Source: https://www.legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000038778053&dateTexte=&categorieLien=id
Timestamp: 2019-09-18 16:56:19+00:00
Document Index: 330379283

Matched Legal Cases: ["l'article 82", "l'article 82", "l'article 82", "l'article 4", "l'article 3", "l'article 82", "l'article 5", "l'article 82", "l'article 32", "l'article 1", "l'article 82"]

Délibération n° 2019-093 du 4 juillet 2019 portant adoption de lignes directrices relatives à l'application de l'article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture et écriture dans le terminal d'un utilisateur (notamment aux cookies et autres traceurs) | Legifrance
Vous êtes dans : Accueil> Les autres textes législatifs et réglementaires> Délibération n° 2019-093 du 4 juillet 2019 portant adoption de lignes directrices relatives à l'application de l'article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture et écriture dans le terminal d'un utilisateur (notamment aux cookies et autres traceurs)
NOR: CNIL1920776X
Vu la directive 2002/58/ CE du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques modifiée par la directive 2009/136/ CE du 25 novembre 2009 ;
Vu la directive 2008/63/ CE relative à la concurrence dans les marchés des équipements terminaux de télécommunications, notamment son article 1er ;
La Commission nationale de l'informatique et des libertés (CNIL) est chargée de veiller au respect des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés (ci-après la loi Informatique et Libertés), ainsi que des autres textes relatifs à la protection des données à caractère personnel.
Les présentes lignes directrices ont pour objet de rappeler le droit applicable aux opérations de lecture ou écriture dans le terminal d'un utilisateur, et notamment l'usage des cookies et autres traceurs. Elles résultent notamment des dispositions de la directive 2002/58/ CE modifiée vie privée et communications électroniques (ou ePrivacy) transposée en droit français à l'article 82 de la loi Informatique et Libertés, et de la définition du consentement figurant à l'article 4 du règlement général sur la protection des données (RGPD) tel qu'interprété dans les lignes directrices du Comité européen de la protection des données (CEPD).
En cas de manquement à ces dispositions, la Commission rappelle qu'elle peut prendre toutes mesures correctrices et sanctions vis-à-vis des organismes qui y sont soumis, en application de l'article 3 de la loi, et ce notamment de manière indépendante des dispositions du chapitre VII du RGPD en matière de coopération et de cohérence, dans la mesure où l'article 82 résulte de la transposition d'une directive distincte.
Cet article, qui transpose l'article 5 (3) de la directive vie privée et communications électroniques, impose ainsi le recueil du consentement avant toute action visant à stocker des informations ou à accéder à des informations stockées dans l'équipement terminal d'un abonné ou d'un utilisateur, en dehors des exceptions applicables.
La Commission rappelle que les présentes lignes directrices ne concernent que la mise en œuvre des dispositions de l'article 82 de la loi Informatique et Libertés ; les éventuels traitements de données à caractère personnel utilisant les données collectées via les opérations de lecture ou écriture doivent, par ailleurs, respecter l'ensemble des dispositions légales applicables.
Le renforcement des droits des personnes conduit la Commission à abroger sa délibération n° 2013-378 du 5 décembre 2013portant adoption d'une recommandation relative aux cookies et aux autres traceurs visés par l'article 32-II de la loi du 6 janvier 1978 (ci-après la recommandation cookies et autres traceurs) pour la remplacer par les présentes lignes directrices. Ces lignes directrices seront complétées ultérieurement par des recommandations sectorielles ayant notamment vocation à préciser les modalités pratiques du recueil du consentement.
La Commission relève que l'article 1er de la directive 2008/63/CE définit l' équipement terminal comme tout équipement qui est connecté directement ou indirectement à l'interface d'un réseau public de télécommunications pour transmettre, traiter ou recevoir des informations ; dans les deux cas, direct ou indirect, la connexion peut être établie par fil, fibre optique ou voie électromagnétique ; une connexion est indirecte si un appareil est interposé entre l'équipement terminal et l'interface du réseau public .
Cette définition englobe de nombreux dispositifs couramment utilisés, tels qu'une tablette, un mobile multifonction ( smartphone ), un ordinateur fixe ou mobile, une console de jeux vidéo, une télévision connectée, un véhicule connecté, un assistant vocal, ainsi que tout autre objet connecté à un réseau de télécommunication ouvert au public.
Les lignes directrices portent sur l'utilisation des cookies HTTP, par lesquels ces actions sont le plus souvent réalisées, mais ont également vocation à s'appliquer au recours à d'autres techniques : les local shared objects (objets locaux partagés) appelés parfois les cookies Flash , le local storage (stockage local) mis en œuvre au sein du HTML 5, les identifications par calcul d'empreinte du terminal, les identifiants générés par les systèmes d'exploitation (qu'ils soient publicitaires ou non : IDFA, IDFV, Android ID, etc.), les identifiants matériels (adresse MAC, numéro de série ou tout autre identifiant d'un appareil), etc. Pour l'application des présentes lignes directrices, le mot traceur désignera l'ensemble des dispositifs visés par l'article 82 de la loi.
Enfin, la Commission attire l'attention des organismes concernés sur le fait que tout traitement portant sur un traceur, dès lors que celui-ci relève de la catégorie des données à caractère personnel - parfois directement identifiantes (par exemple, une adresse électronique) et souvent indirectement identifiantes (par exemple, l'identifiant unique d'un cookie, une adresse IP, un identifiant du terminal ou d'un composant du terminal de l'utilisateur, le résultat du calcul d'empreinte dans le cas d'une technique de fingerprinting , ou encore un identifiant généré par un logiciel ou un système d'exploitation) - impose le respect des dispositions du RGPD.
En application de la loi Informatique et Libertés , du RGPD et des lignes directrices du CEPD sur le consentement, les traceurs nécessitant un recueil du consentement ne peuvent être utilisés en écriture ou en lecture tant que l'utilisateur n'a pas préalablement manifesté à cette fin sa volonté, de manière libre, spécifique, éclairée et univoque par une déclaration ou par un acte positif clair.
A ce titre, la Commission rappelle que le CEPD, dans sa déclaration sur la révision de la directive ePrivacy et son incidence sur la protection de la vie privée et la confidentialité des communications électroniques , a considéré que la pratique qui consiste à bloquer l'accès à un site web ou à une application mobile pour qui ne consent pas à être suivi ( cookie walls ) n'est pas conforme au RGPD. Le CEPD considère en effet que, dans une telle hypothèse, les utilisateurs ne sont pas en mesure de refuser le recours à des traceurs sans subir des conséquences négatives (en l'occurrence l'impossibilité d'accéder au site consulté).
Si, dans un certain nombre de cas, l'utilisation de traceurs fait intervenir une seule entité qui est donc pleinement responsable de l'obligation de recueillir le consentement (par exemple un éditeur de site web qui a recours à des traceurs pour réaliser lui-même les statistiques d'usage de son service), dans d'autres cas, plusieurs acteurs contribuent à la réalisation des opérations de lecture ou écriture visées par les présentes lignes directrices (par exemple un éditeur de site web et une régie publicitaire déposant des cookies lors de la consultation du site web). Dans ce dernier cas, ces entités peuvent être considérées comme responsables de traitement uniques , responsables conjoints ou comme sous-traitants.
Un éditeur peut avoir besoin de mesurer l'audience de son site web ou de son application, ou bien de tester des versions différentes afin d'optimiser ses choix éditoriaux en fonction de leurs performances respectives. Des traceurs sont fréquemment utilisés pour cette finalité et ces dispositifs peuvent, dans certains cas, être regardés comme nécessaires à la fourniture du service explicitement demandé par l'utilisateur, sans présenter de caractère particulièrement intrusif pour ceux-ci, et ainsi être exemptés du recueil du consentement. Par exemple, les statistiques de fréquentation et les tests visant à mesurer les performances relatives de différentes versions d'un même site web (couramment appelés tests A/B ) permettent notamment aux éditeurs de détecter des problèmes de navigation dans leur site ou leur application ou encore d'organiser les contenus.