Après une concertation approfondie avec les acteurs de la publicité sur Internet, la CNIL a publié, le 5 décembre 2013, une recommandation relative aux cookies et autres traceurs. 11 mois après, elle vérifie la conformité des acteurs à ce qu’elle a préconisé.
A partir du mois d’octobre, soit 11 mois après la publication de sa recommandation relative aux cookies et autres traceurs, la CNIL va contrôler le respect de la loi sur ces aspects. Elle sera, pour cela, amenée à utiliser ses pouvoirs de vérifications sur place ainsi que ses nouveaux pouvoirs de contrôle en ligne.
Cette nouvelle étape s’inscrit dans un contexte européen, puisqu’un « cookies sweep day » visant à vérifier les modalités d’information et de recueil du consentement des internautes sera mené par chacune des autorités de protection des données durant la semaine du 15 au 19 septembre 2014.
La CNIL analysera notamment :
- Les types de traceurs (cookies) utilisés par le site web : s’agit-il de cookies HTTP, de local shared object (cookies flash), de techniques de finger printing, etc. ?
- La finalité des cookies (internes et tiers) :
– L’éditeur du site web connait-il la finalité de tous les cookies déposés ou lus depuis son site, qu’ils soient internes ou « tiers » ?
– Existe-t-il des cookies sans finalité ? (cas des « cookies obsolètes » par exemple)
Dans le cas où la finalité de certains cookies nécessite le consentement de l’internaute, la CNIL contrôlera par ailleurs :
- Les modalités de recueil du consentement :
– Des cookies nécessitant un consentement sont-ils déposés ou lus avant que l’internaute n’ait pu exprimer son accord (par exemple dès l’arrivée sur la page d’accueil) ?
– Comment l’internaute exprime-t-il son accord (par un clic, en poursuivant sa navigation après lecture d’un 1er bandeau, etc.) ?
– La solution proposée pour recueillir le consentement est-elle conviviale et ergonomique ?
- La visibilité, la qualité et la simplicité de l’information relative aux cookies ;
- Les conséquences, en cas de refus, des cookies nécessitant un consentement : exemple d’un site de e-commerce qui proposerait comme seul moyen d’opposition aux cookies le paramétrage du navigateur en bloquant tous les cookies alors que cette action empêcherait ensuite d’effectuer des achats sur le site ;
- La possibilité de retrait du consentement à tout moment ;
- La durée de vie des cookies et de validité du consentement (13 mois maximum) ;
Les autres dispositions de la loi applicables aux cookies (sécurité des données, présence de données sensibles, etc.) pourront également faire l’objet d’un contrôle.
Selon le bilan des ces contrôles, la CNIL pourra, le cas échéant, adopter des mises en demeure voire des sanctions à l’égard des organismes à l’encontre desquels des manquements à la loi auront été relevés.
