Alerte Clovers ! Votre site web est-il conforme à la nouvelle réglementation qui entrera en vigueur le 10 janvier 2022 ?
Nous analysons ci-dessous les nouvelles lignes directrices du Garant de la protection de la vie privée concernant les cookies
- Directives relatives à l'utilisation des cookies et autres outils de suivi
Par la mesure n° 231 du 10 juin 2021, publiée au Journal officiel n° 163 du 9 juillet 2021, le Garant de la protection des données a émis ses lignes directrices concernant
a) indiquer aux exploitants de sites web les règles à respecter en matière d'utilisation des cookies et autres outils de suivi et
b) définir les procédures appropriées pour fournir des informations et obtenir le consentement des personnes concernées (les « lignes directrices »).
Ces lignes directrices visent donc à compléter les indications précédentes du Garant de la protection de la vie privée (mesure n° 229 de 2014) en précisant que la manifestation de volonté de la personne concernée doit être « sans équivoque », libre et éclairée, et en exigeant que la protection des données soit assurée dès la conception et par défaut (respect de la vie privée par défaut et dès la conception).
- Que faut-il faire à partir du 10 janvier ?
Voici un résumé des obligations énoncées dans les lignes directrices, en particulier en ce qui concerne les méthodes d'obtention du consentement et les caractéristiques de la note d'information sur les cookies.
a) L'obtention du consentement
Tout d'abord, le Garant rappelle que les pratiques suivantes ne sont pas autorisées en tant que moyens d'obtention du consentement :
- du « défilement » (c'est-à-dire le déplacement du curseur vers le bas), qui peut être considéré comme un acte positif permettant de manifester sans équivoque la volonté de consentir au traitement, sous réserve d'exceptions à examiner au cas par cas ;
- ce que l'on appelle le « cookie wall », c'est-à-dire un mécanisme contraignant (dit « à prendre ou à laisser ») dans lequel l'utilisateur est tenu, pour accéder au site, d'exprimer son consentement à l'utilisation de cookies ou d'autres outils de suivi, sous réserve d'exceptions à évaluer au cas par cas.
D'un point de vue opérationnel, le Garant exige que les conditions suivantes soient remplies pour que le consentement de l'internaute soit valablement obtenu :
- lors de la première visite d'un utilisateur sur le site web, aucun cookie ni aucun autre outil autre que technique ne sera installé sur son appareil, et aucune technique de suivi active ou passive ne sera utilisée ;
- lors de la première consultation de la page web, une zone ou une bannière de taille appropriée s'affichera, de manière à ne pas inciter l'utilisateur à faire des choix non désirés ;
- une telle bannière devra permettre à l'utilisateur d'exprimer son consentement par une action positive ;
- Il est donc nécessaire de permettre à l'utilisateur de conserver les paramètres par défaut et de poursuivre sa navigation sans donner son consentement, en cliquant sur la commande de fermeture de la bannière, signalée par un « X » situé en haut à droite de celle-ci ;
- il est nécessaire d'insérer (outre le lien vers la note d'information complète) une note d'information succincte concernant l'utilisation des cookies techniques et – sous réserve d'un consentement préalable – des cookies de profilage ou d'autres outils de suivi, dans le but d'envoyer des messages publicitaires ou de fournir le service de manière personnalisée ;
- Il y aura également une commande permettant d'exprimer son consentement en acceptant l'installation de tous les cookies ou l'utilisation de tout autre outil de suivi, ainsi qu'un lien vers une section dédiée où il sera possible de sélectionner les fonctionnalités, les cookies dits « tiers » et les cookies à l'utilisation desquels l'utilisateur choisit de consentir.
Le garant précise également que la bannière ne devra pas être affichée à chaque nouvelle connexion et que le choix de l'utilisateur doit être dûment enregistré et ne plus lui être demandé pendant au moins six mois, sauf en cas de modifications importantes des conditions de traitement.
b) Le rapport d'information
La note d'information relative aux cookies devra indiquer les destinataires des données à caractère personnel collectées ainsi que la durée de conservation des données recueillies ; elle pourra également être diffusée sur plusieurs canaux et selon différentes modalités (par exemple, via des fenêtres contextuelles, des vidéos ou des interactions vocales). Si seuls des cookies techniques sont utilisés, la politique en matière de cookies peut être intégrée à la politique générale. L'Autorité de protection des données recommande par ailleurs que les cookies analytiques, utilisés pour évaluer l'efficacité d'un service, ne soient utilisés qu'à des fins statistiques.
Ce qui précède constitue le cadre général des lignes directrices du Garant de la protection de la vie privée qui, avec un soutien juridique approprié, devraient être mises en œuvre sur chaque site web.