Coup de froid de la CNIL sur les cookies et passage en force sur l'optin cookie

Inspirée par le contexte de rigueur dans l'utilisation des derniers publics et le transposant sur le cookie, la CNIL a publié le 26 octobre un article dont le titre est "Ce que le "Paquet Télécom" change pour les cookies" et qui a surpris le milieu des professionnels de l'emarketing.

Pour rappel, le Paquet Télécom consiste en deux directives européennes qui impactent notamment la protection des données personnelles et de la vie privée dans le secteur des communications électroniques.

J'avais déjà écrit plusieurs articles sur ce sujet et finalement, une ordonnance parue le 24 août 2011 semblait bien fixer les bornes d'utilisation des cookies en satisfaisant les professionnels d'Internet.

La loi précise notamment que le consentement doit être obtenu pour le dépôt du cookie mais que ce consentement peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.

Cette ordonnance modifie la loi Informatique et libertés de 1978 et notamment, l'article 32-II.

A partir de cette date, toute la profession e-marketing semblait respirer et le danger de la généralisation de l'optin cookie, le consentement demandé lors du dépôt du cookie disparaissait.

C'est sans compter sur la persévérance de la CNIL qui, depuis le début, pousse fortement sur l'adoption de l'optin cookie.

L'article du site de la CNIL du 26 octobre précise son interprétation des directives européennes et explique, dans une logique qui est spécifique à la CNIL, les points suivants :

• le consentement que doit donner l'internaute pour accepter le cookie doit être libre, spécifique et informé (inspiré de la loi Informatique et liberté de 78)
• que dans ce contexte, le paramétrage du navigateur n'est pas une modalité valable du consentement, car il ne permet pas de choisir "quels cookies il accepte et pour quelle finalité". Le consentement par navigateur n'est donc pas spécifique et n'est pas "légal" pour la CNIL.
  C'est très clairement une prise de position abusive, très partisane de la CNIL et qui est très contestable car elle va au-delà de la loi.
• les formes de consentement recommandées par la Cnil sont les suivantes :
  • une bannière en haut d’une page web,
  • une zone de demande de consentement en surimpression sur la page,
  • des cases à cocher lors de l’inscription à un service en ligne.

Dans le reste de l'article, la CNIL  décline les modalités pratiques de cette mise en oeuvre notamment dans des contextes de régie publicitaire.

Extrait de l'article

"9. Ma responsabilité est-elle engagée si le cookie est déposé par un tiers sur mon site ?

Oui : Votre responsabilité est engagée dès lors que votre site permet à un tiers de déposer un cookie sur le terminal d’un de vos internautes. C’est par exemple le cas si vous avez comme partenaire une régie publicitaire.  " Fin de citation.

Enfin, la CNIL précise que certains cookies sont exclus de cette réglementation et notamment

• "les cookies qui sont utilisés comme "panier d’achat" sur un site marchand,
• les cookies de "session utilisateur" (SessionID) permettant de lier les actions d’un utilisateur lorsque cela est nécessaire pour lui fournir le service qu’il demande,
• les cookies qui ont pour unique finalité de contribuer à la sécurité du service demandé par l’utilisateur,
• les cookies permettant d’enregistrer la langue parlée par l’utilisateur ou autres préférences nécessaires à la fourniture du service demandé,
• les cookies flash contenant des éléments strictement nécessaires pour faire fonctionner un lecteur de média (audio ou vidéo), correspondant à un contenu demandé par l’utilisateur."

C'est un coup de force de la CNIL qui veut faire sauter le rôle du navigateur dans le recueil du consentement et veut imposer par la même l'optin cookie pour de nombreux usages marketing.

La publication de la Cnil n'est qu'un article, qui n'a pas de valeur juridique et me semble être réalisé pour faire peur ...

Bien sûr, cette interprétation va être "contestée" d'ici peu et très concrètement par les syndicats professionnels du monde de l'internet. 

Enfin, nous aborderons ce sujet lors de la prochaine formation sur la législation de l'emailing et des bases de données le 28 novembre lors du cycle Email Academy (il reste encore quelques places sur cette thématique).