Tempête sur les cookies

Jurisprudence sur les « Cookies »

Pour rappel, les cookies sont de petits fichiers texte déposés sur le disque dur de l’internaute par le serveur du site Internet visité ou par un serveur tiers.

Sur le fond pas de changement, les cookies techniques ne sont toujours pas concernés par le consentement. Sur la forme, l’obligation d’information et la mise en œuvre du mécanisme d’opposition en cas de dépôt de certains cookies deviennent plus contraignants.

Le contexte juridique est le suivant : la CNIL a condamné les Éditions Croque Future (www.challenge.fr) en mai 2017 pour défaut d’information et de mise en œuvre de mécanisme d’opposition en relation avec la dépose de cookies. La CNIL a également décidé de ne pas rendre publique cette décision. Cependant l’éditeur a fait appel devant le Conseil d’Etat qui a finalement tranché par décision publique (règle habituelle en procédure contentieuse administrative). Ceci expliquant pourquoi cette décision et surtout ses implications ne sont révélées que tardivement.

Pour rappel, le seul fondement juridique admis pour les cookies est le consentement de la personne concernée.

En terme de contenu, le Conseil d’Etat, en réitérant la condamnation initiale de la CNIL, vient confirmer plusieurs choses :

• Ne sont pas concernés par le consentement les cookies exclusivement techniques c’est à dire :
  ayant pour finalité exclusive de permettre ou de faciliter la communication par voie électronique
  étant strictement nécessaires à la fourniture d’un service de communication en ligne à la demande
• Cela n’empêche pas que le visiteur doit en être informé (par exemple via le fameux bandeau d’information cookie)

Pour les autres cookies (mesure d’audience, cookies traceurs et les cookies de publicité ciblée), l’internaute doit être informé :

• Des finalités précises des cookies utilisés (par exemple via le bandeau qui lui permet d’en savoir plus)
• Du fait que la poursuite de la navigation vaut accord au dépôt de cookies sur son terminal
• De la possibilité de s’opposer à ces cookies et de changer les paramètres en cliquant sur un lien présent dans le bandeau

C’est sur ce dernier point particulier qu’arrive la tempête ! En effet, le Conseil d’Etat a considéré que le renvoi vers une page indiquant les paramétrages à faire dans le navigateur ne constitue pas un mode valable d’opposition au dépôt de cookies.

C’est donc à l’éditeur du site web de permettre à ses internautes d’autoriser ou non la dépose des cookies en proposant des fonctionnalités en ce sens, directement sur son site web.

Enfin, le Conseil d’Etat rappelle que l’éditeur du site a le devoir d’interdire contractuellement à ses prestataires sous-traitants de déposer leurs propres cookies. A défaut il sera considéré comme responsable de traitement pour ces cookies tiers. Donc attention aux liens vers les réseaux sociaux ne respectant pas les règles de « Private Social Sharing ».

Pour finir, le Conseil d’Etat a confirmé et validé la sanction financière de 25 000€ à l’encontre de Croque Future. Plutôt indigeste le cookie … et coûteux !

Si vous souhaitez en savoir plus sur les dispositifs obligatoires pour vos sites web, n’hésitez pas à nous contacter.

Source : Décision du Conseil d’Etat