Cookies : 3 questions soulevées par les règles de la Cnil

Le 1^er avril 2021 marque officiellement l'entrée en vigueur des règles de la Commission nationale de l'informatique et des libertés (Cnil) : sites et applications mobiles se doivent tous d'informer les utilisateurs sur l'usage lié aux cookies et autres traceurs et de proposer à ces derniers de les accepter ou de les refuser, avec la même facilité. Après un délai de mise aux normes de 6 mois laissé par l'autorité, des missions de contrôle de la Cnil peuvent désormais avoir lieu pour vérifier la conformité des marques et des éditeurs à ces règles, et le cas échéant, les sanctionner. Pour autant, la question de la licéité des murs de traceurs n'est toujours pas tranchée tandis que d'autres questions autour de la mesure d'audience et de la publicité contextuelle ne sont, probablement, pas maîtrisées par tous les acteurs.

Les "cookies walls" (murs de traceurs) sont-ils licites ?

La pratique du "cookie wall", ou mur de traceur, soit un pop-up qui s'affiche sur un site et conditionne son accès à l'acceptation du dépôt de traceurs fait l'objet de questionnements autour de sa licéité. Le groupe Webedia a fait le choix du cookie wall pour ses sites, considérant que la nouvelle réglementation ne lui permet plus de s'appuyer sur sa source de revenu principale, à savoir les cookies publicitaires. Ainsi, par l'exemple, l'accès au média Jeuxvideo.com est désormais déterminé par l'acceptation de l'une des deux propositions suivantes : "Accéder au site pour 2 euros TTC pendant 1 mois sans cookie publicitaire" ou "Accéder au site gratuitement en acceptant les cookies publicitaires". On peut alors s'interroger : est-il légal d'interdire l'accès à un site si l'utilisateur refuse de payer ou d'accepter des cookies publicitaires ?

Sur cette question, la Cnil indique, sur son site, attendre une "clarification pérenne [...] par le législateur européen" et appliquer "les textes en vigueur, tels qu'éclairés par la jurisprudence, pour déterminer au cas par cas si le consentement des personnes est libre et si un cookie wall est licite ou non." "Elle sera, dans ce cadre, très attentive à l'existence d'alternatives réelles et satisfaisantes, notamment fournies par le même éditeur, lorsque le refus des traceurs non nécessaires bloque l'accès au service proposé", explique l'autorité. En 2019, la Cnil avait, dans ses lignes directrices, tranché pour une interdiction "générale et absolue" des cookies walls, suivant la doctrine du Comité européen de la protection des données personnelles (CEPD) - une décision invalidée par le Conseil d'Etat, le 19 juin 2020. Selon le CEPD, "les utilisateurs devraient se voir proposer des alternatives équitables par le fournisseur de service et ce, indépendamment du secteur d'activité et du modèle économique de l'éditeur."

Move sacrément osé de Webedia sur @JVcom et ses autres sites Allociné, Puremédias, etc. (mais pas sur 750g, pourquoi ?) : paie 2 euros par mois ou accepte les cookies publicitaires. pic.twitter.com/tBdujxS9kJ

- Alexandre Laurent (@Onesque) March 31, 2021

Les traceurs de mesures d'audience sont-ils exemptés du recueil de consentement ?

La mesure d'audience est clé pour les sites médias. Depuis le 1^er avril 2021, certains ont néanmoins pu constater une baisse affichée de leurs audiences - certains utilisateurs ayant poursuivi leurs visites en refusant le dépôt des cookies. Pour autant, les traceurs de mesures d'audience sont exemptés de consentement "sous certaines conditions", rappelle la Cnil : "Il n'est pas nécessaire de recueillir le consentement de l'utilisateur, si ces traceurs sont strictement nécessaires à la fourniture d'un service de communication en ligne expressément demandé par l'utilisateur, conformément à l'article 82 de la loi Informatique et Libertés. La CNIL estime que la mesure d'audience peut être, dans une certaine limite, regardée comme strictement nécessaire au fonctionnement du site."

Pour être exemptés de recueil de consentement, les traceurs doivent donc suivre quatre garanties rappelées à l'article 5 des lignes directrices "cookies et autres traceurs" de la Cnil, à savoir : "être strictement limités à la seule mesure d'audience sur le site pour le compte exclusif de l'éditeur" ; "servir uniquement à produire des données statistiques anonymes" ; "ne pas permettre le suivi global de la navigation de la personne utilisant différentes applications ou naviguant sur différents sites web" et "ne pas permettre le recoupement des données avec d'autres traitements ou à ce que les données soient transmises à des tiers". Il est donc possible de ne pas recueillir de consentement pour des traceurs "indépendants" aidant le seul éditeur à mesurer les performances de ses articles, à détecter des problèmes de navigation ou, encore, à analyser les contenus consultés.

Attention, néanmoins, les traitements de mesure d'audience sont soumis aux obligations du Règlement général sur la protection des données (la pseudonymisation des données d'audience ne vaut pas anonymisation). Il est aussi nécessaire de bien choisir sa solution de mesure d'audience : "Certaines offres de mesure d'audience n'entrent pas dans le périmètre de l'exemption, notamment lorsque leurs fournisseurs indiquent réutiliser les données pour leur propre compte, comme le proposent plusieurs offres de mesure d'audience disponibles sur le marché", indique la Cnil.

Est-il possible de proposer de la publicité contextuelle si l'utilisateur refuse le dépôt de traceurs ?

En principe, oui, il est possible de proposer de la publicité contextuelle sans recueil du consentement de l'utilisateur, car l'affichage d'une publicité contextuelle - qui cible une audience en fonction du contexte dans lequel se trouve l'utilisateur exposé au contenu publicitaire - ne nécessite pas, contrairement à la publicité personnalisée - basée sur la navigation d'un individu -, le recours à des traceurs. "L'intérêt de ce type de publicité est qu'il ne nécessite pas de disposer d'informations sur la personne consultant la publicité, rappelle la Cnil, qui constate néanmoins pour de la publicité contextuelle, l'utilisation par les annonceurs de traceurs requérant le consentement de l'utilisateur "afin de mesurer la performance de la publicité (par exemple des cookies de "camping", de mesure de l'audience publicitaire ou encore de lutte contre la fraude au clic)." Le dépôt de ces traceurs doivent faire l'objet d'un recueil de consentement.

À lire aussi :

- Cookies : comment être en conformité avec les règles de la Cnil ?