L’Autorité de protection des données (APD) vient de publier une checklist pour aider les organisations à s’assurer que leurs pratiques en matière de cookies sont conformes aux réglementations en vigueur. En effet, l’APD considère les cookies comme une préoccupation prioritaire pour 2023.
Pour rappel, les cookies sont de « mini fichiers » qui peuvent être placés sur un appareil connecté à Internet, comme un ordinateur, un téléphone, une tablette ou encore une télévision intelligente. Ils peuvent être utilisés pour recueillir ou stocker des informations sur la manière dont le visiteur se comporte sur un site Internet, la langue utilisée, les centres d’intérêt, les habitudes de consommation ...
Les responsables de sites Internet ou d’applications mobiles qui souhaitent installer et/ou lire des cookies sur des appareils connectés à Internet doivent clairement expliquer le rôle de ces cookies et les raisons pour lesquelles ils sont placés et lus. Les responsables de traitement sont donc invités à avoir une cookies policy complète, claire, transparente et facilement compréhensible.
Ce qui est essentiel à rappeler, c’est que le consentement de l’utilisateur/l’internaute doit résulter d’un acte positif et donné en connaissance de cause, donc basé sur une explication claire.
L’an dernier, l’European Data Protection Board (EDPB) avait déjà publié un rapport présentant des exemples de pratiques non conformes en matière de bannières de cookies.
- L’EDPB a rappelé que les cases pré-cochées ne constituent pas un consentement valable au sens du Règlement général sur la protection des données (RGPD) ou de l’ePrivacy, quel que soit le niveau de la bannière dans lequel la case à cocher est incluse.
- Certains sites web font appel à « l’intérêt légitime », et non au consentement, pour des traitements de données ultérieurs au dépôt ou à la lecture de cookies. Le rapport de l’EDPB rappelle que l’intérêt légitime ne peut pas constituer la base légale pour le dépôt de cookies lui-même, et que si le dépôt ou la lecture des cookies ne sont pas conformes à la directive ePrivacy, les traitements ultérieurs qui en découlent ne peuvent pas être conformes au RGPD.
- L’EDPB insiste sur l’importance de disposer d’un bouton de type « refuser tout » au même niveau que le bouton « accepter tout ».
La majorité des autorités de protection des données, en ce compris l’APD, considère que l’absence du bouton « tout refuser » constitue un manquement et que l’utilisateur d’un site web doit pouvoir accéder à l’option d’accord ou de refus du dépôt/lecture de cookies de manière simultanée.
Pour aider les entreprises dans la gestion des cookies, l’APD publie donc sur son site un outil synthétique qui permet de parcourir, étape par étape, quelques «do’s-and-don’ts » liés aux cookies et autres mécanismes de traçage similaires.
Elle y rappelle que seuls les cookies strictement nécessaires sont exemptés d’un consentement, et que toutes les autres catégories de cookies ne peuvent être placées et lues qu’à condition que l’utilisateur y ait consenti préalablement et de manière libre, spécifique, informée, univoque et active.
L’énumération des obligations dans la check-list n’est pas exhaustive. C’est un outil grâce auquel l’APD souhaite encourager l’utilisation correcte des cookies. Il complète donc la boîte à outils de l’APD dédiée aux responsables du traitement, dans laquelle on retrouve déjà, entre autres, des modèles de registre d’activités de traitement, la checklist du DPO et le schéma des droits des personnes concernées par base juridique.
Sur base de ces nouvelles recommandations, on peut s’attendre à voir l’APD initier des contrôles. En 2022, ce sont les sites de presse qui ont été passés au crible par le service d’inspection et ont fait l’objet d’importantes sanctions.
Lire plus d'articles sur:
