’informer au moins l’utilisateur de l’existence de ce traceur et de limiter son application à une période raisonnable (recommandations., pts 49-50).

Traceurs de mesure d’audience

Dans ses lignes directrices, la CNIL porte plus spécifiquement son attention sur les traceurs ayant pour finalité la mesure d’audience d’un site ou d’une application (pts 50-52) qui font par ailleurs l’objet d’un communiqué de presse autonome. Ne sont pas soumis à l’article 82 de la LIL « les traceurs dont la finalité se limite à la mesure de l’audience du site ou de l’application, pour répondre à différents besoins (mesure des performances, détection de problèmes de navigation, optimisation des performances techniques ou de l’ergonomie, estimation de la puissance des serveurs nécessaires, analyse des contenus consultés, etc.) [qui] sont strictement nécessaires au fonctionnement et aux opérations d’administration courante ». La CNIL insiste sur le fait que la finalité doit être strictement limitée et que les traceurs doivent « uniquement servir à produire des données statistiquement anonymes ».

Équipement terminal

L’équipement terminal se définit conformément à l’article 1^er de la directive 2008/63/CE du 20 juin 2008 relative à la concurrence dans les marchés des équipements terminaux de télécommunication. Les lignes directrices précisent que la définition englobe « une tablette, un ordiphone […], un ordinateur fixe ou mobile, une console de jeux vidéo, une télévision connectée, un véhicule connecté, un assistant vocal, ainsi que tout autre équipement terminal connecté à un réseau de télécommunication ouvert au public » (pt 11), peu important le système d’exploitation ou le logiciel applicatif utilisé (pt 12).

Donnée

Selon la CNIL, l’article 82 de la LIL est applicable indépendamment du fait que les données collectées sont ou non à caractère personnel (lignes directrices, pt 14), tout en précisant néanmoins que, dès lors que les traitements portent sur des données à caractère personnel, ils ne sont pas concernés par les lignes directrices puisqu’ils sont soumis au RGPD (pt 15). Elle s’exprime plus clairement en matière de traitements de mesure d’audience, qui « sont des traitements de données à caractère personnel qui sont soumis à l’ensemble des dispositions pertinentes du RGPD » (pt 52). Si les traceurs impliquent un traitement de données à caractère personnel, les lignes directrices de la CNIL éclairent sur la manière de déterminer le statut des acteurs (pts 32-42), notamment lorsque « plusieurs acteurs contribuent à la réalisation des opérations de lecture ou écriture visées par les présentes lignes directrices (par exemple, un éditeur de site web et une régie publicitaire déposant les traceurs lors de la consultation du site web) » (pt 33). Conformément à l’arrêt Fashion ID, en effet, l’éditeur d’un site qui dépose des traceurs et les tiers qui utilisent ces traceurs sont considérés comme des responsables conjoints de traitement dès lors qu’ils agissent pour leur propre compte (CJUE 29 juill. 2019, aff. C-40/17, D. 2019. 1604 ; ibid. 2266, obs. J. Larrieu, C. Le Stanc et P. Tréfigny ; Dalloz IP/IT 2020. 126, obs. T. Douville ; Légipresse 2019. 448 et les obs. ; ibid. 613, obs. E. Drouard et J. Beaufour ; RTD eur. 2020. 319, obs. F. Benoît-Rohmer ), ce qui implique une délimitation transparente de leurs obligations respectives.

Sur le consentement

Fondement

Dès lors que les opérations entrent dans le champ de l’article 82 de la LIL, les acteurs concernés doivent s’assurer que l’utilisateur ou l’abonné délivre un consentement respectant les prescriptions de l’article 4, 11, du RGPD. Dans l’hypothèse où plusieurs acteurs contribuent aux opérations de lecture ou d’écriture du traceur, les lignes directrices précisent que l’éditeur du site web ou de l’application mobile semble être le plus à même d’informer l’utilisateur et de recueillir son consentement (pt 37). Relevons également que la CNIL constate qu’en l’état actuel de la technique, « les possibilités de paramétrage des navigateurs et des systèmes d’exploitation ne peuvent, à eux seuls, permettre à l’utilisateur d’exprimer un consentement valide » (pts 43-45).

Consentement libre

Relevant les motifs de la censure du Conseil d’État, qui a jugé que l’interdiction générale et absolue des cookies wall prévue par une norme de droit mou relevait d’un excès de pouvoir (CE 19 juin 2020, préc.), les lignes directrices de la CNIL ne se prononcent plus sur leur validité. Ainsi expose-t-elle que « le fait de subordonner la fourniture d’un service ou l’accès à un site web à l’acceptation d’opérations d’écriture ou de lecture sur le terminal de l’utilisateur […] est susceptible de porter atteinte, dans certains cas, à la liberté du consentement » (pt 17). Si la pratique est licite (v. sur ce point CEPD, lignes directrices 05/2020, 4 mai 2020, Dalloz actualité, 15 mai 2020, obs. I. Gavanon et V. Le Marec), ajoutent les lignes directrices, l’information devrait clairement indiquer à l’utilisateur les conséquences de ses choix (pt 18). Plus généralement, les lignes directrices rappellent qu’un consentement unique pour plusieurs finalités n’est pas valide (pt 19). À cela, la recommandation indique qu’il est possible, d’une part, de proposer un bouton acceptant ou refusant toutes les finalités et, d’autre part, de donner une information de second niveau avec, à titre d’exemple, un bouton « personnaliser mes choix » (pts 24-29).

Consentement spécifique

Les lignes directrices énoncent qu’une acceptation globale des conditions générales d’utilisation ne respecte pas le principe du consentement spécifique (pt 20).

Consentement éclairé

L’information doit être rédigée de manière simple et compréhensible par tous, précisent les lignes directrices. La recommandation ajoute un élément relatif aux dark patterns : « afin d’être compréhensible et de ne pas induire en erreur les utilisateurs, la Commission recommande aux organismes concernés de s’assurer que les utilisateurs prennent la pleine mesure des options qui s’offrent à eux, notamment au travers du design choisi et de l’information délivrée » (pt 10). La CNIL dresse également une liste des informations à délivrer a minima dans ses lignes directrices (pt 24) tout en ajoutant quelques exemples concrets dans sa recommandation, sachant qu’une information peut tout à fait être délivrée sur plusieurs niveaux (pts 12-15). Concernant, enfin, les destinataires ou catégories de destinataires, tant les lignes directrices (pt 25) que la recommandation (pts 18-21) insistent sur le fait que l’utilisateur doit être en mesure d’identifier aisément les responsables du traitement et que la liste de ces personnes doit être exhaustive et tenue à jour. Il est utile de préciser que la tenue d’une telle liste va à contre-courant de certaines opinions figurant dans la consultation publique (p. 5), qui soulève la difficulté tant matérielle qu’informationnelle du respect de cette mesure.

Consentement univoque

La CNIL rappelle dans ses lignes directrices qu’un consentement suppose une action positive (pt 26). Reprenant l’arrêt Planet49 (CJUE 1^er oct. 2019, aff. C-673/17, v. Dalloz actualité, 4 oct. 2019, obs. C. Crichton ; D. 2019. 1884 ; ibid. 2128, entretien J.-L. Sauron ; ibid. 2020. 1262, obs. W. Maxwell et C. Zolynski ; Dalloz IP/IT 2019. 586, chron. C. Crichton ; ibid. 2020. 189, obs. F. Coupez et G. Péronne ; Légipresse 2019. 524 et les obs. ; ibid. 694, étude C. Thiérache et A. Gautron ; RTD eur. 2020. 320, obs. F. Benoît-Rohmer ), elle précise que ni la poursuite de la navigation ni l’utilisation de cases pré-cochées ne constituent une action positive et qu’en leur absence, l’utilisateur doit être considéré comme ayant refusé (pt 27). Concrètement, la recommandation indique qu’il est possible de manifester le consentement par l’utilisation de cases à cocher, décochées par défaut, ou par l’utilisation d’interrupteurs (sliders) tant qu’ils sont eux aussi désactivés par défaut et que le choix des utilisateurs est aisément identifiable (pt 23). Une autre allusion aux dark patterns est faite, où la CNIL recommande « de s’assurer [que l’information] n’est pas rédigée de telle manière qu’une lecture rapide ou peu attentive pourrait laisser croire que l’option sélectionnée produit l’inverse de ce que les utilisateurs pensaient choisir » (pt 23).

Preuve du consentement

La preuve du consentement pèse sur les « organismes exploitant des traceurs, responsables du ou des traitements » (lignes directrices n° 2020-091, pt 29). La recommandation propose des solutions permettant la conservation de cette preuve (pts 46-48).

Refus du consentement

Contrairement à l’acceptation qui doit être expresse, les lignes directrices exposent que le refus peut se déduire du silence de l’utilisateur et qu’il ne doit nécessiter aucune démarche (pt 30). Il doit également « pouvoir se traduire par une action présentant le même degré de simplicité que celle permettant d’exprimer son consentement » (ibid.). En cela, une seule action pour accepter, alors que plusieurs actions sont nécessaires pour refuser, n’est pas recommandée (recommandations, pts 30-34).

Retrait du consentement

« Il doit être aussi simple de retirer son consentement que de le donner », indiquent les lignes directrices (pt 31). Les solutions permettant le retrait du consentement devraient figurer dans un endroit aisément accessible et à tout moment (recommandation n° 2020-092, pts 40-45).

Conservation des choix de l’utilisateur

Seule la recommandation évoque la conservation des choix de l’utilisateur qui permet une meilleure fluidité de la navigation (pts 35-39). Ainsi, la CNIL recommande de conserver ses choix, notamment afin d’éviter que des fenêtres de consentement s’ouvrent constamment, « ce qui pourrait porter atteinte à la liberté de leur choix ». Est également recommandé de renouveler le recueil du consentement à intervalles appropriés. À ce titre, la CNIL estime qu’une conservation de six mois « constitue une bonne pratique de la part des éditeurs ».