Ce qui va sans dire va parfois beaucoup mieux en le disant. Le Conseil d’Etat, dans une décision du 6 juin 2018 (CE, 6 juin 2018, n° 412589), nous rappelle que l’utilisation de cookies constitue un traitement de données à caractère personnel qui doit se conformer aux prescriptions de la loi n° 78-17 du 6 janvier 1978 dite "informatique et libertés". L’énonciation revêtirait presque le caractère de l’évidence : les cookies constituent une forme de fichiers "traceurs", déposés et lus sur le terminal de l’internaute lors de la consultation d’un site Internet, permettant la collecte d’un certain nombre de données relatives à son comportement en ligne. De telles données constituent des données à caractère personnel au sens de la loi informatique et libertés.
Une telle qualification n’était pourtant pas évidente en pratique, puisque de nature à soulever des difficultés quant au régime juridique applicable.
Les cookies relèvent en effet du périmètre de la réglementation spéciale ePrivacy (directive 2002/58 du 12 juillet 2002 modifiée par directive 2009/136), transposée en droit interne à l’article 32 II de la loi de 1978. Pour rappel, ce dernier institue une double obligation d’information à la charge du responsable du dépôt ou de la lecture de cookies quant à la finalité du traitement et aux moyens dont dispose l’internaute pour s’y opposer. En l’occurrence, le site en cause n’avait fourni qu’une information parcellaire, relative aux droits d’opposition, d’accès et de rectification à la main des internautes, insuffisante donc au regard des exigences de l’article 32 II.
Une telle obligation ne s’applique certes pas s’agissant des cookies qui sont essentiels au fonctionnement technique du site ni à ceux qui correspondent à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur. Pour autant, le fait que certains cookies à finalité publicitaire soient nécessaires à la viabilité économique d’un site ne suffit pas pour échapper à l’obligation d’information. Ainsi que le relève opportunément la Haute juridiction, une telle circonstance ne saurait conduire à regarder lesdits traceurs comme "strictement nécessaires à la fourniture" du service de communication en ligne.
La qualification de traitement de données alourdit dans ces conditions les obligations à la charge du responsable : hormis le respect de l’obligation d’information spécifique de l’article 32, le dépôt et la lecture de cookies doivent par conséquent être effectués conformément aux principes applicables à l’ensemble des traitements de données personnelles. En particulier, le principe de responsabilité impose à l’éditeur autorisant l’utilisation de cookies par des tiers sur son site de s’assurer que ces derniers n’émettent pas, via son site, des cookies non conformes à la réglementation applicable en France. Le cas échéant, il lui revient d’effectuer toute démarche utile auprès d’eux pour mettre fin aux manquements.
Or, tel n’avait pas été le cas en l’espèce : l’éditeur du site ne s’était pas assuré du respect de la durée de conservation maximale applicable aux cookies déposés (délibération de la CNIL 2013-378 du 5 décembre 2013) et encourait à ce titre une sanction administrative.
Actualité du droit de la propriété intellectuelle
Cet article a été publié dans notre Lettre Propriétés Intellectuelles d'octobre 2018. Découvrez les autres articles de cette lettre en cliquant ci-dessous.
CNIL et cookies
La Protection des données personnelles au sein de notre cabinet d'avocats :
Que vous soyez un éditeur de plates-formes électroniques, de logiciels, de jeux en ligne ou de sites Internet, une entreprise nationale ou multinationale, nos avocats spécialistes du droit des données personnelles sont à même d’intervenir sur l’ensemble de vos problématiques liées à la protection, la collecte et la gestion des données personnelles.
Les cookies de réseaux sociaux collectent des données sur les informations que vous partagez à partir de notre site Internet par l’intermédiaire des outils des réseaux sociaux ou des données analytiques afin de comprendre votre parcours de navigation entre les outils des réseaux sociaux ou nos campagnes sur ceux-ci ou nos propres sites Internet. Nous les utilisons pour optimiser les différents canaux de communication afin de vous proposer notre contenu. Des informations détaillées concernant les outils que nous utilisons sont disponibles dans notre Politique de confidentialité.