Votre site est-il en règle avec la loi sur les cookies ?

Aujourd'hui, parlons cookies ! Non, pas les petits biscuits (même si ça nous aurait plu), mais ces petits traceurs qu'on met en place sur un site pour faciliter la navigation et recueillir des informations (voir la définition Wikipedia des cookies)...

Vous avez sans doute vu apparaître depuis plusieurs semaines des barres de notifications en haut de nombreux sites vous invitant à accepter (ou non) l'utilisation des cookies.

Ces sites, comme celui de Com'3Elles, se sont tout simplement mis en règle avec la délibération n° 2013-378 du 5 décembre 2013 de la CNIL (Commission Nationale de l'Informatique et des Libertés) relative à l'adoption d’une recommandation sur les Cookies et aux autres traceurs.

Une délibération à laquelle 99% des sites en ligne sont soumis. Explications.

Cette délibération est donc effective depuis début 2014. Mais jusqu'à présent, aucun contrôle de la part de la CNIL n'avait lieu, le temps que tout le monde puisse se mettre au diapason.

Or, depuis octobre 2014, les premiers contrôles ont lieu. Le non-respect de cette obligation peut donner lieu à une sanction administrative (avertissement / mise en demeure / amende jusqu’à 150 000€ ou 300 000€ en cas de manquement réitéré).

Mais faute d'une communication suffisante, à ce jour, plus de 95% des sites Internet ne respectent pas cette obligation légale qui veut que les internautes soient informé-es et donnent leur consentement préalablement à l'insertion de traceurs (cookies). Ils doivent disposer d'une possibilité de refuser d'être tracés lorsqu'ils visitent un site ou utilisent une application. Les éditeurs ont donc l'obligation de solliciter au préalable le consentement des utilisateurs. Ce consentement est valable 13 mois maximum.

Pourquoi quasiment tous les sites sont-ils concernés ?

Parmi les cookies nécessitant une information préalable et une demande de consentement, on peut notamment citer :

• les cookies liés aux opérations relatives à la publicité ciblée ;
• certains cookies de mesure d'audience comme Google Analytics ;
• les cookies des réseaux sociaux générés notamment par leurs boutons de partage lorsqu'ils collectent des données personnelles sans consentement des personnes concernées.

Cette liste n'est pas exhaustive, mais comme le prouve celle ci-dessus, aujourd'hui, la plupart des sites utilisent un système de mesure d'audience à des fins statistiques (comme Google Analytics). Il en est de même si vous avez (sauf rares exceptions) des boutons de partages vers les réseaux sociaux.

Quelles sanctions ?

Comme indiqué plus haut, le non-respect de cette obligation d'informer sur l'utilisation de cookies peut donner lieu à une sanction administrative.

Même si à ce jour, aucune sanction ne semble avoir été appliquée par la Commission, mieux vaut ne pas jouer avec le feu et se retrouver avec une mise en demeure ou une amende pour avoir omis d'informer les visiteurs de son site.

C'est par ailleurs, et avant tout, une question de respect de ses visiteurs, qui ont le droit d'être informés sur le recueil de données les concernant.

Que dit la loi sur le recueil du consentement ?

Le consentement doit être préalable à l'insertion ou à la lecture de cookies

• Tant que la personne n'a pas donné son consentement, ces cookies ne peuvent être déposés ou lus sur son terminal.
• Il doit être requis à chaque fois qu'une nouvelle finalité vient s'ajouter aux finalités initialement prévues.

Le consentement est une manifestation de volonté, libre, spécifique et informée : la validité du consentement est donc liée à la qualité de l'information reçue.

• L'information doit être visible, mise en évidente et complète.
• Elle doit être rédigée en des termes simples et compréhensibles pour tout utilisateur.
• Elle doit permettre aux internautes d'être parfaitement informés des différentes finalités des cookies.

Le consentement n'est valide que si la personne exerce un choix réel.

• L'utilisateur doit pouvoir accepter ou refuser le dépôt des cookies.
• Le consentement ne peut être valable que si la personne concernée est en mesure d'exercer valablement son choix et n'est pas exposée à des conséquences négatives importantes si elle refuse de donner son consentement. La personne qui refuse un cookie nécessitant un consentement doit pouvoir continuer à bénéficier du service (l'accès à un site internet par exemple).
• Le choix doit pouvoir être effectué pour chaque application et chaque site internet.

Bref, une mesure pas du tout simple à mettre en place si on veut être parfaitement dans les clous sur tous les points cités.

Le consentement doit donc se manifester par une action de la personne préalablement informée des conséquences de son choix et disposant des moyens de l'exercer. On ne peut supposer une acceptation par défaut.

Vous retrouverez toutes les informations sur http://www.cnil.fr/vos-obligations/sites-web-cookies-et-autres-traceurs/que-dit-la-loi/.

Dans la pratique

Dès l'arrivée sur un site, l'internaute doit être notifié-e par un bandeau de l'utilisation de cookies, des finalités d'utilisation de ces derniers et du fait que la poursuite de sa navigation vaut accord au dépôt de cookies sur son terminal.

Ce bandeau ne doit pas disparaître tant que la personne n'a pas poursuivi sa navigation, c'est-à-dire tant qu'elle ne s'est pas rendue sur une autre page du site ou n'a pas cliqué sur un élément du site.

Sur ce bandeau doit apparaître une mention du type "En savoir plus" qui conduira l'internaute sur une page dédiée lui indiquant les moyens mis à sa disposition pour refuser l'insertion des cookies.

Devant le nombre de navigateurs et systèmes d'exploitation disponibles, pas évident d'indiquer la marche à suivre à tout le monde. Chez Com'3Elles, nous avons essayé de n'oublier personne sur notre page d'utilisation des cookies.

Durée de vie d'un cookie

Les personnes ayant donné leur consentement à être tracées peuvent, au bout d'un certain temps, oublier qu'elles ont manifesté cette volonté. C'est la raison pour laquelle la CNIL recommande que le délai de validité du consentement au dépôt des Cookies soit porté à 13 mois au maximum. Au bout de ce délai, la barre de notification devra réapparaître pour permettre à l'internaute de donner ou non son consentement.

Un cookie ne peut donc avoir une durée de vie supérieure à ces 13 mois et en aucun cas, une nouvelle visite sur le site ne prolonge sa durée de vie de 13 mois. C'est la première visite sur le site qui fixe la durée de vie à 13 mois.

Liens utiles

http://www.cnil.fr/vos-obligations/sites-web-cookies-et-autres-traceurs/

http://www.cnil.fr/vos-obligations/sites-web-cookies-et-autres-traceurs/que-dit-la-loi/

http://www.cnil.fr/documentation/fiches-pratiques/fiche/article/ce-que-le-paquet-telecom-change-pour-les-cookies/

Le texte de l'ordonnance sur Légifrance

Pensez (aussi) à mettre à jour vos mentions légales

Dans la foulée, un petit rappel qui ne fera pas de mal : autre élément obligatoire sur les sites et blogs, les mentions légales. Beaucoup de sites ne respectent pas encore cette règle.

Nous vous invitons à relire notre article sur les mentions légales pour vérifier que votre site soit en conformité et quelles sont les mentions à y faire apparaître. Pour ceux qui ont déjà une page de mentions légales, pensez aussi à les mettre à jour si besoin.