Le paramétrage du navigateur n’est pas un mode valable d’opposition au dépôt de cookies

MISE À JOUR AU 23 OCTOBRE 2019 ; VOIR :

Comparons les recettes de cookies (CJUE ; CE ; CNIL) [article détaillé]

 

 

La plupart des utilisateurs d’internet se sont aujourd’hui familiarisés avec les « cookies » (traduits en français par la jolie notion de « témoins de connexion »).

Pour faire simple, il s’agit des données de connexion sauvegardées sur l’ordinateur par le site internet visité. De cette façon, le cookie constitue une donnée permettant de reconnaitre un visiteur lorsqu’il revient sur un site internet.

Ces utilisateurs doivent savoir que leur consentement à l’utilisation de telles données est obligatoire.

Récemment, et à propos des cookies présents sur le site Challenges.fr, le Conseil d’Etat a précisé la portée de cette obligation (CE, 6 juin 2018, Société Éditions Croque Futur, n° 412589).

1) L’éditeur d’un site internet doit veiller au respect de la légalité de tous les cookies déposés sur son site. 

C’est le premier apport de la décision.

La distinction est, a priori, relativement simple :

  • Les cookies déposés sur le site internet par son éditeur ou par un tiers, mais pour le compte de celui-ci, relèvent de la responsabilité de l’éditeur du site internet,
  • Les cookies déposés sur le site internet par des tiers relèvent de leur propre responsabilité.

Toutefois, dans sa décision du 6 juin 2018, le Conseil d’Etat a affiné cette distinction, en précisant que les éditeurs autorisant le dépôt et l’utilisation de tels cookies par des tiers à l’occasion de la visite de leur site doivent également être considérés comme responsables de traitement.

Notons que le Conseil d’Etat n’utilise pas la notion de « co-responsable de traitement », abandonnée par la loi Informatique et Libertés, mais qui fait un retour en force avec l’entrée en vigueur du RGPD (règlement général sur la protection des données personnelles).

Le Conseil d’Etat considère que l’éditeur doit, en tout état de cause, s’assurer auprès de ses partenaires qu’ils n’émettent pas, par l’intermédiaire de son site, des cookies qui ne respecteraient pas la règlementation applicable et celle d’effectuer toute démarche utile auprès d’eux pour mettre fin à des manquements.

Dans ces conditions, il faut considérer que l’éditeur d’un site internet doit s’assurer du respect de la règlementation applicable de tous les cookies déposés sur son site internet.

2) Le paramétrage du navigateur n’est pas un mode valable d’opposition au dépôt de cookies.

C’est le second apport de la décision.

Les internautes doivent être informés, sur chaque site Internet qu’ils visitent, de la finalité des cookies utilisés et des moyens dont ils disposent pour s’y opposer (en proposant ce que l’on appelle un mécanisme d’opposition).

Le Conseil d’Etat précise que cette obligation de recueillir le consentement s’étend à tous les cookies à l’exception de ceux considérés comme « essentiels au fonctionnement technique du site » ou correspondent à la « fourniture d’une service de communication en ligne à la demande expresse de l’utilisateur ».

Généralement, l’internaute est informé par l’apparition d’un bandeau précisant :

  • les finalités précises des cookies utilisés ;
  • la possibilité de s’opposer à ces cookies et de changer les paramètres en cliquant sur un lien » en savoir plus et paramétrer les cookies » présent dans le bandeau ;
  • le fait que la poursuite de sa navigation vaut accord au dépôt de Cookies sur son terminal.

Une telle pratique est celle recommandée par la CNIL.

En l’espèce, cette obligation était prétendument remplie par la simple proposition, faite à l’utilisateur, de paramétrer leur navigateur pour s’opposer aux cookies.

La CNIL puis le Conseil d’Etat ont jugé cela insuffisant, considérant que le respect de l’obligation de mise en œuvre de ce mécanisme d’opposition impliquait :

  • de différencier clairement les catégories de cookies susceptibles d’être déposées sur l’ordinateur,
  • de permettre de s’opposer seulement à ceux dont le dépôt est soumis au consentement préalable,
  • de faire connaître les conséquences, en termes de navigation sur le site, attachées à une éventuelle opposition.

Aussi, il refuse de considérer comme valable la simple proposition de modifier le paramétrage de leur navigateur pour s’opposer aux dépôts de cookies.

Pour accéder à la décision du Conseil d’Etat, cliquez ici.

Il convient finalement de se reporter aux recommandations de la CNIL en matière de cookies, accessibles ici.