Respecter le choix de vos clients est un gage de bonnes relations commerciales. D’ailleurs, la délibération du 4 juillet 2019, publiée au Journal Officiel, marque un renforcement du consentement des utilisateurs sur les cookies et autres traceurs.

En effet, nous avons déjà publié un article plus général sur l’opt-in et l’opt-out et vos obligations vis-à-vis de vos prospects et clients en fonction de vos activités BtoC (Activité directe avec le consommateur) ou BtoB (Activité entre entreprises).

Désormais, dans cet article, nous allons décrypter le texte législatif du 4 juillet 2019 et vous apportez les éclaircissements nécessaires sur les règles à mettre en place sur les sites web d’ici les 12 prochains mois à compter du 4 juillet 2019.

Pour mémoire, les cookies et autres traceurs permettent de tracer, reconnaître les utilisateurs, de suivre leur navigation pour personnaliser vos offres produits, modifier les pages de votre site web et améliorer votre positionnement web. Derrière votre site web, il y a de forte probabilité que se cachent des outils qui vont permettre une meilleure compréhension du parcours de vos clients sur votre site web ou votre site de e-Commerce. Si c’est le cas, vous êtes concernés.

En publiant cette délibération, la CNIL anticipe sur 2020 et la sortie du futur règlement ePrivacy (complément au RGPD, en cours d’examen au parlement européen).

Avec l’arrivée de cette délibération, vous devez adapter vos process, vos outils et revoir vos demandes de consentements.

Où et quand l’utilisateur doit-il donner son consentement ?

L’utilisateur doit avoir donné son consentement au recueil de ses données avant toute autre action sur le site quelque soit 

• le terminal (tablette, smartphone, ordinateur et tout autre objet connecté à un réseau de télécommunication ouvert au public)
• le mode de connexion utilisé ;
• les systèmes d’exploitation et les logiciels applicatifs ;

Comment obtenir le consentement de l’utilisateur ?

« Les traceurs nécessitant un recueil du consentement ne peuvent être utilisés en écriture ou en lecture tant que l’utilisateur n’a pas préalablement manifesté à cette fin sa volonté, … »

… de manière libre :

Le consentement est valable que si la personne concernée est en mesure d’exercer valablement son choix et ne subit pas d’inconvénients majeurs en cas d’absence ou de retrait du consentement.

Pour rappel, toute action qui consiste à bloquer l’accès à un site web ou à une application mobile pour qui ne consent pas à être suivi n’est pas conforme au RGPD.

… de manière spécifique :

Le consentement doit être indépendant et spécifique pour chaque finalité.

… de manière éclairée :

L’information doit être rédigée de façon simple et compréhensible et doit permettre aux utilisateurs d’être informés des différentes finalités des traceurs utilisés.

L’information doit être complète, visible et mise en évidence au moment du recueil du consentement. Les informations sont à minima :

• l’identité du ou des responsables de traitement ;
• la finalité des opérations de lecture ou écriture des données ;
• l’existence du droit de retirer son consentement.

 … de manière univoque :

Le consentement doit se manifester par le biais d’une action positive de la personne préalablement informée des conséquences de son choix et disposant des moyens de l’exercer.

Ce qu’il ne faut pas faire :

Le fait de continuer à naviguer sur un site web, d’utiliser une application mobile ou bien de faire défiler la page d’un site web ou d’une application mobile ne constitue pas des actions positives claires assimilables à un consentement valable.

En complément, La CNIL considère également que l’utilisation de cases pré-cochées, tout comme l’acceptation globale de CGU ou le renvoi vers celles ci ne peuvent être considérées comme un acte visant à donner son consentement.

Comment obtenir la preuve du consentement ?

Évidemment, le consentement doit être démontrable, les organismes exploitant des traceurs doivent mettre en œuvre des mécanismes leur permettant de démontrer qu’ils ont valablement recueilli le consentement des utilisateurs.

Comment refuser ou retirer son consentement ?

En effet, des solutions « conviviales » doivent être mises en œuvre pour que les personnes puissent retirer leur consentement aussi facilement qu’elles ont pu le donner.

Quelles sont les responsabilités des acteurs ?

Chacun des Responsables de traitements (uniques ou conjoints) est responsable de l’obligation de recueillir le consentement et chacun définit ses obligations.

Znfin pour un sous-traitant, la CNIL rappelle qu’un « contrat » précisant les obligations de chaque partie, dans le respect des dispositions de l’article 28 du RGPD.

Mon navigateur web me permet de paramétrer ma vie privée sur internet, est-ce suffisant ?

Cela n’est pas suffisant. En effet, les outils ne permettent pas de distinguer les différentes finalités de traitements et donc de consentir de manière spécifique son accord pour chaque finalité.

Quelles sont les obligations sur les traceurs de mesure d’audience ?

La CNIL considère qu’ils peuvent bénéficier de cette exemption au recueil du consentement, sous conditions :

• ils doivent être mis en œuvre par l’éditeur du site ou par son sous-traitant ;
• la personne doit être informée préalablement à leur mise en œuvre ;
• elle doit disposer de la faculté de s’y opposer facilement. Aucune opération de lecture ou d’écriture ne doit avoir lieu sur le terminal depuis lequel la personne s’est opposée ;
• la finalité du dispositif doit être limitée à (i) la mesure d’audience du contenu visualisé, (ii) la segmentation de l’audience du site web en cohortes afin d’évaluer l’efficacité des choix éditoriaux, sans que cela ne conduise à cibler une personne unique et (iii) la modification dynamique d’un site de façon globale.

Les données à caractère personnel (DCP) collectées ne doivent pas être recoupées avec d’autres traitements ni transmises à des tiers. Aussi, l’utilisation des traceurs doit également être limitée à la production de statistiques anonymes.

• l’utilisation de l’adresse IP pour géolocaliser l’internaute ne doit pas fournir une information plus précise que la ville. L’adresse IP collectée doit également être supprimée ou anonymisée par la suite ;
• les traceurs utilisés par ces traitements ne doivent pas avoir une durée de vie excédant treize mois et cette durée ne doit pas être prorogée automatiquement lors des nouvelles visites. Les informations collectées par l’intermédiaire des traceurs doivent être conservées pendant une durée de vingt-cinq mois maximum.

Quelles sont les opérations qui ne nécessitent pas l’obtention du consentement ?

L’exigence du consentement préalable ne s’applique pas si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement terminal de l’utilisateur :

• a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ; ou
• est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur.

Mais est-ce que l’utilisateur peut s’opposer à l’utilisation de ces traceurs alors dans ces cas de figure ? La loi n’impose pas non plus d’offrir la possibilité de s’opposer à l’utilisation des traceurs dans ce cadre-là.

Toutefois, dans le cadre de la transparence, les utilisateurs doivent être informés de leur existence et de leur finalité en intégrant, par exemple, une mention dans la politique de confidentialité des organisations y ayant recours.

En résumé, 1 minute pour comprendre ce que dit la délibération de la CNIL du 04 juillet 2019

L’utilisateur doit être informé de la finalité du traitement, information que vous devez stipuler dans votre politique de confidentialité entre autres.

L’utilisateur doit être informé des moyens dont il dispose pour s’y opposer : informations qui doivent aussi se retrouver dans votre politique de confidentialité.

Nous vous invitons à vérifier vos accords avec vos sous-traitants, prendre les mesures adéquates sur vos applications mobiles ou sites web pour être en conformité avec la législation en vigueur sur les cookies ou autres traceurs et cela vous permettra aussi d’améliorer votre confiance auprès de vos futurs clients. Vous avez jusqu’au 4 juillet 2020 pour travailler sur cette disposition.

Face à vos obligations et en cas de manquement la CNIL rappelle qu’elle peut prendre toutes mesures correctrices et sanctions vis-à-vis des organismes qui y sont soumis.

Bien sûr, nous vous invitons à partager, liker cet article sur vos réseaux respectifs et à nous suivre sur vos réseaux sociaux préférés.