Peut-on s’opposer à des cookies de mesure d’audience pourtant exemptés de consentement ?
Conformément à l’article 82 de la loi dite Informatique et Libertés, certains cookies nécessaires au bon fonctionnement du site, peuvent, à certaines conditions, ne pas être soumis au consentement de l’utilisateur, contrairement, à titre d’exemple, aux cookies publicitaires.
Ainsi le consentement n’est pas obligatoire « si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement terminal de l’utilisateur :
1° Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;
2° Soit, est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur. »
(Article 82, Loi dite Informatique et Libertés)
La CNIL considère que « la gestion d’un site web ou d’une application requiert presque systématiquement l’utilisation de statistiques de fréquentation et/ou de performance. Ces mesures sont dans de nombreux cas indispensables au bon fonctionnement du site ou de l’application et donc à la fourniture du service. En conséquence, la Commission considère que les traceurs dont la finalité se limite à la mesure de l’audience du site ou de l’application, pour répondre à différents besoins (mesure des performances, détection de problèmes de navigation, optimisation des performances techniques ou de l’ergonomie, estimation de la puissance des serveurs nécessaires, analyse des contenus consultés, etc.) sont strictement nécessaires au fonctionnement et aux opérations d’administration courante d’un site web ou d’une application et ne sont donc pas soumis, en application de l’article 82 de la loi « Informatique et Libertés », à l’obligation légale de recueil préalable du consentement de l’internaute. » (Article 50, Délibération CNIL n° 2020-091 du 17 septembre 2020)
Ces cookies ne doivent servir qu’à produire des statistiques anonymes, ne pas conduire à un recoupement avec d’autres données et ne pas permettre le suivi global de la navigation de la personne sur différentes applications ou sites web.
Pour bénéficier de l’exemption de recueil du consentement de l’utilisateur, la CNIL demande par ailleurs que :
- « les utilisateurs soient informés de la mise en œuvre de ces traceurs, par exemple via la politique de confidentialité du site ou de l’application mobile
- la durée de vie des traceurs soit limitée à une durée permettant une comparaison pertinente des audiences dans le temps, comme c’est le cas d’une durée de treize mois, et qu’elle ne soit pas prorogée automatiquement lors des nouvelles visites
- les informations collectées par l’intermédiaire de ces traceurs soient conservées pour une durée maximale de vingt-cinq mois
- les durées de vie et de conservation ci-dessus mentionnées fassent l’objet d’un examen périodique. »
(Article 5, Délibération CNIL n° 2020-092 du 17 septembre 2020)
Toutefois, même si le consentement n’est pas requis pour les cookies de mesure d’audience respectant les conditions d’exemption, l’utilisateur concerné peut-il s’y opposer et exercer ainsi son droit d’opposition en vertu de l’article 21 du RGPD ?
Du point de vue de l’éditeur du site, ces cookies doivent-ils quand même figurer dans la CMP?
La réponse n’est pas évidente car de deux choses l’une :
- soit il s’agit d’un cookie strictement nécessaire à la fourniture du service de communication en ligne et dans ce cas, l’opposition ne serait pas logique,
- soit il facilite seulement la vie des administrateurs du site et dans ce cas, un utilisateur devrait pouvoir s’y opposer.
Dans sa précédente délibération n°2019-093, la CNIL affirmait clairement que l’utilisateur disposait d’un droit d’opposition. Il s’agissait d’ailleurs d’une des conditions permettant aux cookies traceurs de bénéficier de l’exemption de recueil du consentement.
« Dès lors, la Commission considère que peuvent bénéficier de cette exemption au recueil du consentement, les traitements respectant les conditions suivantes :
– ils doivent être mis en œuvre par l’éditeur du site ou bien par son sous-traitant ;
– la personne doit être informée préalablement à leur mise en œuvre ;
– elle doit disposer de la faculté de s’y opposer par l’intermédiaire d’un mécanisme d’opposition facilement utilisable sur l’ensemble des terminaux, des systèmes d’exploitation, des applications et des navigateurs web. (…) »
(Article 5 de la Délibération CNIL n°2019-093 du 4 juillet 2019)
Or, dans ses lignes directrices sur les cookies du 17 septembre 2020 (abrogeant la délibération n° 2019-093 précédemment citée), la CNIL ne reprend pas la mention expresse sur le droit d’opposition. Cette condition n’est ainsi plus exigée pour bénéficier de l’exemption de consentement.
Autrement dit, dans ses nouvelles lignes directrices, la CNIL ne conditionne plus l’exemption de consentement à l’existence d’un droit d’opposition, ce qui pourrait laisser penser que l’utilisateur ne bénéficie pas forcément d’un droit d’opposition dans ce cas.
Pourtant et selon nous, le droit d’opposition serait, en tout état de cause, le pendant du droit de retirer son consentement.
La CNIL affirme tout de même que « les traitements de mesure d’audience sont des traitements de données à caractère personnel qui sont soumis à l’ensemble des dispositions pertinentes du RGPD. » (Article 5 de la Délibération CNIL n°2020-091 du 17 septembre 2020, §52)
Aussi, il est possible d’en déduire qu’en principe, conformément à l’article 21§1 du RGPD, la personne concernée bénéficie d’un droit d’opposition à un tel traitement de mesure d’audience (la base légale d’un tel traitement pouvant être l’intérêt légitime du responsable de traitement, notamment en raison des opérations d’administration courante d’un site web).
Toutefois, en vertu de cette même disposition, lorsqu’il n’est pas question de prospection commerciale, la personne concernée peut exercer son droit d’opposition en justifiant de « raisons tenant à sa situation particulière ». L’exercice du droit d’opposition doit donc être motivé.
En outre, même en présence d’une telle motivation, le responsable de traitement peut refuser de faire droit à une telle demande, s’il « existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée ».
Par conséquent, il convient de mettre en balance, de façon casuistique, les intérêts de la personne concernée et ceux du responsable de traitement, étant précisé que la CNIL semble adopter une position plutôt favorable aux cookies de mesures d’audience tant que ceux-ci respectent ses exigences tout en laissant tout de même la possibilité aux personnes concernées de s’opposer (si un motif valable pouvait être invoqué).
Le Cabinet est à votre disposition pour vous accompagner dans la rédaction de vos politiques de confidentialité et charte cookies.
Charlotte GALICHET
Marie MUNICCHI
Pour aller plus loin : Le 17 janvier 2023, la CNIL et ses homologues européens ont adopté le rapport synthétisant les conclusions du groupe de travail chargé de coordonner les réponses aux questions sur les bannières cookies. Le rapport résumant les analyses et conclusions du groupe de travail est disponible sur le site du CEPD.