Les éditeurs de sites Web et d’applications mobiles doivent obtenir le consentement de l’internaute pour déposer des cookies sur son appareil ou lire les cookies présents dans son appareil[1] (sauf dans certains cas précis[2]).

La façon dont ce consentement doit être obtenu est encadrée. Les textes, notamment la loi française « Informatique et Libertés »[3] et le RGPD, demandent que ce consentement corresponse

Ces textes sont accompagnés de recommandations publiées par la CNIL[4][5] pour permettre aux éditeurs de les interpréter correctement.

D’une manière générale, le consentement comme « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair »[6].

Pour utiliser des cookies et obtenir un consentement valable, l’éditeur doit donc proposer un mécanisme permettant aux utilisateurs de « manifester leur volonté » de manière « libre », « spécifique », « éclairée » et « univoque ».

Obtenir un consentement « par un acte positif clair » et « univoque »

Pour obtenir un consentement à l’utilisation de cookies, l’internaute doit manifester sa volonté « univoque », « par un acte positif clair »[7].

Cela signifie que l’éditeur doit proposer un mécanisme à l’internaute pour lui permettre d’indiquer s’il souhaite (ou non) que les cookies présents dans son appareil soient lues ou que des cookies soient déposés dans son appareil. Ce mécanisme correspond habituellement à un bouton à cliquer.

Le fait pour un internaute de continuer à consulter un site, en accédant à d’autres pages du site ou en faisant défiler la page par exemple, n’est pas considéré comme une volonté « univoque » de sa part[8].

De même, l’acceptation à des conditions générales d’utilisation n’est pas considéré comme une acceptation « univoque » à l’utilisation de cookies de la part de l’internaute[9].

Obtenir un consentement « éclairé »

L’internaute doit être en mesure de faire un choix « éclairé ».

Cela signifie que l’éditeur doit fournir des informations à l’internaute pour lui permettre de « comprendre précisément ce à quoi il consent ».

L’éditeur est libre de déterminer les informations pertinentes à donner. La CNIL considère toutefois que les informations suivantes devraient être communiquées à l’internaute avant qu’il fasse son choix[10] :

  • l’identité du ou des responsables (éventuellement conjoints) des traitements ;
  • la ou les finalités de la lecture/l’écriture de cookies ;
  • la manière dont il est possible d’accepter ou de refuser ;
  • les conséquences d’un éventuel refus ; et
  • l’existence d’un droit de retirer son consentement.

Concernant les finalités des cookies, la CNIL précise que les informations communiquées doivent être « rédigées en des termes simples et compréhensibles par tous »[11] et « formulées de manière intelligible, dans un langage adapté et suffisamment clair »[12].

Lorsque des organismes tiers déposent ou lisent des cookies, l’éditeur devrait également fournir des informations sur ces organismes tiers, notamment leur identité et la politique de traitement de données applicable. Ces informations devraient être « dans un endroit aisément accessible »[13] et, de préférence, organisées par catégorie ou par finalité.

Obtenir un consentement « libre »

L’internaute doit être « libre » de consentir ou de s’opposer à l’utilisation de cookies.

Cela signifie que l’éditeur doit proposer à l’internaute la possibilité d’accepter et de refuser l’ensemble des cookies.

La CNIL recommande que les deux boutons, d’acceptation et de refus, soient « accessibles sur le même écran » et qu’ils puissent être utilisés « avec la même facilité »[14]. Les deux boutons devraient égmalement utiliser « une police d’écriture de même taille, offrant la même facilité de lecture, et mis en évidence de manière identique »[15]. Le fait de rendre plus difficile l’opposition aux cookies ne permet donc pas d’obtenir un consentement libre.

Concernant la terminologie, l’éditeur est libre d’utiliser les termes de son choix, mais l’information associée à chaque bouton devrait être « facilement compréhensible » et ne devrait pas être « rédigée de telle manière qu’une lecture rapide ou peu attentive pourrait laisser croire que l’option sélectionnée produit l’inverse de ce que les utilisateurs pensaient choisir »[16]. Des tournures de phrase ambigües, « potentiellement trompeuses » ne permettent donc pas d’obtenir un consentement valable.

Par ailleurs, la CNIL estime que l’éditeur devrait proposer à l’internaute des boutons permettant d’accepter uniquement les cookies qui ont une certaine finalité[17].

Conserver et modifier le choix de l’internaute

Lorsque l’internaute a manifesté sa volonté, l’éditeur doit converser ce choix.

La CNIL considère qu’une durée de conservation de six mois « constitue une bonne pratique »[18].

Par ailleurs, l’éditeur doit proposer un mécanisme permettant à l’internaute de modifier son choix ou de retirer son consentement.

Ce mécanisme devrait être « aisément accessible à tout moment »[19] et situé « dans une zone qui attire l’attention des utilisateurs ou dans des zones où ils s’attendent à le trouver »[20].

Un exemple de bannière de consentement

La CNIL propose sur son site Web un design de bannière de consentement qui répond à toutes ses recommandations :

Des informations sur l’utilisation et sur la durée de conservation des données puis trois boutons : personnaliser mes choix, tout refuser, et tout accepter
Exemple d’une bannière de consentement réalisée par la CNIL. © CNIL

Un exemple d’écran permettant à l’internaute de personnaliser ses choix est également proposé :

Des informations sur l’utilisation et sur la durée de conservation des données puis trois boutons : personnaliser mes choix, tout refuser, et tout accepter
Exemple d’une bannière de consentement réalisée par la CNIL. © CNIL

Des exemples à ne PAS suivre

Le fait d’utiliser des cookies sans le consentement de l’internaute, de ne pas informer correctement l’internaute ou de ne pas lui permettre d’exprimer librement son choix peut être sanctionné. La CNIL a, par exemple, déjà sanctionné :

  • Google[21], Amazon[22], Carrefour[23] et Le Figaro[24] pour avoir utilisé des cookies sans le consentement des internautes ;
  • Facebook[25] et Google[26] pour n’avoir pas permis à leurs visiteurs de refuser les cookies publicitaires aussi facilement que de les accepter.

Notes et références

  1. ↑
  2. ↑De manière générale, les éditeurs de sites Web doivent obtenir le consentement des visiteurs lorsque des cookies sont utilisés, mais il existe des exceptions. Voir « Doit-on obtenir le consentement des utilisateurs avant d’utiliser des cookies ? ».
  3. ↑L’article 82 de la loi Informatique et Libertés est le principal texte français encadrant l’utilisation de cookies. Il est la transposition de l’article 5-3 de la directive européenne « ePrivacy » (Directive 2009/136/CE).
  4. ↑La CNIL a publié, le 17 septembre 2020, des lignes directives relatives à l’utilisation de cookies : Délibération n° 2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives à l’application de l’article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture et écriture dans le terminal d’un utilisateur (notamment aux « cookies et autres traceurs »).
  5. ↑La CNIL a publié, le 17 septembre 2020, des recommandations relatives à l’utilisation de cookies : Délibération n° 2020-092 du 17 septembre 2020 portant adoption d’une recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux « cookies et autres traceurs ».
  6. ↑Le RGPD définit le consentement comme « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement » (source : RGPD, article 4-11).
  7. ↑le RGPD indique que le consentement doit être « une déclaration ou par un acte positif clair » (source : RGPD, article 4-11). Cette même phrase est repris dans les lignes directrices de la CNIL (source : CNIL, délibération n° 2020-091, 17 septembre 2020, article 2).
  8. ↑La CNIL indique que « toute inaction ou action des utilisateurs autre qu’un acte positif signifiant son consentement doit être interprétée comme un refus de consentir » (source : CNIL, délibération n° 2020-092, 17 septembre 2020, article 2).
  9. ↑La CNIL indique que le consentement doit être « spécifique » et « ne peut être valablement recueilli via une acceptation globale de conditions générales d’utilisation » (source : CNIL, délibération n° 2020-091, 17 septembre 2020, article 2).
  10. ↑La CNIL estime que « les finalités des traceurs doivent être présentées aux utilisateurs avant que ceux-ci ne se voient offrir la possibilité de consentir ou de refuser » (source : CNIL, Délibération 2020-092, 17 septembre 2020, §2.1).
  11. ↑La CNIL indique que « l’information doit être rédigée en des termes simples et compréhensibles par tous et qu’elle doit permettre aux utilisateurs d’être dûment informés des différentes finalités des traceurs utilisés. Elle considère que l’utilisation d’une terminologie juridique ou technique trop complexe est susceptible de rendre incompréhensible cette information par les utilisateurs » (source : CNIL, délibération n° 2020-091, 17 septembre 2020, article 2).
  12. ↑La CNIL recommande que les finalités des traceurs « doivent être formulées de manière intelligible, dans un langage adapté et suffisamment clair pour permettre aux utilisateurs de comprendre précisément ce à quoi ils consentent » (source : CNIL, Délibération 2020-092, 17 septembre 2020, §2.1).
  13. ↑La CNIL indique que la liste des partenaires doit être située « à un endroit aisément accessible » (source : CNIL, délibération N°2020-092, 17 septembre 2020, article 2-3).
  14. ↑La CNIL recommande d’« offrir aux utilisateurs tant la possibilité d’accepter que de refuser les opérations de lecture et/ou d’écriture avec le même degré de simplicité » (source : CNIL, Délibération 2020-092, 17 septembre 2020, article 2-4).
  15. ↑La CNIL recommande d’utiliser « des boutons [d’acceptation et de refus des cookies] et une police d’écriture de même taille, offrant la même facilité de lecture, et mis en évidence de manière identique » (source : CNIL, Délibération 2020-092, 17 septembre 2020, article 2-4).
  16. ↑La CNIL recommande que l’information associée aux éléments de la bannière de consentement soit « facilement compréhensible » et ne devrait pas être « rédigée de telle manière qu’une lecture rapide ou peu attentive pourrait laisser croire que l’option sélectionnée produit l’inverse de ce que les utilisateurs pensaient choisir » (source : CNIL, Délibération 2020-092, 17 septembre 2020, article 2-4).
  17. ↑La CNIL recommande de permettre aux internautes de donner leur consentement « de façon indépendante et spécifique pour chaque finalité distincte » (source : CNIL, Délibération 2020-092, 17 septembre 2020, article 2-4).
  18. ↑La CNIL recommande de conserver le choix de l’internaute « pendant une durée de 6 mois », ce qu’elle considère constituer « une bonne pratique de la part des éditeurs » (source : CNIL, délibération N°2020-092, 17 septembre 2020, article 2-4).
  19. ↑La CNIL « recommande que les solutions permettant aux utilisateurs de retirer leur consentement soient aisément accessibles à tout moment » (source : CNIL, délibération N°2020-092, 17 septembre 2020, article 3).
  20. ↑La CNIL indique que « le mécanisme permettant de gérer et de retirer son consentement soit placé dans une zone qui attire l’attention des utilisateurs ou dans des zones où ils s’attendent à le trouver, et que les visuels utilisés soient les plus explicites possibles » (source : CNIL, délibération N°2020-092, 17 septembre 2020, article 3).
  21. ↑La CNIL a sanctionné Google pour avoir utilisé des cookies sans le consentement des internautes (source : CNIL, SAN-2020-012, 7 décembre 2020, Google). Voir « GOOGLE sanctionné pour avoir utilisé des cookies publicitaires sans informer correctement les internautes ».
  22. ↑La CNIL a sanctionné Amazon pour avoir utilisé des cookies sans le consentement des internautes (source : CNIL, SAN-2020-013, 7 décembre 2020, Google). Voir « AMAZON sanctionné pour avoir utilisé des cookies publicitaires sans informer correctement les internautes ».
  23. ↑La CNIL a sanctionné le groupe Carrefour pour avoir utilisé des cookies sans le consentement des internautes (source : CNIL, SAN-2020-008, 18 novembre 2020, Carrefour). Voir « CARREFOUR sanctionné pour avoir conservé les données de ses clients trop longtemps, mais aussi pour l’inaccessibilité et l’imprécision de ses informations et pour de nombreux autres manquements ».
  24. ↑La CNIL a sanctionné le journal Le Figaro pour avoir utilisé des cookies sans le consentement des internautes (source : CNIL, SAN-2021-013, 27 juillet 2021, Le Figaro). Voir « Le journal LE FIGARO sanctionné pour avoir utilisé des cookies publicitaires sans informer les internautes ».
  25. ↑La CNIL a sanctionné la société Facebook pour n’avoir pas permis à ses visiteurs de refuser les cookies publicitaires aussi facilement que de les accepter (source : CNIL, SAN-2021-024, 31 décembre 2021, Facebook). Voir « FACEBOOK sanctionné pour n’avoir pas permis à ses visiteurs de refuser les cookies publicitaires aussi facilement que de les accepter ».
  26. ↑La CNIL a sanctionné Google pour n’avoir pas permis à ses visiteurs de refuser les cookies publicitaires aussi facilement que de les accepter (source : CNIL, SAN-2021-023, 31 décembre 2021, Google). Voir « GOOGLE sanctionné pour n’avoir pas permis de refuser facilement les cookies sur les sites GOOGLE.FR et YOUTUBE.COM ».