Source: https://www.legifrance.gouv.fr/affichCnil.do?oldAction=rechExpCnil&id=CNILTEXT000028434058&fastReqId=1111132688&fastPos=1
Timestamp: 2019-07-17 20:00:42+00:00
Document Index: 326222677

Matched Legal Cases: ["l'article 5", "l'article 32", "l'article 32", "l'article 32", "l'article 5", "l'article 6", "l'article 6", "l'article 32", "l'article 32", "l'article 8"]

Vous êtes dans : Accueil> La Commission nationale de l'informatique et des libertés> Détail d'une délibération de la CNIL > Délibération 2013-378 du 5 décembre 2013
NOR: CNIX1331669X
Après avoir entendu M. Bernard PEYRAT, commissaire, en son rapport, et
M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Le développement considérable des services de communication en ligne pose avec une plus grande acuité la question du traçage des personnes qui y ont recours. En effet, lorsqu'ils naviguent sur le web ou utilisent des applications mobiles,
les utilisateurs de ces services sont de plus en plus suivis par différents acteurs (éditeurs de service, régies publicitaires, réseaux sociaux, etc.) qui analysent leur navigation, leurs déplacements et leurs habitudes de consultation ou de consommation, afin notamment de leur proposer des publicités ciblées ou des services personnalisés. Ce traçage est réalisé par l'intermédiaire de différentes technologies, dont la plus répandue est aujourd'hui celle des cookies.
En modifiant l'article 5(3) de la directive 2002/58/CE par l'adoption de la directive 2009/136/CE, le législateur européen a posé le principe selon lequel le stockage d'informations sur l'équipement d'un utilisateur ou l'accès à des informations déjà stockées, ne devaient être mises en œuvre qu'avec le consentement préalable de l'utilisateur sauf, si ces actions sont strictement nécessaires au fournisseur pour la délivrance d'un service de la société de l'information expressément demandé par l'abonné ou l'utilisateur.
Ainsi, l'article 32-II de la loi du 6 janvier 1978, modifié par l'ordonnance n°2011-1012 du 24 août 2011 qui a transposé la directive 2009/136/CE, dispose désormais que tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète, sauf s'il l'a été au préalable, par le responsable du traitement ou son représentant :
- soit est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur .
Article 1er - Sur le champ d'application de la recommandation
Aussi, la présente recommandation s'applique à toutes les formes d'accès et d'inscriptions visées par l'article 32-II. Elle concerne donc les cookies HTTP, par lesquels ces actions sont le plus souvent réalisées. Mais elle a vocation également à s'appliquer à d'autres technologies (notamment, en l'état des connaissances actuelles, les local shared objects appelés parfois les cookies "flash", les pixels invisibles ou web bugs , les identifications par calcul d'empreinte du terminal ou encore des identificateurs cachés). Pour l'application de la présente recommandation, le mot Cookie désigne l'ensemble des dispositifs visés par l'article 32-II.
Le fait que les informations (stockées et/ou consultées) soient ou non des données à caractère personnel au sens de la directive 95/46/CE n'est pas une condition préalable à l'application de l'article 5, paragraphe 3 de la directive 2002/58/CE. L'article 32-II précité s'applique donc dans les hypothèses où les informations précitées sont des données à caractère personnel et dans celles où elles ne sont pas des données à caractère personnel.
La Commission relève toutefois que ces actions impliquent généralement le traitement de données à caractère personnel, parfois directement identifiantes (par exemple, une adresse électronique), et souvent indirectement identifiantes (par exemple, l'identifiant unique d'un cookie, une adresse IP, un identifiant du terminal ou d'un composant du terminal de l'utilisateur, le résultat du calcul d'empreinte dans le cas du fingerprinting , ou encore l'identifiant généré par un logiciel ou un système d'exploitation).
• les Cookies de mesure d'audience (à l'exclusion de ceux définis à l'article 6 de la présente recommandation) ;
• les Cookies traceurs de réseaux sociaux générés par les boutons de partage de réseaux sociaux .
• les Cookies ayant pour finalité exclusive de permettre, ou faciliter la communication par voie électronique ;
• les Cookies strictement nécessaires à la fourniture d'un service expressément demandé par l'utilisateur ;
• les Cookies de mesure d'audience définis à l'article 6 de la présente recommandation.
La Commission précise enfin que la présente recommandation s'applique aux Cookies déposés et lus, notamment lors de la consultation d'un site internet, de la lecture d'un courrier électronique, de l'installation ou de l'utilisation d'un logiciel ou d'une application mobile, quel que soit le système d'exploitation, le navigateur ou le terminal utilisés (par exemple un ordinateur, une tablette, un ordiphone ou Smartphone , une télévision connectée, une console de jeux vidéos connectée au réseau Internet).
Elle estime donc justifié que la personne qui refuse un Cookie nécessitant un consentement puisse continuer à bénéficier du service (accès à un site internet par exemple).
La validité du consentement est liée à la qualité de l'information reçue. Celle-ci doit être visible, mise en évidence et complète. La Commission recommande donc que l'information soit rédigée en des termes simples et compréhensibles pour tout utilisateur, et permette aux internautes d'être parfaitement informés des différentes finalités des Cookies déposés et lus. Elle considère que l'utilisation d'une terminologie juridique ou technique trop complexe ne répondrait pas à l'exigence d'une information préalable.
Conformément à ces principes, et après concertation avec les professionnels concernés, la Commission recommande une procédure de recueil du consentement en deux étapes :
• de la possibilité de s'opposer à ces Cookies et de changer les paramètres en cliquant sur un lien présent dans le bandeau ;
• du fait que la poursuite de sa navigation vaut accord au dépôt de Cookies sur son terminal.
Dans la mesure où le consentement ne doit pas être ambigu, ce bandeau ne doit pas disparaître tant que la personne n'a pas poursuivi sa navigation, c'est-à-dire tant qu'elle ne s'est pas rendue sur une autre page du site ou n'a pas cliqué sur un élément du site (image, lien, bouton rechercher ).
• si l'internaute se rend sur le site (page d'accueil ou directement sur une autre page du site à partir d'un moteur de recherche par exemple) et ne poursuit pas sa navigation : une simple absence d'action ne saurait être en effet assimilée à une manifestation de volonté ;
• s'il clique sur le lien présent dans le bandeau lui permettant de paramétrer les Cookies et, le cas échéant, refuse le dépôt de Cookies.
• pour l'ensemble des technologies visées par l'article 32-II précité ;
• par catégories de finalités : notamment la publicité, les boutons des réseaux sociaux et la mesure d'audience.
La Commission souligne que la mise en œuvre de ce dispositif, si elle est de nature à répondre aux exigences posées par l'article 32-II de la loi informatique et libertés, n'est pas exclusive d'autres modes plus renforcés de recueil du consentement.
Par ailleurs, leurs partenaires déterminant les finalités du traitement (utiliser les informations collectées sur le comportement de navigation des internautes afin de constituer des profils et prendre des décisions relatives aux publicités qui seront affichées en fonction de ce profil par exemple) et les moyens de ce dernier (utiliser des Cookies, définir des algorithmes permettant de réaliser le profilage, etc.), ils ne peuvent pas être qualifiés de sous-traitants.
• si l'utilisateur a pu être en mesure de modifier les paramètres de son navigateur pour accepter ou refuser les Cookies ;
• et, s'il a été informé avant le dépôt ou la lecture de Cookies, de leurs finalités et des moyens de s'y opposer.
Article 5 - Sur les durées de vie des Cookies
Elle recommande que le délai de validité du consentement au dépôt des Cookies soit porté à treize mois au maximum. À l'expiration de ce délai, le consentement devra être à nouveau recueilli.
Article 6 - Sur le cas spécifique des Cookies de mesure d'audience
• La personne doit être informée ;
• Elle doit disposer d'une faculté de s'y opposer par l'intermédiaire d'un mécanisme d'opposition facilement utilisable sur l'ensemble des terminaux, des systèmes d'exploitation, des applications et des navigateurs internet. Aucune information relative aux personnes ayant décidé d'exercer leur droit d'opposition ne doit être collectée et transmise à l'éditeur de l'outil d'analyse de fréquentation ;
• La finalité du dispositif doit être limitée à la mesure d'audience du contenu visualisé afin de permettre une évaluation des contenus publiés et de l'ergonomie du site ou de l'application. Les données collectées ne doivent pas être recoupées avec d'autres traitements (fichiers clients ou statistiques de fréquentation d'autres sites par exemple). L'utilisation du Cookie déposé doit également être strictement cantonnée à la production de statistiques anonymes. Sa portée doit être limitée à un seul éditeur et ne doit pas permettre le suivi de la navigation de la personne utilisant différentes applications ou naviguant sur différents sites internet ;
• L'utilisation de l'adresse IP pour géolocaliser l'internaute ne doit pas fournir une information plus précise que la ville. Cette adresse IP doit également être supprimée ou anonymisée une fois la géolocalisation effectuée, pour éviter toute autre utilisation de cette donnée personnelle ou tout recoupement avec d'autres informations personnelles ;
• S'agissant des Cookies, ils ne doivent pas avoir une durée de vie excédant treize mois et cette durée ne doit pas être prorogée automatiquement lors des nouvelles visites. Les informations collectées par l'intermédiaire des cookies doivent être conservées pendant une durée de treize mois maximum.
Article 7 - Sur les autres dispositions applicables
Enfin, les dispositions de l'article 8 de la loi du 6 janvier 1978 relatives aux données sensibles doivent être respectées. La Commission souligne en effet que de nombreuses informations sensibles peuvent être collectées lors de la navigation des internautes. Compte-tenu des risques particuliers d'atteinte à la vie privée en la matière et de la sensibilité de ces données, elle rappelle qu'une vigilance particulière doit être apportée lors du traitement de ces dernières.