Recomandări cnil cu privire la cookie-uri sau rețeta succesului

Obligația legală. Articolul 32-II din legea din 6 ianuarie 1978 este fără echivoc, cu unele excepții cookie-urile sau alte trasoare nu pot fi plasate sau citite pe terminalul unui utilizator de internet, atâta timp cât acesta din urmă nu și-a dat consimțământul. După ce a fost informat în prealabil (1) .

Prin urmare, operatorii de date care folosesc cookie-uri sau alte dispozitive de urmărire trebuie:

• informează în prealabil utilizatorul;
• obține consimțământul lor prealabil.

Ca excepție, această obligație legală nu se aplică cookie-urilor al căror scop este să permită sau să faciliteze comunicarea electronică care este strict necesară pentru furnizarea unui serviciu solicitat în mod expres de către utilizator.

Recomandare Cnil. În urma publicării, la 26 aprilie 2012, a unei fișe practice intitulată „Ce schimbă pachetul de telecomunicații pentru cookie-uri” (2), în care CNIL a indicat mijloacele care trebuie implementate pentru a respecta această obligație și după 2 luni de consultare cu jucători din sector, precum UFMD, Fevad și UDA, la 5 decembrie 2013, Cnil a făcut o recomandare referitoare la cookie-uri și alte dispozitive de urmărire menționate în articolul menționat anterior (3) și a fost publicată ulterior, pe 16 decembrie, un articol intitulat „Recomandare privind cookie-urile: ce obligații pentru managerul site-ului, ce sfaturi pentru utilizatorul de internet? "(4) .

În această recomandare, CNIL intenționează să reamintească toate principiile care trebuie respectate în contextul utilizării cookie-urilor sau altor trasoare, astfel încât operatorii de date care le utilizează să respecte articolul 32-II din legea din 6 ianuarie 1978 Ca atare, CNIL specifică domeniul de aplicare al obligației și detaliază mijloacele care trebuie implementate pentru a se conforma acesteia.

Care cookie-uri ? CNIL indică faptul că această obligație se aplică utilizării tuturor formelor de acces și înregistrare într-un terminal, indiferent dacă sunt cookie-uri sau orice alte tehnologii actuale sau viitoare care o permit. CNIL precizează că obligația se aplică și cookie-urilor sau altor elemente de urmărire care nu colectează date cu caracter personal în sensul Legii privind protecția datelor; ceea ce înseamnă cel mai puțin surprinzător în măsura în care această prevedere este încorporată în Legea privind protecția datelor, care se aplică în mod specific datelor cu caracter personal.

Cookie-uri scutite. În același timp, în articolul său „Recomandare privind cookie-urile: ce obligații pentru managerul site-ului, ce sfaturi pentru utilizatorul de internet? », CNIL specifică natura cookie-urilor exceptate de la consimțământ. Astfel, următoarele cookie-uri sunt considerate în special ca cookie-uri al căror scop este să permită sau să faciliteze comunicarea electronică strict necesară pentru furnizarea unui serviciu solicitat în mod expres de către utilizator:

• cookie-uri „coș de cumpărături” pentru un site comerciant;
• cookie-uri „identificator de sesiune”, pe durata unei sesiuni, sau trasoare persistente limitate la câteva ore în anumite cazuri;
• Cookie-uri de autentificare a utilizatorilor de Internet;
• cookie-uri de sesiune create de un player media;
• cookie-uri de sesiune de echilibrare a încărcăturii;
• cookie-uri persistente de personalizare a interfeței de utilizator.

Cookie-uri de măsurare a publicului. În plus, CNIL reafirmă în recomandarea sa (5) poziția sa cu privire la cookie-urile de măsurare a audienței și reamintește că aceste cookie-uri pot fi scutite de obligația de a obține consimțământul prealabil, în următoarele condiții:

• informarea utilizatorului despre utilizarea acestor cookie-uri;
• furnizarea unui dispozitiv ușor de utilizat care permite utilizatorului să se opună depunerii acestor cookie-uri pe terminalul său;
• scopurile acestor cookie-uri se limitează doar la măsurarea audienței a conținutului vizualizat pentru a permite o evaluare a conținutului publicat și a ergonomiei site-ului sau aplicației;
• adresa IP colectată nu trebuie să permită o geolocalizare mai precisă decât orașul și trebuie ștearsă sau anonimizată odată ce geolocația a fost efectuată;
• cookie-urile trebuie șterse cel târziu în a 13-a lună de depunere, iar informațiile colectate prin intermediul acestuia trebuie păstrate pentru o perioadă maximă de 13 luni.