Droit et conformité

Consentement aux cookies dans l'Union : consentement préalable, choix équivalents et retrait

Les bandeaux cookies ne sont que la partie visible du dispositif. La question de fond est de savoir si un site inscrit ou lit des informations sur l'appareil d'un visiteur, ou engage un traitement de données personnelles associé, avant de disposer d'une base valable pour le faire.

Ce qu'exigent les règles

Pour l'Allemagne, le § 25 du TDDDG exige une information claire et complète ainsi qu'un consentement avant toute inscription ou lecture sur l'appareil d'un utilisateur final, sous réserve d'exceptions étroites tenant à la transmission d'une communication et aux opérations strictement nécessaires à un service expressément demandé par l'utilisateur. Ailleurs dans l'UE et l'EEE, les lois nationales transposent le cadre « vie privée et communications électroniques » : la formulation et le contrôle peuvent donc différer, même lorsque le principe est voisin.

Lorsque le traitement repose sur le consentement, l'article 7, paragraphe 3, du RGPD prévoit que le retrait doit être aussi simple que le fait de consentir. Le groupe de travail du Comité européen de la protection des données consacré aux bandeaux cookies a par ailleurs indiqué que la plupart des autorités considéraient un bandeau offrant une commande d'acceptation sans option de refus comme incompatible avec un consentement valable.

Ce que vérifie AllyProof

Le navigateur relève des faits observables, plutôt que de qualifier chaque cookie par avance :

• les cookies, le stockage local et les requêtes émises avant tout choix ;
• la présence de choix d'acceptation et de refus d'une visibilité comparable ;
• le fait qu'un refus interrompe effectivement toute nouvelle activité de traçage facultative ;
• la possibilité pour un visiteur de rouvrir ses choix en matière de confidentialité ;
• le fait que le bandeau bloque ou non l'accès à un lien juridique obligatoire.

Un résultat peut néanmoins nécessiter une revue humaine. Le seul nom d'un cookie ne prouve pas sa finalité, et une requête réseau peut être nécessaire dans une implémentation et facultative dans une autre.

Comment examiner un résultat

Inventoriez chaque cookie, clé de stockage et requête tierce émis avant tout choix. Consignez-en la finalité, le fournisseur, la durée de vie et le caractère nécessaire. Bloquez les balises facultatives jusqu'à l'obtention du consentement de la catégorie correspondante, faites en sorte que le refus fonctionne sans pression supplémentaire, et proposez une commande permanente de réglage des choix. Testez ensuite une session de navigation vierge et un parcours de refus - et non uniquement le parcours nominal après acceptation.

Sources officielles

• § 25 TDDDG - protection de la vie privée dans les équipements terminaux
• Rapport du groupe de travail du CEPD sur les bandeaux cookies
• RGPD, notamment les articles 6, 7, 12 et 13

Questions fréquentes

Chaque cookie doit-il attendre un consentement ?

Non. L'inscription ou la lecture strictement nécessaire à la transmission d'une communication ou à la fourniture d'un service expressément demandé par l'utilisateur peut en être dispensée. La mesure d'audience, la publicité et les autres finalités facultatives nécessitent en général une base légale valable, et souvent un consentement préalable.

Le droit européen impose-t-il un bouton « Refuser » identique ?

Le groupe de travail du CEPD a considéré que l'absence d'option de refus là où un bouton d'acceptation est présenté était incompatible avec un consentement valable dans les cas qu'il a examinés. Le contrôle national et les détails d'interface peuvent néanmoins varier.

Que teste AllyProof ?

Il enregistre les cookies, le stockage du navigateur et les requêtes réseau avant toute interaction ; compare les commandes d'acceptation et de refus du premier niveau ; tente un refus ; observe les traceurs ultérieurs ; et recherche un moyen de revenir sur le choix effectué ou de le retirer.