La CNIL[1] a mis en demeure un éditeur pour avoir collecté des données à caractère personnel sur les visiteurs de son site Internet à l’aide du module Google Analytics.
En intégrant ce module Google Analytics à son site Internet, l’éditeur donnait la consigne aux navigateurs de ses visiteurs d’envoyer des informations à Google. Ces informations contenaient notamment l’adresse de la page visitée, l’éventuel page précédemment visitée (« Referer »), l’heure de la visite, l’adresse IP du visiteur et des informations sur son appareil. Ces informations pouvaient aussi contenir l’identifiant unique qui était attribué par Google à l’internaute et stocké dans un cookie et/ou l’identifiant interne que l’éditeur du site avait attribué à l’internaute, si ce dernier était connecté à son espace personnel. Le numéro de commande était aussi présent si la personne avait passé commande sur le site.
Toutes ces informations permettaient à l’éditeur de mesurer l’audience de son site Internet avec précision, mais aussi de détecter d’éventuelles erreurs et de mesurer ou d’optimiser l’efficacité ses campagnes publicitaires.
En premier lieu, la CNIL a considéré que les données collectées par ce module Google Analytics étaient des données à caractère personnel, car elles étaient associées à un identifiant unique et/ou composées de données qui pouvaient permettre d’identifier les visiteurs ou de les différencier de façon significative. La Commission a donc estimé que les exigences du RGPD[2] devaient être respectées.
Ensuite, la CNIL a rappelé que les transferts de données vers un pays n’appartenant pas à l’Union européenne étaient autorisés uniquement si « le niveau de protection des personnes physiques garanti par le [RGPD] n[’est] pas compromis »[3]. Un tel niveau de protection peut être obtenu :
Les données issues de Google Analytics sont transférées vers les États-Unis. Ce pays ne bénéficie plus d’une décision d’adéquation depuis l’arrêt[5] « Shrems II » du 16 juillet 2020 de la Cour de justice de l’Union européenne (CJUE) en raison de la surveillance de masse réalisée par les services gouvernementaux américains. Ces programmes de surveillance obligent notamment la société Google à fournir au gouvernement américain les données à caractère personnelle qu’elle possède ou les clés de chiffrement qu’elle utilise.
En l’absence d’une décision d’adéquation, l’éditeur du site et la société Google avaient recourru à des « clauses contractuelles types », c’est-à-dire un rapport détaillé justifiant un niveau de protection suffisant. La CNIL a cependant considéré, comme l’avait déjà fait la CJUE dans son arrêt cité précédemment, qu’un tel document ne permettait pas, à lui seul, d’apporter une protection contre les programmes de surveillance américain, car la société Google ne pouvait pas aller à l’encontre des lois de son pays. Des mesures additionnelles devaient donc être prises par l’éditeur et/ou Google.
Des mesures organisationnelles ont été prises par Google, comme la publication d’un rapport de transparence et la publication d’une politique de gestion des demandes d’accès gouvernementales, mais la Commission a estimé que ces mesures ne permettent pas « concrètement d’empêcher ou de réduire l’accès des services de renseignement américains ».
Des mesures techniques ont aussi été prises par Google, comme la pseudo « anonymisation »[6] des adresses IPs, mais la CNIL a estimé qu’elles « ne sont pas efficaces », car « aucune d’entre elles n’empêche les services de renseignement américain d’accéder aux données en cause ne ne rendent cet accès ineffectif ».
En l’absence d’une protection des données adéquate, la CNIL a, par conséquent, estimé que les transferts effectué par l’éditeur vers les serveurs de Google situés aux États-Unis étaient illégaux.
La CNIL a mis en demeure le site de mettre en conformité les traitements de données associés à Google Analytrics ou, si ce n’est pas possible, de retirer le module Google Analytics.
Concernant le nom de l’éditeur mis en cause, la CNIL a décidé de ne pas rendre public son nom pour des raisons que j’ignore. Il est cependant fort probable que la société soit Decathlon, Auchan ou Sephora étant donné que cette décision est la conséquence de plaintes[7] déposées par l’association militante NOYB[8].
Concernant la décision elle même, même si c’est la première fois que la CNIL prend publiquement position sur Google Analytics, ce n’est ni une surprise, ni une révolution. Depuis l’invalidation de l’accord avec les États-Unis en juillet 2020, tous les acteurs s’intéressant de près à la protection des données savent que les transferts de données vers les USA étaient, au mieux, très douteux. De plus, la CNIL n’est pas la première autorité de protection des données européenne à avoir statué dans ce sens. L’autorité autrichienne avait fait de même[9] trois mois plus tôt.
Cette décision a le mérite de mettre les choses au clair. Les organismes ne peuvent désormais plus prétendre un éventuel flou juridique. Google Analytics doit être retiré.
Notes et références
CNIL : Commission Nationale de l’Informatique et des Libertés (cnil.fr).
RGPD : Règlement Général sur la Protection des Données (Règlement (UE) 2016/679).
Le RGPD autorise des transferts de données vers des pays tiers si « le niveau de protection des personnes physiques garanti par le [RGPD] n[’est] pas compromis » (source : RGPD, article 44).
Un transfert de données à caractère vers un pays tiers peut être réalisé si une décision d’adéquation existe pour ce pays (source : RGPD, article 45). Une telle décision existe, par exemple, pour le Royaume-Uni.
La Cour de justice de l’Union européenne (CJUE) invalide le « bouclier de protection des données UE-États-Unis » dans un arrêt du 16 juillet 2020 (source : CJUE, C-311/18, 16 juillet 2020, Shrems II).
La solution Google Analytics propose une option permettant d’« anonymiser » les adresses IP des internautes. Cette opération est toutefois réalisée par Google après que le transfert de données vers les États-Unis ait lieu.
L’association NOYB a déposé des plaintes contre de nombreux organismes suite à des transferts de données personnelles vers les États-Unis jugés illicites. Six entreprises francaises sont concernées. Trois d’entre elles concernent Google Analytics : Decathlon, Auchan et Sephora (source : noyb.eu).
NOYB - European Center for Digital Rights : (noyb.eu).
L’autorité autrichienne a décidé, décembre 2021, que les transferts de données réalisés par Google Analytics étaient illicites (source : noyb.eu, en allemand) (source 2 : gdprhub.eu, en anglais).
La Cnil donne un coup de pied dans la fourmilière : interrogée sur l'emploi d'outils collaboratifs américains, l'autorité administrative française estime qu'il faut s'en passer et opter pour des solutions françaises ou européennes.
Les outils Framasoft plutôt que la suite bureautique de Google Docs pour les élèves qui poursuivent leurs études après le Bac ? Si la Commission nationale de l’informatique et des libertés (Cnil) ne va pas jusqu’à formuler une telle recommandation, le sens de son message est toutefois limpide : il est préférable de délaisser les outils américains pour l’enseignement supérieur et la recherche.
C’est en effet ce qui transparait dans une prise de parole datée du 27 mai 2021. La Cnil répondait alors aux sollicitations de la Conférence des grandes écoles et la Conférence des présidents d’université sur l’évolution du cadre juridique européen et ses effets que cela peut avoir sur les conditions stockage et de circulation des données qui sont produites, collectées et manipulées via ces outils de travail.
Cet appel de la Cnil ne vient pas de nulle part : il tient compte d’une réalité juridique avec l’invalidation du Privacy Shield par la Cour de justice de l’Union européenne, à l’été 2020. Or ce cadre, qui remplaçait le Safe Harbor, un mécanisme similaire qui a aussi été détruit, servait à encadrer le transfert des données des internautes en Europe vers les États-Unis, là où figurent de nombreux services en ligne.
La Cour a considéré qu’il n’existe en fait aucune garantie juridique pour des personnes non américaines pouvant être visées par les programmes de surveillance américains. Or, le Privacy Shield était censé être conforme aux standards européens. En clair, il y a un conflit manifeste entre le droit européen et le droit américain. Dès lors, la légalité de ces transferts est remise en question.
Considérant ce verdict majeur, véritable séisme juridique au niveau européen, mais aussi les documents qui lui ont été transmis, la Cnil relève que « dans certains cas, des transferts de données personnelles vers les États-Unis dans le cadre de l’utilisation des suites collaboratives pour l’éducation » surviennent, et cela pour beaucoup de monde : étudiants, chercheurs, enseignants, personnels administratifs.
Ce n’est pas tout : des informations encore plus critiques peuvent être en jeu, comme des données de santé (qui sont des données sensibles devant bénéficier d’un plus haut degré de protection ), des données particulières (relatives à des mineurs) et des données pouvant impliquer des enjeux stratégiques, dans les secteurs scientifique et économique (données de recherche).
« Il existe donc un risque d’accès par les autorités américaines aux données stockées »
Et dans le cas où les fournisseurs américains de ces outils prennent des mesures pour ne procéder à aucun transfert, de sorte de stocker et traiter les données en Europe ? Là aussi, il y a un problème : le Cloud Act. Ce texte autorise les juridictions à forcer les entreprises aux États-Unis de fournir les données sur leurs serveurs, dans le cadre d’une procédure, y compris les serveurs situés à l’étranger.
« Indépendamment de l’existence de transferts, les législations américaines s’appliquent aux données stockées par les sociétés états-uniennes en dehors de ce territoire. Il existe donc un risque d’accès par les autorités américaines aux données stockées », relève la Cnil. Dès lors, l’engagement de Microsoft en la matière doit être tempéré, même si la société a par le passé combattu ce genre de demande.
Enfin, si la Cnil admet qu’il faudrait déployer des mesures additionnelles pour poursuivre ces transferts même si le Privacy Shield est tombé, il s’avère que ces dispositions capables « d’assurer un niveau de protection adéquat » ne sont à ce jour pas identifiées. De plus, ajoute la Cnil, jouer la carte des dérogations n’est pas une réponse viable : elles doivent rester des dérogations, c’est-à-dire des exceptions.
Pour cette dernière remarque, la Cnil mentionne les observations du Comité européen de la protection des données, dont elle est membre, et qui raisonnait en citant soit le cas d’un fournisseur de services via le cloud soit le cas d’un sous-traitant qui « dans le cadre de leurs prestations, ont la nécessité d’accéder aux données en clair ou possèdent les clefs de chiffrement. »
Cette situation fait donc dire à la Cnil qu’il « est nécessaire que le risque d’un accès illégal par les autorités américaines à ces données soit écarté ». Mais parce qu’il n’est pas évident de basculer d’un claquement de doigts tout l’écosystème de l’enseignement supérieur et de la recherche, et parce qu’il existe encore une crise sanitaire à cause du coronavirus, la Cnil admet le besoin « d’une période transitoire. »
La Cnil se dit disponible pour « identifier des alternatives possibles ». Des pistes existent du côté des logiciels libres, à l’image de Framasoft ou LibreOffice. Il reste à déterminer quelles décisions seront prises à la suite de l’appel de la Cnil et, si l’offre est au niveau, car la commodité d’emploi, la disponibilité et l’éventail des fonctionnalités l’emportent parfois sur toute autre considération.
La CNIL a adopté des lignes directrices modificatives ainsi qu’une recommandation portant sur l’usage de cookies et autres traceurs. L’évolution des règles applicables marque un tournant pour les internautes, qui pourront désormais exercer un meilleur contrôle sur les traceurs en ligne.
01 octobre 2020
L’article 82 de la loi Informatique et Libertés transpose en droit français l’article 5.3 de la directive 2002/58/CE « vie privée et communications électroniques » (ou « ePrivacy »). Il prévoit notamment l’obligation, sauf exception, de recueillir le consentement des internautes avant toute opération d’écriture ou de lecture de cookies et autres traceurs.
En 2013, la CNIL adoptait une première recommandation pour guider les acteurs dans la mise en œuvre des textes régissant à l’époque les opérations de lecture et d’écritures par des cookies.
Le 25 mai 2018, l’entrée en application du règlement général sur la protection des données (RGPD) est venue renforcer les exigences en matière de validité du consentement, rendant obsolète une partie de cette recommandation.
Dans le cadre de son plan d’action sur le ciblage publicitaire, la CNIL a donc entrepris d’actualiser en deux temps ses cadres de référence.
Le 4 juillet 2019, la CNIL a ainsi adopté des lignes directrices rappelant le droit applicable. Celles-ci ont été ajustées le 17 septembre 2020 pour tirer les conséquences de la décision rendue le 19 juin 2020 par le Conseil d’Etat.
En parallèle, la CNIL a également décidé d’établir, à l’issue d’une concertation avec les professionnels et la société civile, un projet de recommandation. Sans être prescriptive, la recommandation joue le rôle de guide pratique destiné à éclairer les acteurs utilisant des traceurs sur les modalités concrètes de recueil du consentement de l’internaute.
Ce projet a été soumis, le 14 janvier dernier, à une consultation publique, dont les apports ont permis d’enrichir la version finalement adoptée le 17 septembre 2020.
L’évolution des règles applicables
L’évolution des règles applicables, clarifiées par les lignes directrices et la recommandation, marque un tournant tant pour le secteur de la publicité en ligne que pour les internautes, qui pourront désormais exercer un meilleur contrôle sur les traceurs en ligne.
la simple poursuite de la navigation sur un site ne peut plus être considérée comme une expression valide du consentement de l’internaute ;
les personnes doivent consentir au dépôt de traceurs par un acte positif clair (comme le fait de cliquer sur « j’accepte » dans une bannière cookie). Si elles ne le font pas, aucun traceur non essentiel au fonctionnement du service ne pourra être déposé sur leur appareil.
Les utilisateurs devront être en mesure de retirer leur consentement, facilement, et à tout moment.
Refuser les traceurs doit être aussi aisé que de les accepter.
- elles doivent clairement être informées des finalités des traceurs avant de consentir, ainsi que des conséquences qui s’attachent à une acceptation ou un refus de traceurs ;
- elles doivent également être informées de l’identité de tous les acteurs utilisant des traceurs soumis au consentement.
Les organismes exploitant des traceurs doivent être en mesure de fournir, à tout moment, la preuve du recueil valable du consentement libre, éclairé, spécifique et univoque de l’utilisateur.
Certains traceurs sont cependant exemptés du recueil de consentement, comme par exemple les traceurs destinés à l’authentification auprès d’un service, ceux destinés à garder en mémoire le contenu d’un panier d’achat sur un site marchand, certains traceurs visant à générer des statistiques de fréquentation, ou encore ceux permettant aux sites payants de limiter l’accès gratuit à un échantillon de contenu demandé par les utilisateurs.
Les recommandations de la CNIL
Par ailleurs la CNIL recommande que l’interface de recueil du consentement ne comprenne pas seulement un bouton « tout accepter » mais aussi un bouton « tout refuser ».
Elle suggère que les sites internet, qui généralement conservent pendant une certaine durée le consentement aux traceurs, conservent également le refus des internautes pendant une certaine période, afin de ne pas réinterroger l’internaute à chacune de ses visites.
En outre, pour que l’utilisateur soit bien conscient de la portée de son consentement, la CNIL recommande que, lorsque des traceurs permettent un suivi sur des sites autres que le site visité, le consentement soit recueilli sur chacun des sites concernés par ce suivi de navigation.
Afin de répondre aux questions des acteurs concernés et des internautes, la CNIL propose une FAQ accompagnement la publication des lignes directrices et de la recommandation.
Vers une mise en conformité des acteurs concernés
La CNIL invite tous les acteurs concernés à s’assurer de la conformité de leurs pratiques aux exigences du RGPD et de la directive ePrivacy.
Comme elle l’avait annoncé, elle estime que le délai de mise en conformité aux nouvelles règles ne devra pas dépasser six mois, soit au plus tard fin mars 2021.
Si la CNIL tiendra compte des difficultés opérationnelles des opérateurs pendant cette période durant laquelle elle privilégiera l’accompagnement sur les contrôles, elle se réserve la possibilité, conformément à la jurisprudence du Conseil d’Etat, de poursuivre certains manquements, notamment en cas d'atteinte particulièrement grave au droit au respect de la vie privée (CE, 16 octobre 2019, n° 433069, Rec.). En outre, la CNIL continuera à poursuivre les manquements aux règles relatives aux cookies antérieures à l’entrée en vigueur du RGPD, éclairées par sa recommandation du 5 décembre 2013.
Dans ses lignes directrices, sur lesquelles le Conseil D’État vient de se prononcer, la Cnil jugeait le recours à des «cookies walls» contraire au règlement général sur la protection des données (RGPD).
Question posée sur Twitter le 22/06/2020
Bonjour,
Votre question fait référence à cet article du journal les Échos, selon lequel, «à l’avenir, les sites Internet pourront bloquer l’accès à tous les internautes qui refusent les cookies, ces traceurs informatiques controversés». Et ce en vertu d’une «décision du Conseil D’État publiée vendredi» où la plus haute juridiction administrative «donne raison aux éditeurs de sites contre la Cnil [Commission nationale de l’informatique et des libertés, ndlr], le gendarme français de la vie privée sur Internet, qui avait interdit une telle pratique».
Même son de cloche du côté d’une dépêche AFP sur le sujet (notamment reprise par le Monde) : «Selon la plus haute juridiction administrative, les éditeurs peuvent bloquer l’accès à leur site à un internaute qui refuserait les cookies, contrairement à ce que préconise le gendarme français des données personnelles dans ses lignes directrices sur le sujet publiées en 2019.»
En bref, le Conseil D’État «légaliserait» cette pratique, généralement appelée «cookies walls» (où il est nécessaire d’accepter les cookies pour accéder à un contenu, comme on parle de paywall lorsqu’il faut payer), à la suite d’une procédure menée par neuf associations qui représentent des entreprises françaises dans le domaine des médias, de la publicité et du commerce en ligne (Geste, SRI, IAB France, MMAF, Udecam, AACC, Fevad, UDM et SNCD).
Problème : selon plusieurs spécialistes des questions de vie privée et médias spécialisés, qui s’appuient sur le contenu de la décision, le Conseil d’État se prononce en fait sur la forme et non sur le fond. Sa décision ne permettrait donc pas, en l’état, de préjuger de la légalité ou non d’un «cookies walls».
On peut lire dans le communiqué de presse de la juridiction que «le Conseil D’État annule partiellement les lignes directrices de la Cnil relatives aux cookies et autres traceurs de connexion». Mais plus bas, on apprend que le Conseil D’État juge que «la Cnil a excédé ce qu’elle pouvait légalement faire dans le cadre d’un acte dit "de droit souple"». Les actes de droit souple désignant «les instruments, telles que les lignes directrices des autorités de régulation [comme la Cnil], qui ne créent pas de droit ou d’obligation juridique pour quiconque mais influencent fortement, dans les faits, les pratiques des opérateurs économiques».
Le Conseil D’État considère donc «que la Cnil ne pouvait, sous couvert d’un acte de droit souple, énoncer une telle interdiction générale et absolue» à propos des cookies walls. Tout en prenant bien soin de préciser qu’il se prononce sur cette question de forme «sans se prononcer sur le fond de la question», à savoir la légalité de bloquer l’accès à un contenu à un utilisateur qui refuserait les cookies.
Pour Bernard Lamon, avocat spécialiste des questions liées au règlement général sur la protection des données (RGPD), le Conseil D’État a simplement dit que sur un point très précis de ses lignes directrices, la Cnil avait franchi la ligne jaune puisque «dans des lignes directrices on ne peut pas dire que les cookies walls sont interdits de manière globale». «Mais le Conseil D’État ne s’est pas prononcé sur la légalité des cookies walls, contrairement à ce que prétendent certains qui se livrent à une bataille de communication. Pour savoir si c’est légal ou non, il faudra du contentieux, avec un examen concret, site par site», estime-t-il.
Pour Etienne Drouard, l’avocat du cabinet Hogan Lovells qui représente les associations requérantes, le Conseil D’État «rappelle que la Cnil doit analyser au cas par cas les alternatives proposées à l’utilisateur en contrepartie de l’accès au site de l’éditeur.» En d’autres termes, en proposant à l’internaute soit d’accéder gratuitement au contenu avec des cookies publicitaires, soit de se connecter via un compte, soit de payer, l’éditeur du site offre un choix au lecteur, «qui préserve la liberté du consentement prévue par le RGPD». «Ce qui n’est pas possible, c’est de conditionner l’accès au site à l’acceptation des cookies, sans offrir d’alternative», avance l’avocat, confirmant donc que le Conseil d’État n’a pas «légalisé» les cookies walls. Plus largement, il se félicite que le Conseil d’État rappelle qu’un «régulateur comme la Cnil ne peut pas, à la différence d’un législateur, créer des interdictions de principe».
«Retour à l’équilibre»
«La Cnil prend acte de cette décision et ajustera en conséquence ses lignes directrices et sa future recommandation pour s’y conformer», a indiqué la commission sur son site.
Sur le fond, la Cnil s’était alignée sur la position du comité européen de protection des données (CEPD), organe européen indépendant qui «contribue à l’application cohérente des règles en matière de protection des données au sein de l’Union européenne». Celui-ci considère en effet que les cookies walls ne sont pas «conformes» au RGPD puisque «les utilisateurs ne sont pas en mesure de refuser le recours à des traceurs sans subir des conséquences négatives (en l’occurrence l’impossibilité d’accéder au site consulté)».
Le Groupement des éditeurs de services en ligne (Geste), qui faisait partie des requérants, se satisfait de son côté de la décision du Conseil d’État qui permet «un retour à l’équilibre du RGPD» : «Nous avions la conviction que la Cnil avait surinterprété le RGPD. Nous défendons le droit pour les éditeurs de site de choisir leur modèle économique», avance son président, Bertrand Gié. Y compris le cookies walls donc, même si «à sa connaissance», aucun gros site français n’a pour le moment fait ce choix. Explicitement en tout cas : selon le blogueur Aeris, qui travaille «dans la sécurité informatique et plus précisément sur la vie privée», la pratique du cookies wall recouvre aussi les nombreux sites qui partent du principe que «si vous continuez à visiter ce site, vous consentez à recevoir des cookies» : «C’est tout aussi illégal, et en pratique le refus des cookies implique une impossibilité de visite du site», estime-t-il.
Dans la même décision, «le Conseil d’État donne raison à la Cnil sur tout le reste, que ce soit sur sa compétence ou les lignes directrices» relève par ailleurs l’avocat Bernard Lamon. Idem pour le média spécialisé Next Inpact qui juge que la décision du Conseil D’État va dans le sens de la commission, «même si cette dernière devra parfois ajuster sa manière de faire. C’est notamment le cas pour les cookies walls» : «Alors qu’éditeurs de presse et autres organismes publicitaires s’étant attaqués aux lignes directrices de la Cnil s’attendaient à une confirmation de leur position, cela n’a pas été le cas. […] Concernant le consentement [des utilisateurs] ses positions se trouvent renforcées par le Conseil D’État qui a "validé l’essentiel des interprétations ou recommandations" en la matière. Notamment que la gestion devait être symétrique (aussi simple à accorder qu’à refuser) et "porter sur chacune des finalités, ce qui implique notamment une information spécifique".»
Les sites français ont droit à un sursis d’un an quant au recueil du consentement de leurs visiteurs à se faire traquer. Cette période transitoire offerte par la Cnil aux éditeurs fait enrager les défenseurs de la vie privée et pourrait valoir au régulateur un remontage de bretelles au niveau européen.
Marie-Laure Denis et le collège renouvelé de la Cnil n’étaient pas là pour rigoler. C’était en substance le message envoyé en avril dernier, à l’occasion de la présentation du bilan annuel de l’autorité. Google venait d’écoper d’une amende de 50 millions d’euros pour ne pas avoir respecté les principes du RGPD et le gendarme des données personnelles assurait vouloir « crédibiliser le nouveau cadre juridique ». De la pédagogie, toujours, mais surtout des contrôles et des sanctions renforcées.
Et pourtant, le plan d’action de la Cnil en ce qui concerne le ciblage publicitaire ne va pas dans ce sens. Depuis l’entrée en vigueur du RGPD, le régulateur s’est toujours refusé à offrir une « période de grâce »… jusqu’à aujourd’hui. Le programme de la Cnil consiste à réviser sa recommandation relative aux cookies, en date de 2013, afin de l’adapter au nouveau cadre juridique. Sur le papier, l’harmonisation de ces lignes directrices avec le droit européen, in fine un rappel des « règles de droit applicables », est sensée.
Echec au droit (européen)
Mais la décision d’offrir une période transitoire d’un an fait hausser plus d’un sourcil. A commencer par ceux de la Quadrature du Net. Sur son site, la Cnil explique que, « durant cette période de transition, la poursuite de la navigation comme expression du consentement sera donc considérée par la CNIL comme acceptable ». Soit l’application d'une règle antérieure à l’entrée en vigueur du RGPD.
Ce qui va en outre à l’encontre des lignes directrices du Comité Européen de la Protection des Données, dont la Cnil est co-rédactrice. « Il n’existe aucune possibilité laissée à la CNIL pour repousser jusqu’à juillet 2020 l’application du RGPD » dénonce la Quadrature dans un communiqué. « La décision que la CNIL s’apprête à prendre violerait de plein front le droit européen et justifierait un recours en manquement contre la France par la Commission européenne ».
Open bar sur les cookies jusqu’en juillet 2020
Certes, la Cnil affirme qu’elle « continuera à instruire les plaintes et le cas échéant à contrôler, entre autres, qu’aucun dépôt de cookies n’a lieu avant le recueil du consentement ». Mais cette « période de grâce » courant jusqu’en juillet 2020 implique que le seul fait de faire défiler la page après un bandeau d’information sur le dépôt de cookies vaut consentement de l’internaute (attention donc à vos molettes de souris, un consentement involontaire est si vite arrivé).
L’association assure que cette décision est le résultat de négociations entre la Cnil et le GESTE, syndicat d’éditeurs de contenus en ligne). « Aujourd’hui, la CNIL semble vouloir appliquer un droit différent entre Google et les médias français qui, eux, pourraient se contenter d’un consentement « implicite », violant tranquillement nos libertés fondamentales dans la poursuite de profits publicitaires intolérables » écrit la Quadrature, qui n’exclut pas de former un recours devant le Conseil d’Etat.
La Cnil veut durcir l'encadrement du ciblage publicitaire dès cette année. Il faut dire que plus de 20 % des plaintes déposées auprès de la commission concernent la publicité en ligne.
(CCM) — L'année dernière, la mise en place du règlement général sur la protection des données – le RGPD européen – n'était qu'une première étape dans l'encadrement de la publicité en ligne. Désormais, la Cnil veut passer à la vitesse supérieure en s'attaquant aux professionnels qui ne respectent pas les règles applicables au marketing digital, et notamment au ciblage publicitaire.
En introduction de son plan 2019-2020 qui vient d'd'être mis en ligne, la Cnil rappelle que l'arrivée du RGPD a changé la donne du marketing digital en France. La réglementation européenne a renforcé les droits des consommateurs et la protection de leurs données privées. Mais elle a aussi créé une période de « flottement » pendant laquelle les professionnels ont adapté leurs pratiques publicitaires. Sans toujours savoir précisément ce qu'ils avaient le droit de faire ou pas, en matière de prospection commerciale et de traceurs publicitaires (cf notre article sur la mise en ligne par la Cnil d'un MOOC pour apprendre à appliquer le RGPD).
Sur ces deux sujets sensibles des cookies et de la collecte opt-in, la Cnil va publier ce mois-ci un rappel des règles de droit applicables. Son objectif est de clarifier la façon dont les entreprises doivent obtenir le consentement du consommateur, une étape fondamentale dans le processus de ciblage publicitaire. Les professionnels du marketing bénéficieront de douze mois pour se mettre en conformité.
Cette période de transition permettra notamment de trancher le cas de la poursuite de navigation sur un site. Selon la Cnil, le simple fait de surfer sur un site n'est pas suffisant pour être considéré comme l'expression réelle d'un consentement à la collecte de données. Tous les acteurs de l'écosystème publicitaire devront donc changer leurs pratiques.
Bienvenue sur le MOOC de la CNIL
Vous y trouverez l’ensemble des informations pour vous initier au RGPD et débuter ainsi la mise en conformité de votre organisme.
Ce dispositif gratuit est accessible jusqu’au mois de septembre 2021.
En suivant l’intégralité de ce MOOC, vous pourrez obtenir une attestation.
La CNIL a mis en demeure l'école 42, fondée par Xavier Niel, pour son système de vidéosurveillance, jugé excessif. L'établissement à deux mois pour se mettre en conformité, sous peine de sanctions.
La Commission nationale informatique et libertés (CNIL) a annoncé mardi avoir mis en demeure le 8 octobre l'école informatique 42, créée par le fondateur de Free Xavier Niel, pour « vidéosurveillance excessive » au sein de l'établissement.
L'association 42, qui a créé l'école éponyme en 2013, est mise en demeure de « mettre en conformité avec la loi Informatique et Libertés son système de vidéosurveillance » dans un délai de deux mois sous peine de sanction, a précisé l'autorité française de protection des données personnelles dans un communiqué.
Deux mois pour se mettre en conformité
Au cours d'un contrôle effectué en février 2018, la CNIL a constaté « que des caméras filmaient en permanence les espaces de travail des étudiants, les bureaux dédiés au personnel administratif ainsi que des lieux de vie », sans que les personnes filmées n'en soient « correctement informées ».
Dans son communiqué, la CNIL rappelle que les images issues du dispositif doivent être réservées aux personnes habilitées, or le contrôle a révélé que les étudiants avaient accès aux images sur leur espace personnel au sein du réseau intranet de l'école.
L'an dernier, des étudiantes de l'école avaient dénoncé les comportements déplacés qu'elles subissaient.
La loi Informatique et Libertés et son décret d’application ont été modifiés afin de mettre en conformité le droit national avec le cadre juridique européen. Ces textes permettent la mise en œuvre concrète du Règlement général sur la protection des données (RGPD) et de la Directive « police-justice », applicable aux fichiers de la sphère pénale. La lisibilité du cadre juridique national sera améliorée par une ordonnance qui sera prise dans un délai de six mois.
La nouvelle loi Informatique et Libertés permet l’application effective des textes européens, qui représentent un progrès majeur pour la protection des données personnelles des citoyens et la sécurité juridique des acteurs économiques.
Elle dote notamment la CNIL des pouvoirs nécessaires à l’exercice de ses missions, dans un contexte marqué par la reconnaissance de nouveaux droits aux citoyens et le renforcement de la responsabilité des opérateurs.
Elle organise l’articulation nécessaire des procédures internes de la CNIL aux nouveaux mécanismes de coopération européenne.
Elle exerce certaines des « marges de manœuvre nationales » autorisées par le RGPD, transpose en droit français la Directive « police-justice » et modifie certaines de ses dispositions pour les rapprocher de la lettre du RGPD.
La bonne compréhension du cadre juridique suppose de combiner désormais les deux niveaux, européen et national. Le RGPD s’applique directement en droit français : il remplace sur de nombreux points (droits des personnes, bases légales des traitements, mesures de sécurité à mettre en œuvre, transferts, etc.) la loi nationale. Sur d’autres points (les « marges de manœuvre nationales »), la loi Informatique et Libertés reste en vigueur et vient compléter le RGPD : il s’agit par exemple du traitement des données de santé ou des données d’infraction, de la fixation à 15 ans du seuil d’âge du consentement des mineurs aux services en ligne, des dispositions relatives à la mort numérique, etc. Enfin, la loi nationale reste pleinement applicable pour tous les fichiers « répressifs », qu’il s’agisse de la sphère pénale ou du domaine du renseignement et de la sûreté de l’Etat. De nombreuses dispositions spéciales sont prévues en ces matières.
Une ordonnance de réécriture complète de la loi Informatique et Libertés est prévue, dans un délai de six mois, notamment afin de résoudre ces difficultés de lisibilité de ce cadre juridique composite. Dans l’attente, il convient de prêter une attention particulière au cadre juridique applicable à chaque traitement.
Le droit national a également été complété par un nouveau décret d’application de la loi Informatique et Libertés, qui achève la mise en conformité du droit national au cadre juridique européen. Ce décret, sur lequel la CNIL a rendu un avis le 21 juin 2018, a été publié le 3 août 2018. Il fixe plus précisément les délais et procédures applicables aux différentes missions de la CNIL et précise certaines dispositions de la loi.