La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2002/58/CE du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques modifiée par la directive 2009/136/CE du 25 novembre 2009 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 11 et 32-II ;
Vu l'ordonnance n° 2011-1012 du 24 août 2011 relative aux communications électroniques ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Bernard PEYRAT, commissaire, en son rapport, et
M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
les utilisateurs de ces services sont de plus en plus suivis par différents acteurs (éditeurs de service, régies publicitaires, réseaux sociaux, etc.) qui analysent leur navigation, leurs déplacements et leurs habitudes de consultation ou de consommation, afin notamment de leur proposer des publicités ciblées ou des services personnalisés. Ce traçage est réalisé par l'intermédiaire de différentes technologies, dont la plus répandue est aujourd'hui celle des cookies.
En modifiant l'article 5(3) de la directive 2002/58/CE par l'adoption de la directive 2009/136/CE, le législateur européen a posé le principe selon lequel le stockage d'informations sur l'équipement d'un utilisateur ou l'accès à des informations déjà stockées, ne devaient être mises en œuvre qu'avec le consentement préalable de l'utilisateur sauf, si ces actions sont strictement nécessaires au fournisseur pour la délivrance d'un service de la société de l'information expressément demandé par l'abonné ou l'utilisateur.
Ainsi, l'article 32-II de la loi du 6 janvier 1978, modifié par l'ordonnance n°2011-1012 du 24 août 2011 qui a transposé la directive 2009/136/CE, dispose désormais que  tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète, sauf s'il l'a été au préalable, par le responsable du traitement ou son représentant :
- de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;
- des moyens dont il dispose pour s'y opposer.
Ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son accord qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.
Ces dispositions ne sont pas applicables si l'accès aux informations stockées dans l'équipement terminal de l'utilisateur ou l'inscription d'informations dans l'équipement terminal de l'utilisateur :
- soit a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;
- soit est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur .
Compte tenu de la diversité des technologies utilisées et du nombre d'acteurs en présence, la CNIL a organisé pendant plusieurs mois une concertation avec les principaux professionnels concernés. A l'issue de ces travaux, elle souhaite, par la présente recommandation, rappeler les principes qu'il conviendrait de respecter pour permettre l'utilisation de ce type de dispositifs dans les conditions fixées par l'article 32-II précité.
Article 1er - Sur le champ d'application de la recommandation
Aussi, la présente recommandation s'applique à toutes les formes d'accès et d'inscriptions visées par l'article 32-II. Elle concerne donc les cookies HTTP, par lesquels ces actions sont le plus souvent réalisées. Mais elle a vocation également à s'appliquer à d'autres technologies (notamment, en l'état des connaissances actuelles, les local shared objects appelés parfois les cookies "flash", les pixels invisibles ou  web bugs , les identifications par calcul d'empreinte du terminal ou encore des identificateurs cachés). Pour l'application de la présente recommandation, le mot  Cookie  désigne l'ensemble des dispositifs visés par l'article 32-II.
Le fait que les informations (stockées et/ou consultées) soient ou non des données à caractère personnel au sens de la directive 95/46/CE n'est pas une condition préalable à l'application de l'article 5, paragraphe 3 de la directive 2002/58/CE. L'article 32-II précité s'applique donc dans les hypothèses où les informations précitées sont des données à caractère personnel et dans celles où elles ne sont pas des données à caractère personnel.
La Commission relève toutefois que ces actions impliquent généralement le traitement de données à caractère personnel, parfois directement identifiantes (par exemple, une adresse électronique), et souvent indirectement identifiantes (par exemple, l'identifiant unique d'un cookie, une adresse IP, un identifiant du terminal ou d'un composant du terminal de l'utilisateur, le résultat du calcul d'empreinte dans le cas du  fingerprinting , ou encore l'identifiant généré par un logiciel ou un système d'exploitation).
Ainsi, compte tenu des risques qu'ils entraînent sur la vie privée, les Cookies nécessitant une information et un consentement préalables de l'internaute sont notamment :
• les Cookies liés aux opérations relatives à la publicité ciblée ;
• les Cookies de mesure d'audience (à l'exclusion de ceux définis à l'article 6 de la présente recommandation) ;
• les Cookies traceurs de réseaux sociaux générés par les  boutons de partage de réseaux sociaux .
A l'inverse, certains Cookies peuvent être déposés ou lus sans recueillir le consentement des personnes. Ce sont :
• les Cookies ayant pour finalité exclusive de permettre, ou faciliter la communication par voie électronique ;
• les Cookies strictement nécessaires à la fourniture d'un service expressément demandé par l'utilisateur ;
• les Cookies de mesure d'audience définis à l'article 6 de la présente recommandation.
La Commission précise enfin que la présente recommandation s'applique aux Cookies déposés et lus, notamment lors de la consultation d'un site internet, de la lecture d'un courrier électronique, de l'installation ou de l'utilisation d'un logiciel ou d'une application mobile, quel que soit le système d'exploitation, le navigateur ou le terminal utilisés (par exemple un ordinateur, une tablette, un ordiphone ou  Smartphone , une télévision connectée, une console de jeux vidéos connectée au réseau Internet).
Article 2 - Sur l'obligation d'information préalable et les modalités de recueil du consentement
En application de la loi informatique et libertés, les Cookies nécessitant un recueil du consentement ne peuvent être déposés ou lus sur son terminal, tant que la personne n'a pas donné son consentement.
Le terme  accord  visé par l'article 32-II de la loi précitée correspond au  consentement  défini à l'article 2 (h) de la directive 95/46/CE, c'est-à-dire  toute manifestation de volonté, libre, spécifique et informée .
La Commission considère que le consentement ne peut être valable que si la personne concernée est en mesure d'exercer valablement son choix et n'est pas exposée à des conséquences négatives importantes si elle refuse de donner son consentement. Cette interprétation est partagée par le groupe des autorités de protection des données européennes, dit G29, dans son avis 15/2011 du 13 juillet 2011 sur la définition du consentement.
Elle estime donc justifié que la personne qui refuse un Cookie nécessitant un consentement puisse continuer à bénéficier du service (accès à un site internet par exemple).
La validité du consentement est liée à la qualité de l'information reçue. Celle-ci doit être visible, mise en évidence et complète. La Commission recommande donc que l'information soit rédigée en des termes simples et compréhensibles pour tout utilisateur, et permette aux internautes d'être parfaitement informés des différentes finalités des Cookies déposés et lus. Elle considère que l'utilisation d'une terminologie juridique ou technique trop complexe ne répondrait pas à l'exigence d'une information préalable.
La Commission souligne par ailleurs que le consentement doit se manifester par le biais d'une action positive de la personne préalablement informée des conséquences de son choix et disposant des moyens de l'exercer. Des systèmes adaptés doivent donc être mis en place pour recueillir le consentement selon des modalités pratiques qui permettent aux internautes de bénéficier de solutions conviviales et ergonomiques. La Commission examinera in concreto la conformité à la loi des solutions retenues. Elle considère que l'acceptation de conditions générales d'utilisation ne peut être une modalité valable de recueil du consentement.
Conformément à ces principes, et après concertation avec les professionnels concernés, la Commission recommande une procédure de recueil du consentement en deux étapes :
Dans la première étape, l'internaute qui se rend sur le site d'un éditeur (page d'accueil ou page secondaire du site) doit être informé, par l'apparition d'un bandeau :
• des finalités précises des Cookies utilisés ;
• de la possibilité de s'opposer à ces Cookies et de changer les paramètres en cliquant sur un lien présent dans le bandeau ;
• du fait que la poursuite de sa navigation vaut accord au dépôt de Cookies sur son terminal.
Dans la mesure où le consentement ne doit pas être ambigu, ce bandeau ne doit pas disparaître tant que la personne n'a pas poursuivi sa navigation, c'est-à-dire tant qu'elle ne s'est pas rendue sur une autre page du site ou n'a pas cliqué sur un élément du site (image, lien, bouton  rechercher ).
Ainsi, sauf consentement préalable de l'internaute, le dépôt et la lecture de Cookies ne doivent pas être effectués :
• si l'internaute se rend sur le site (page d'accueil ou directement sur une autre page du site à partir d'un moteur de recherche par exemple) et ne poursuit pas sa navigation : une simple absence d'action ne saurait être en effet assimilée à une manifestation de volonté ;
• s'il clique sur le lien présent dans le bandeau lui permettant de paramétrer les Cookies et, le cas échéant, refuse le dépôt de Cookies.
Dans la seconde étape, les personnes doivent être informées de manière simple et intelligible des solutions mises à leur disposition pour accepter ou refuser tout ou partie des Cookies nécessitant un recueil du consentement :
• pour l'ensemble des technologies visées par l'article 32-II précité ;
• par catégories de finalités : notamment la publicité, les boutons des réseaux sociaux et la mesure d'audience.
La Commission souligne que la mise en œuvre de ce dispositif, si elle est de nature à répondre aux exigences posées par l'article 32-II de la loi informatique et libertés, n'est pas exclusive d'autres modes plus renforcés de recueil du consentement.
Enfin, les personnes ayant donné leur consentement au dépôt ou la lecture de certains Cookies doivent être en mesure de le retirer à tout moment. Des solutions conviviales doivent donc être mises en œuvre pour que la personne puisse retirer son consentement aussi facilement qu'elle a pu le donner.
Article 3 - Sur les obligations respectives des éditeurs de sites et des émetteurs de Cookies
La Commission considère qu'il en est ainsi des éditeurs de sites internet (ou des éditeurs d'application mobile par exemple) et de leurs partenaires (régies publicitaires, réseaux sociaux, éditeurs de solutions de mesure d'audience...). En effet, dans la mesure où les éditeurs de site constituent souvent l'unique point de contact des internautes et que le dépôt de Cookies de tiers est tributaire de la navigation sur leur site, il leur appartient de procéder, seuls ou conjointement avec leurs partenaires, à l'information préalable et au recueil du consentement explicités à l'article 2 de la présente recommandation.
Par ailleurs, leurs partenaires déterminant les finalités du traitement (utiliser les informations collectées sur le comportement de navigation des internautes afin de constituer des profils et prendre des décisions relatives aux publicités qui seront affichées en fonction de ce profil par exemple) et les moyens de ce dernier (utiliser des Cookies, définir des algorithmes permettant de réaliser le profilage, etc.), ils ne peuvent pas être qualifiés de sous-traitants.
A cet égard, les émetteurs de Cookies peuvent également mettre en place des modes d'information particuliers. A titre d'exemple, l'affichage d'icônes sur les bannières publicitaires peut permettre aux personnes de prendre connaissance de l'identité de la régie publicitaire qui traite leurs données et leur permettre d'entrer en contact avec elle pour exercer leurs droits. En cas de clic sur cette icône, les dispositions de l'article 32-II devront être respectées.
Article 4 - Sur les paramètres du navigateur
Elle considère que le paramétrage du navigateur ne peut exprimer la manifestation d'un consentement que :
• si l'utilisateur a pu être en mesure de modifier les paramètres de son navigateur pour accepter ou refuser les Cookies ;
• et, s'il a été informé avant le dépôt ou la lecture de Cookies, de leurs finalités et des moyens de s'y opposer.
La Commission souligne que les paramètres du navigateur ne permettent pas, en l'état actuel de la technique, de gérer des technologies autres que les cookies HTTP. Elle considère qu'ils ne pourraient donc être regardés comme satisfaisants en cas d'utilisation d'autres technologies que les cookies HTTP, tels que les pixels invisibles, les cookies flash, ou les techniques de fingerprinting.
Enfin, certains navigateurs proposent également l'option  Do Not Track  (DNT, pouvant être traduit par  ne me tracez pas ). La Commission considère que lorsqu'un internaute décide d'activer une option de type  do not track , aucun profil ne devrait être réalisé sur cet internaute et sur son terminal. Cette position a été reprise par le G29 dans son avis 04/2012 du 7 juin 2012 sur les cookies exemptés de consentement. La Commission recommande donc, en cas d'activation de cette option, qu'aucune information ne soit collectée pour établir un profil de l'internaute et que ce dernier, comme son terminal, ne soient pas tracés.
Article 5 - Sur les durées de vie des Cookies
Elle recommande que le délai de validité du consentement au dépôt des Cookies soit porté à treize mois au maximum. À l'expiration de ce délai, le consentement devra être à nouveau recueilli.
En conséquence, les Cookies doivent donc avoir une durée de vie limitée à treize mois après leur premier dépôt dans l'équipement terminal de l'utilisateur (faisant suite à l'expression du consentement) et leur durée de vie ne doit pas être prolongée lors de nouvelles visites sur le site.
Article 6 - Sur le cas spécifique des Cookies de mesure d'audience
Dès lors, la Commission recommande que pour pouvoir bénéficier de cette exemption au recueil du consentement, de tels traitements doivent respecter les conditions suivantes :
• La personne doit être informée ;
• Elle doit disposer d'une faculté de s'y opposer par l'intermédiaire d'un mécanisme d'opposition facilement utilisable sur l'ensemble des terminaux, des systèmes d'exploitation, des applications et des navigateurs internet. Aucune information relative aux personnes ayant décidé d'exercer leur droit d'opposition ne doit être collectée et transmise à l'éditeur de l'outil d'analyse de fréquentation ;
• La finalité du dispositif doit être limitée à la mesure d'audience du contenu visualisé afin de permettre une évaluation des contenus publiés et de l'ergonomie du site ou de l'application. Les données collectées ne doivent pas être recoupées avec d'autres traitements (fichiers clients ou statistiques de fréquentation d'autres sites par exemple). L'utilisation du Cookie déposé doit également être strictement cantonnée à la production de statistiques anonymes. Sa portée doit être limitée à un seul éditeur et ne doit pas permettre le suivi de la navigation de la personne utilisant différentes applications ou naviguant sur différents sites internet ;
• L'utilisation de l'adresse IP pour géolocaliser l'internaute ne doit pas fournir une information plus précise que la ville. Cette adresse IP doit également être supprimée ou anonymisée une fois la géolocalisation effectuée, pour éviter toute autre utilisation de cette donnée personnelle ou tout recoupement avec d'autres informations personnelles ;
• S'agissant des Cookies, ils ne doivent pas avoir une durée de vie excédant treize mois et cette durée ne doit pas être prorogée automatiquement lors des nouvelles visites. Les informations collectées par l'intermédiaire des cookies doivent être conservées pendant une durée de treize mois maximum.
Article 7 - Sur les autres dispositions applicables
A cet égard, le droit d'accès et d'opposition doit pouvoir être exercé directement auprès de la régie publicitaire, du réseau social ou des éditeurs de solutions de mesure d'audience, lorsqu'ils détiennent des informations à caractère personnel directement ou indirectement identifiantes.
Les données doivent également être conservées pendant une durée qui n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées.
Enfin, les dispositions de l'article 8 de la loi du 6 janvier 1978 relatives aux données sensibles doivent être respectées. La Commission souligne en effet que de nombreuses informations sensibles peuvent être collectées lors de la navigation des internautes. Compte-tenu des risques particuliers d'atteinte à la vie privée en la matière et de la sensibilité de ces données, elle rappelle qu'une vigilance particulière doit être apportée lors du traitement de ces dernières.
La présente délibération sera publiée au Journal officiel de la République française.
La Présidente
Isabelle FALQUE-PIERROTIN
