Les cookies impliquent le plus souvent des données à caractère personnel, et c’est pourquoi le législateur a choisi de transposer la directive européenne dans la loi générale sur les données personnelles.
Le Conseil d’État a récemment validé une décision de la CNIL (Commission Nationale Informatique et Libertés, ndlr) qui a imposé une amende de 25.000 € pour violation du cadre juridique en matière de cookies, considérant qu’un cookie publicitaire n’est pas «strictement nécessaire à la fourniture» du service, même si la publicité ainsi permise est nécessaire à la viabilité économique du site.
Peu importe donc la nature du cookie, sa finalité ou son contenu, dès que cette technologie est utilisée, la loi s’applique. Cette disposition est d’application jusqu’à l’entrée en vigueur du règlement européen e-Privacy, actuellement toujours au stade de la proposition.
La CNIL rappelle que « l’important est de préciser de manière claire la finalité du cookie et de décrire le moyen dont l’internaute dispose pour s’opposer à ce cookie ». L’autorité française donne l’exemple suivant : si la finalité est de permettre à une régie de publicité extérieure de proposer des publicités ciblées, il faudra signaler à l’internaute que la finalité consiste à « analyser vos centres d’intérêts pour vous proposer des publicités personnalisées », et pas seulement d’annoncer une « finalité publicitaire ». L’utilisateur doit donc donner son consentement, lequel doit pouvoir être retiré ultérieurement, de manière simple.
Gare à Facebook !
L’encre du GDPR à peine sèche, il faut déjà revoir plusieurs acquis… La Cour de justice de l’Union européenne vient en effet de juger que l’administrateur d’une page fan sur Facebook est conjointement responsable avec Facebook du traitement des données des visiteurs de sa page. Ni sous-traitant, ni tiers au traitement, mais bel et bien co-responsable du traitement des données des visiteurs de sa page.
En effet, un tel administrateur participe, par son action de paramétrage (en fonction, notamment, de son audience cible ainsi que des objectifs de gestion ou de promotion de ses propres activités), à la détermination des finalités et des moyens du traitement des données personnelles des visiteurs de sa page fan.
En particulier, la Cour relève à cet égard que l’administrateur de la page fan peut demander l’obtention (sous une forme anonymisée) – et donc le traitement – de données démographiques concernant son audience cible (notamment des tendances en matière d’âge, de sexe, de situation amoureuse et de profession), d’informations sur le style de vie et les centres d’intérêt de son audience cible (y compris des informations sur les achats et le comportement d’achat en ligne des visiteurs de sa page ainsi que sur les catégories de produits ou de services qui l’intéressent le plus) et de données géographiques qui permettent à l’administrateur de la page fan de savoir où effectuer des promotions spéciales ou organiser des événements et, de manière plus générale, de cibler au mieux son offre d’informations.
Plus loin avec les « Like »
Mais cela peut aller bien plus loin, lorsque le gestionnaire d’un site web insère dans son site un bouton « j’aime » de Facebook) d’un fournisseur externe (c’est-à-dire Facebook), qui entraîne une transmission de données à caractère personnel de l’ordinateur de l’utilisateur du site web au fournisseur externe.
Dans le cadre d’un litige, une association de protection des consommateurs a ainsi reproché à la société Fashion ID d’avoir, en insérant dans son site web le module « j’aime » fourni par le réseau social Facebook, permis à ce dernier d’avoir accès aux données à caractère personnel des utilisateurs de ce site, sans leur consentement et en violation des obligations d’information prévues par les dispositions relatives à la protection des données à caractère personnel.
On n’en est encore qu’au stade des « plaidoiries », mais la Cour va-t-elle aller au bout de cette logique ? Réponse d’ici quelques mois.
[Source : Droit & Technologies]
