La Cnil modifie ses lignes directrices sur le consentement des internautes au dépôt de cookies

Après une consultation publique initiée en janvier 2020 et le recueil de contributions publiques, la Cnil a publié jeudi 1er octobre ses nouvelles lignes directrices sur le consentement à la publicité ciblée et l’utilisation des cookies et traceurs par les sites internet, intégrant notamment la décision du Conseil d’Etat de juin 2020. Rappelons qu’il s’agit ici d’appliquer la directive “e-privacy” de 2002 transposée par l’article 82 de la Loi Informatique et libertés prévoyant “l’obligation, sauf exception, de recueillir le consentement des internautes avant toute opération d’écriture ou de lecture de cookies et autres traceurs.”

Pas de changement majeur dans l’interprétation de la Cnil

La Cnil a dans le même temps publié de nouvelles recommandations – non prescriptives – pour aider les acteurs à appliquer ses lignes directrices au niveau pratique, en fournissant des exemples, notamment en termes d’UX. Les grands principes de la Cnil sont tous confirmés dans ses nouvelles lignes directrices et ses recommandations : la simple poursuite de la navigation sur un site ne peut plus être considérée comme une expression valide du consentement de l’internaute, les personnes doivent consentir au dépôt de traceurs par un acte positif clair, les utilisateurs devront être en mesure de retirer leur consentement, facilement et à tout moment. Refuser les traceurs doit être aussi aisé que de les accepter, les internautes doivent être informés des finalités des traceurs avant de consentir et de l’identité de tous les acteurs utilisant des traceurs soumis au consentement. Ils doivent également avoir la possibilité par la suite de modifier facilement leur choix (par exemple via un petit module “Gérer ses cookies” qui s’afficherait épisodiquement sur une page).

Quelques ouvertures sur le recueil du consentement

 Parmi les libertés dont dispose les éditeurs : rien ne semble empêcher un site de multiplier les demandes de consentement. La Cnil évoque une durée de conservation des choix qui devra être appréciée “au cas par cas”, tout en recommandant aux éditeurs de conserver et d’utiliser ce choix durant six mois ; une période qu’ils trouveront sans doute excessive pour l’ensemble des internautes consultant peu fréquemment leur site et ayant exprimé un premier refus. 

Le principe du “cookie wall” (conditionner l’accès à un site ou une application à un internaute avec son consentement au dépôt de cookie) est désormais admis sous conditions de lui donner une alternative (souscrire un abonnement par exemple) ; la Cnil intègre ici la décision du Conseil d’Etat de juin.

Enfin, dans ses nouvelles recommandations publiées, celles liées au “consentement by design” – sujet le plus subjectif pour appliquer le RGPD et donc épineux – la Cnil évolue également : elle insistait jusque-là pour que le bouton “tout refuser” (refuser tous les cookies) soit systématiquement inséré sur la première fenètre des CMP au même niveau que le bouton “tout accepter”. L’organe semble maintenant accepter sur certaines interfaces que ce bouton soit remplacé par le bouton “continuer sans accepter”, qui figurerait avec les boutons “personnaliser vos choix” et “tout accepter”.

La CNIL indique vouloir dans un premier temps vouloir faire preuve de pédagogie et accompagner le marché dans la mise en place de ses lignes directrices, tout en estimant que le délai de mise en conformité des sites internet “ne devrait pas dépasser six mois, soit fin mars 2021 au plus tard”. Un délai relativement long qui devrait satisfaire les éditeurs, durement affectés par la contraction du marché publicitaire depuis mars.

Une FAQ pour guider les professionnels a été mise en ligne par la Cnil.