La Commission veut resserrer les règles en matière de respect de la vie privée pour les communications électroniques.
Une simplification des règles relatives aux cookies
Un constat : la directive 2002/58/CE n’a pas permis d’atteindre pleinement ses objectifs. Plusieurs raisons expliquent ce résultat en particulier l’imprécision ou l’ambiguïté de certains concepts et notions utilisés.
La directive n’a pas permis non plus d’harmoniser les règles au sein de l’Union européenne et a créé des charges parfois trop lourdes sur les entreprises.
Par exemple, la règle du recueil du consentement appliquée à l’ensemble des cookies y compris ceux d’analyse et de fréquentation de site n’est ni réaliste ni opportune. Elle prive en effet le site internet de comptabiliser ses visiteurs. La Commission adopterait-elle les mêmes règles dans les boutiques physiques ? Priverait-on les commerçants d’évaluer le nombre de visiteurs et d’identifier le parcours magasin idéal ? Par ailleurs, cela revient à appliquer des contraintes à des cookies d’un caractère intrusif quasiment nul.
Du point de vue du consommateur, le résultat n’est pas plus concluant puisqu’il est la plupart du temps placé dans une situation où il accepte l’installation des cookies sans réellement comprendre ou pouvoir apprécier la portée de son accord.
La création d’une exception au recueil du consentement pour les cookies d’analyse et de fréquentation de site
L’article 8 du projet de règlement Vie privée (1) dispose que l’utilisation des capacités de stockage des équipements terminaux ou la collecte d’informations provenant de ces équipements et ou logiciels et matériels sont interdits sauf si :
- elle est nécessaire au seul effet d’effectuer la transmission d’une communication sur un réseau de communications électroniques ; ou
- l’utilisateur final a donné son consentement ; ou
- cela est nécessaire pour fournir un service de la société de l’information demandé par l’utilisateur final ; ou
- si elle est nécessaire pour mesurer l’audience sur le Web, à condition que cette mesure soit effectuée par le fournisseur du service de la société de l’information demandé par l’utilisateur final.
Cette proposition fait preuve de réalisme économique et représente une avancée importante par rapport aux dispositions actuelles qui soumettaient au recueil du consentement préalable de tels cookies sauf pour ceux répondant strictement aux conditions définies par la Cnil dans sa recommandation de 2013 (2).
Renforcement des modalités de recueil du consentement
Le projet de règlement Vie privée fait référence à la définition du consentement telle que retenue dans le RGPD. Ainsi, en l’état la proposition de règlement exige « une manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ».
Lorsque cela est techniquement possible et réalisable, le consentement peut être recueilli par les paramètres techniques appropriés d’une application logicielle permettant l’accès à Internet.
En tout état de cause, la proposition renvoie également à l’article 7 du RGPD. Dès lors, l’utilisateur devrait pouvoir retirer à tout moment son consentement et être informé de cette possibilité lors du recueil.
Cette exigence de consentement risque à terme, si la proposition était adoptée en l’état, de remettre en cause la position bienveillante de la Cnil qui consiste à considérer que la poursuite de la navigation vaut consentement en matière de cookies.
Céline Avignon
Lexing Publicité et marketing électronique
(1) PRE E-privacy Com(2017)10 final du 10-1-2017.
(2) Cnil, Recommandation sur les cookies du 16-12-2013.