Bannière cookies : ne commettez pas ces pratiques illégales !

En réaction aux plus de 500 plaintes déposées auprès d’autorités de protection des données européennes par l’association protectrice des données « None-of-your-business (NOYB) » en 2021, le Comité européen à la protection des données (CEPD) a déclaré son intention de mettre en place une « taskforce » pour coordonner la réponse à ces plaintes et assurer une approche commune face à ces pratiques.

Cette taskforce a finalement publié son rapport le 17 janvier 2023.

Dans ce rapport, la taskforce commence par rappeler les règles applicables à l’utilisation de cookies pour ensuite analyser les pratiques fréquemment rencontrées.

1. Do – Principes fondamentaux d’une bannière cookies valide

   Lorsque vous mettez en place votre bannière cookies, il est impératif de respecter les règles d’or suivantes :

   – Il est obligatoire d’obtenir le consentement de l’internaute avant l’installation de cookies non essentiels sur son équipement/navigateur.

   – Le consentement recueilli doit respecter les exigences renforcées de validité prévues par le RGPD. Cela implique notamment que l’internaute doit être informé des cookies utilisés et de leurs fonctionnalités et que ce consentement doit avoir été donné librement par l’internaute.

   – L’internaute doit pouvoir refuser/retirer son consentement aussi facilement qu’il ne l’a donné.

2. Don’t – Pratiques condamnées par la Taskforce

   En principe, lorsque les autorités de protection des données évaluent la conformité des bannières cookies sur un site internet, elles procèdent à une analyse au cas par cas, sur la base de la bannière soumise à examen.

   Néanmoins, le rapport de la taskforce constitue une recommandation non négligeable pour guider les autorités dans cette analyse.

   Il convient alors de s’assurer que la bannière cookies de votre site internet ne commet pas l’une des 6 erreurs suivantes :

   1° Absence d’options de refus sur la première couche de la bannière permettant d’accepter les cookies

   deux° Case d’acceptation des cookies précochée par défaut, comme déjà tranché par la Cour de Justice de l’Union européenne

   3° Un lien incorporé dans un paragraphe du texte de la bannière cookies comme option pour refuser le dépôt de cookies ou placé en dehors de la bannière du cookie

   4° Consentement obtenu suite à l’utilisation de couleurs trompeuses des boutons accepter et refuser dans la bannière (par ex : faible contraste entre le texte et l’arrière-plan du bouton de refus le rendant illisible). La taskforce ne va cependant pas jusqu’à imposer une norme générale de couleur aux éditeurs de sites internet

   5° Le libellé crée une confusion entre l’acceptation des cookies et l’acceptation de l’utilisation ultérieure des données collectées de cette manière sur base de l’intérêt légitime de l’éditeur du site

   6° Les cookies non essentiels sont classifiés comme des cookies essentiels afin de ne pas devoir recueillir le consentement des internautes. Des critères pour évaluer quels cookies sont essentiels sont listés dans l’avis 04/2012 du Groupe de l’Article 29

3. Retrait du consentement

   La taskforce n’impose pas la présence d’une icône de retrait du consentement visible en permanence sur toutes les pages du site web et permettant aux internautes de revenir sur leurs paramètres de confidentialité.

   En effet, le propriétaire de site est libre de choisir l’option de retrait qu’il propose aux internautes tant que cette dernière facilite ce retrait.

L’autorité belge de protection des données partage l’avis de la taskforce. Elle insiste également sur le fait que les règles applicables aux cookies sont applicables plus largement à toutes les technologies de traçage similaires, comme l’utilisation du « local storage », de trackeurs, etc.