Le 14 janvier dernier, la CNIL a publié un projet de recommandation de mise en œuvre pratique de ses lignes directrices du 4 juillet 2019 relatives aux cookies et autres traceurs.
Pour mémoire, en juillet dernier, la CNIL mettait fin aux pratiques visant à considérer que la poursuite de navigation valait consentement des internautes et réaffirmait l’obligation des acteurs du secteur d’être à même de prouver l’obtention d’un consentement valide des internautes.
Le projet du régulateur contient 9 articles comportant (i) des recommandations, (ii) des exemples de mentions d’information et (iii) des exemples de bonnes pratiques opérationnelles de mise en œuvre de ses lignes directrices.
Tout d’abord, la CNIL propose des recommandations pratiques permettant de recueillir un consentement valide des internautes (c’est-à-dire un consentement « éclairé », « libre », « spécifique » et « univoque »).
A titre d’exemples, le régulateur propose :
- De faire figurer sur l’écran des internautes, avant même de recueillir leur consentement, les finalités des cookies ainsi qu’un court descriptif de ces finalités puis, en complément, un descriptif plus détaillé devant être accessible depuis l’interface permettant de recueillir le consentement des internautes ;
- De communiquer la liste exhaustive de tous les responsables de traitement au moment du recueil du consentement et « de manière permanente » à un endroit « aisément accessible »;
- De ne pas utiliser des pratiques de conception qui tendraient notamment à donner l’impression aux internautes que leur consentement est obligatoire pour la poursuite de la navigation (prohibition du « cookie wall») ;
- De permettre aux internautes de consentir « finalité par finalité» et, quand la possibilité d’accepter globalement l’ensemble des finalités des cookies leur est offerte, d’être en mesure de refuser globalement les finalités de ces cookies ;
- Le cas échéant, d’enregistrer le refus des internautes au même titre que leur consentement, afin de ne pas solliciter à nouveau ce consentement « pendant un certain laps de temps ».
Ensuite, la CNIL propose aux responsables de traitement de mettre en œuvre des mécanismes permettant de prouver le recueil du consentement des internautes (par exemple par des traceurs et par l’horodatage du consentement), ainsi que la preuve de la validité de ce consentement (notamment par la mise sous séquestre du code informatique auprès d’un tiers, par des captures d’écran ou encore par des audits réguliers).
Aussi, afin d’assurer une meilleure transparence lors de l’usage des cookies, la CNIL propose plusieurs bonnes pratiques relatives à l’utilisation des cookies (par exemple en utilisant des cookies différents pour chaque finalité distincte, en utilisant des noms explicites et uniformisés pour les traceurs, etc.).
Enfin, la CNIL émet des recommandations à destination des développeurs de navigateurs et des systèmes d’exploitation qui souhaiteraient intégrer des mécanismes de recueil du consentement des utilisateurs pour ensuite transmettre aux éditeurs de sites et d’applications mobiles les préférences des utilisateurs (par exemple en s’assurant du caractère éclairé du choix des internautes et que le recueil du consentement est conforme à la réglementation).
Ce projet de recommandation fait actuellement l’objet d’une consultation publique, ouverte jusqu’au 25 février prochain, pour une publication de la version définitive prévue au mois de mars 2020. Les professionnels auront ensuite 6 mois pour se mettre en conformité.
Pour leur part, les professionnels de la publicité en ligne s’indignent et craignent un « scenario catastrophe » pour l’écosystème, du fait d’une lourde diminution du taux d’acceptation des cookies. Ils estiment, en effet, que ce taux d’acceptation, aujourd’hui évalué à 70%, atteindrait 10%[1] une fois les recommandations mises en œuvre.
Lien vers le projet de recommandation : https://www.cnil.fr/sites/default/files/atoms/files/projet_de_recommandation_cookies_et_autres_traceurs.pdf
[1] Les Echos 15.01.2020, Cookies : la publicité en ligne vent debout contre la CNIL, Florian Dèbes
