Quels cookies peut-on déposer sans consentement ?

Introduction

Toutes les fonctionnalités d’un site ne supposent pas un consentement. Distinguer ce qui est exempté de ce qui ne l’est pas évite à la fois les manquements et les bandeaux inutilement intrusifs.

Le fondement de l’exemption

Le consentement n’est pas requis pour les traceurs qui ont pour finalité exclusive de permettre ou faciliter la communication par voie électronique, ou qui sont strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur.

L’exemption est d’interprétation stricte : le critère est la nécessité au service demandé, non l’utilité pour l’éditeur.

Les traceurs strictement nécessaires

Les identifiants de session permettant de maintenir la connexion d’un utilisateur authentifié.

Les traceurs de panier d’achat.

Les traceurs de sécurité, notamment de détection des tentatives de connexion frauduleuses, dans une durée limitée.

Les traceurs conservant le choix exprimé par l’utilisateur sur le dépôt des traceurs, qui doivent nécessairement subsister pour que ce choix soit respecté.

Les traceurs de personnalisation de l’interface choisie par l’utilisateur, comme la langue ou l’affichage.

Les traceurs d’équilibrage de charge.

L’exemption de mesure d’audience

Une exemption spécifique existe pour la mesure d’audience, mais sous conditions cumulatives.

La finalité doit être strictement limitée à la mesure de l’audience du site pour le compte exclusif de l’éditeur.

Les données produites ne doivent pas être recoupées avec d’autres traitements ni transmises à des tiers.

Le traceur doit servir uniquement à produire des statistiques anonymes.

La portée doit être limitée au seul site ou à l’application, sans suivi de la navigation sur d’autres services.

La durée de vie doit être limitée, treize mois étant la référence, et les données conservées pour une durée raisonnable.

Les solutions du marché

Cette exemption exclut en pratique les solutions qui mutualisent les données entre plusieurs clients, alimentent des services publicitaires du même éditeur ou permettent un suivi entre sites.

Les outils de mesure d’audience largement répandus ne remplissent pas ces conditions et requièrent donc un consentement.

Des solutions de mesure d’audience configurées pour respecter les critères d’exemption existent, et la CNIL en publie une liste indicative. Le paramétrage retenu conditionne le bénéfice de l’exemption : la même solution peut être exemptée ou non selon sa configuration.

Ce qui n’est jamais exempté

Les traceurs publicitaires, personnalisés ou non.

Les traceurs de réseaux sociaux, y compris les simples boutons de partage lorsqu’ils déposent un traceur.

Les traceurs de test comparatif de versions lorsqu’ils excèdent la stricte mesure.

Les cartes, vidéos et polices chargées depuis un service tiers lorsqu’elles entraînent un dépôt ou une lecture, hypothèse fréquente et souvent ignorée.

L’information reste due

L’exemption porte sur le consentement, non sur l’information.

Les traceurs exemptés doivent figurer dans la politique de confidentialité ou dans une politique de gestion des traceurs, avec leur finalité et leur durée.

L’inventaire préalable

La qualification suppose de connaître les traceurs réellement déposés.

Un relevé effectué depuis le navigateur, avant et après consentement, constitue le point de départ de toute mise en conformité.

Ce relevé révèle systématiquement des traceurs oubliés, issus d’anciennes intégrations ou de modules tiers.

Faire l’inventaire avant de paramétrer

Un bandeau se configure à partir d’un relevé, jamais d’une liste théorique. Notre expertise en droit du numérique conduit ces audits.

En résumé

• Sont exemptés les traceurs strictement nécessaires au service demandé par l’utilisateur.
• La mesure d’audience peut l’être sous conditions cumulatives strictes.
• Les solutions permettant un recoupement ou une transmission à des tiers ne sont pas exemptées.
• Publicité, réseaux sociaux et contenus tiers ne sont jamais exemptés.
• L’exemption dispense du consentement, pas de l’information.