Cookies et traceurs : règles de consentement applicables en France En vigueur
Faits essentiels
| Point | Valeur |
|---|---|
| Base légale nationale | article 82 de la loi n° 78-17 du 6 janvier 1978 |
| Base légale européenne | article 5(3) de la directive 2002/58/CE modifiée en 2009 |
| Qualité du consentement | libre, spécifique, éclairé et univoque (art. 4(11) et 7 du RGPD) |
| Poursuite de la navigation | ne vaut pas consentement valable |
| Acceptation des CGU | n'est pas une modalité valable de recueil du consentement |
| Refus | doit être aussi simple que l'acceptation |
| Durée de vie des traceurs de mesure d'audience | treize mois, sans prorogation automatique |
| Conservation du choix de l'utilisateur | six mois, qualifiée de bonne pratique |
| Lignes directrices CNIL | délibération du 17 septembre 2020 |
Ce qu'est un « traceur »
La CNIL retient une définition large. Sont visés notamment :
- les cookies HTTP et les cookies « flash » ;
- le fingerprinting (calcul d'une empreinte unique du terminal à partir d'éléments de sa configuration, à des fins de traçage) ;
- les pixels invisibles ou « web bugs » ;
- tout autre identifiant généré par un logiciel ou un système d'exploitation (numéro de série, adresse MAC, identifiant unique de terminal, etc.).
Peu importe le support : site web, application mobile, logiciel, ordinateur, smartphone, tablette ou console connectée.
Le cadre juridique
L'article 5(3) de la directive 2002/58/CE (« ePrivacy »), modifiée en 2009, pose le principe d'un consentement préalable de l'utilisateur avant le stockage d'informations sur son terminal ou l'accès à des informations déjà stockées — sauf si l'opération est strictement nécessaire à la fourniture d'un service de communication en ligne expressément demandé par l'utilisateur, ou a pour finalité exclusive de permettre ou faciliter une communication par voie électronique.
L'article 82 de la loi n° 78-17 du 6 janvier 1978 (loi Informatique et Libertés) transpose ces dispositions en droit français.
Le consentement renvoie à la définition et aux conditions des articles 4(11) et 7 du RGPD : il doit être libre, spécifique, éclairé et univoque, et l'utilisateur doit pouvoir le retirer à tout moment avec la même simplicité qu'il l'a accordé.
La CNIL a adopté le 17 septembre 2020 des lignes directrices (délibération n° 2020-091), complétées par une recommandation publiée au Journal officiel le 2 octobre 2020. Cette recommandation propose des modalités pratiques : elle précise elle-même que ses exemples ne sont ni prescriptifs ni exhaustifs.
Qui doit recueillir le consentement
L'obligation pèse sur les responsables des traitements qui déposent des traceurs soumis au consentement. Lorsque des éditeurs autorisent le dépôt de cookies ensuite lus par des régies publicitaires, ils sont réputés responsables conjoints dans la mesure où ils déterminent conjointement finalités et moyens. Sont concernés notamment :
- les éditeurs de sites web et d'applications mobiles ;
- les régies publicitaires ;
- les réseaux sociaux fournissant des modules de partage.
Traceurs soumis au consentement / traceurs exemptés
Soumis au consentement
- cookies liés aux opérations de publicité personnalisée ;
- cookies des réseaux sociaux, notamment générés par leurs boutons de partage ;
- plus largement, tout traceur qui n'est ni strictement nécessaire à la fourniture du service demandé, ni destiné exclusivement à permettre ou faciliter une communication électronique.
Exemptés de consentement
- traceurs conservant le choix exprimé par l'utilisateur sur le dépôt de traceurs ;
- traceurs d'authentification, y compris ceux sécurisant le mécanisme d'authentification (limitation des tentatives robotisées) ;
- traceurs mémorisant le contenu d'un panier d'achat ou permettant la facturation ;
- traceurs de personnalisation de l'interface (langue, présentation) lorsque cette personnalisation est un élément intrinsèque et attendu du service ;
- traceurs d'équilibrage de charge ;
- traceurs permettant aux sites payants de limiter l'accès gratuit à un échantillon de contenu ;
- certains traceurs de mesure d'audience, sous conditions.
Un consentement valable : les exigences pratiques
- Le consentement doit être préalable : tant que l'utilisateur n'a pas consenti, aucun traceur soumis à consentement ne peut être déposé ni lu.
- Il doit être renouvelé dès qu'une nouvelle finalité soumise à consentement s'ajoute.
- L'information doit être visible, mise en évidence, complète, rédigée en termes simples, et porter notamment sur les différentes finalités et l'identité des responsables de traitement. Une information à deux niveaux est admise (description brève puis détails).
- Refuser doit être aussi simple qu'accepter. Le considérant 42 du RGPD rappelle que le consentement n'est pas libre si la personne ne dispose pas d'une véritable liberté de choix.
- La simple poursuite de la navigation ne vaut pas consentement.
- L'acceptation de conditions générales d'utilisation n'est pas une modalité valable de recueil du consentement.
- Le retrait doit être possible à tout moment, aussi simplement que le consentement a été donné.
Durées : recommandations de la CNIL, et non délais légaux généraux
- Traceurs de mesure d'audience exemptés : la durée de vie doit être limitée à une durée permettant une comparaison pertinente des audiences dans le temps — la CNIL cite treize mois — et ne doit pas être prorogée automatiquement lors de nouvelles visites.
- Conservation du choix de l'utilisateur : la CNIL indique qu'une conservation des choix pendant six mois constitue une bonne pratique.
Prouver le consentement
Chaque acteur qui se prévaut du consentement doit pouvoir en apporter la preuve. La CNIL cite plusieurs modalités non exclusives : mise sous séquestre ou publication horodatée d'un condensat du code utilisé pour recueillir le consentement ; captures d'écran horodatées du rendu visuel pour chaque version du site ou de l'application ; audits réguliers par des tiers mandatés ; conservation horodatée des configurations successives des outils (CMP).
Questions fréquentes
Un bandeau cookies peut-il se contenter d'un bouton « Accepter » ?
Non. La CNIL exige que refuser soit aussi simple qu'accepter, et que le retrait du consentement soit possible à tout moment avec la même simplicité.
La poursuite de la navigation vaut-elle consentement ?
Non. Le consentement doit résulter d'un acte positif clair. La simple poursuite de la navigation n'est plus une expression valable du consentement.
Quels cookies peut-on déposer sans consentement ?
Notamment ceux qui conservent le choix exprimé sur les traceurs, ceux d'authentification, de panier d'achat, de personnalisation de l'interface, d'équilibrage de charge, de limitation de l'accès gratuit à un contenu, ainsi que certains traceurs de mesure d'audience respectant des conditions précises.
Combien de temps un cookie de mesure d'audience peut-il vivre ?
La CNIL cite une durée de treize mois, qui permet une comparaison pertinente des audiences dans le temps, et précise qu'elle ne doit pas être prorogée automatiquement lors de nouvelles visites.
Comment prouver que le consentement a bien été recueilli ?
La CNIL cite plusieurs modalités non exclusives : séquestre ou publication horodatée d'un condensat du code de recueil, captures d'écran horodatées du rendu visuel par version, audits par des tiers mandatés, conservation horodatée des configurations successives des CMP.
Sources
- Légifrance – Loi n° 78-17 du 6 janvier 1978, article 82: https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000037813978
- Légifrance – Délibération n° 2020-091 du 17 septembre 2020 (lignes directrices cookies et autres traceurs): https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000042388179
- CNIL – Cookies et traceurs : que dit la loi ?: https://www.cnil.fr/fr/cookies-et-autres-traceurs/que-dit-la-loi
- CNIL – Les règles à suivre pour les cookies: https://www.cnil.fr/fr/cookies-et-autres-traceurs/regles/cookies
- CNIL – Cookies : solutions pour les outils de mesure d'audience: https://www.cnil.fr/fr/cookies-solutions-pour-les-outils-de-mesure-daudience
- Légifrance – Délibération n° 2020-092 du 17 septembre 2020 (recommandation cookies et autres traceurs): https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000042388197
- EUR-Lex – Directive 2002/58/CE consolidée, article 5(3): https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:02002L0058-20091219