Archives de catégorie : Juridique

Brexit : entre l’Union européenne et le Royaume-Uni, les données personnelles sont entre deux eaux

Publié le par

Le RGPD sur la protection des données personnelles en Europe reste applicable à leurs transferts vers le Royaume-Uni jusqu’au 1er juillet 2021. Mais, depuis le début de l’année, la « Cnil » britannique ne peut plus être « chef de file ». En tout cas, il faut anticiper avec ce « pays tiers ».

Par Christiane Féral-Schuhl*, avocate associée, cabinet Féral-Schuhl/Sainte-Marie

A l’heure où le Brexit devient réalité, la question du transfert des données personnelles entre l’Union européenne (UE) et le Royaume-Uni (RU) mérite une attention particulière. Pas d’urgence absolue puisque le règlement européen sur la protection des données RGPD reste applicable au Royaume-Uni de manière transitoire jusqu’au 1er juillet 2021. A noter toutefois que, depuis le 1er janvier 2021, le mécanisme du « guichet unique » ne sera plus effectif par le biais de l’Information Commissioner’s Office (ICO), la « Cnil » britannique.

RGPD, applicable jusqu’au 1er juillet 2021
Ainsi, à moins qu’une décision d’adéquation ne soit accordée au Royaume-Uni par la Commission européenne d’ici mi- 2021, les transferts de données personnelles vers le Royaume-Uni devront être encadrés par les outils prévus par le RGPD. Autant s’en préoccuper dès à présent ! Concrètement, jusqu’au 1er juillet 2021, le Royaume-Uni est toujours considéré comme un Etat membre de l’UE dans le cadre des transferts de données. Si aucune modification n’est requise dans l’immédiat pour continuer à transférer des données personnelles avec le territoire britannique, l’autorité de contrôle britannique ICO recommande aux entreprises britanniques ayant des activités transfrontalières avec les Vingt-sept d’anticiper tout risque potentiel d’interruption des transferts.
L’accord de commerce et de coopération entre l’UE et le RU, conclu le 24 décembre 2020 et en vigueur depuis le 1er janvier 2021, prévoit, en matière de protection des données à caractère personnel, que le RGPD demeure applicable pour une durée maximum de six mois. Cet accord a fait suite à une période transitoire qui courait depuis un premier accord de retrait trouvé le 31 janvier 2020 à minuit. Car les textes européens étant alors encore applicables, cet accord n’ouvrant en réalité qu’une période de transition s’étalant jusqu’au 31 décembre 2020. Rappelons que c’est à la suite du référendum du 23 juin 2016 que le Royaume-Uni a actionné la procédure de retrait de l’Union européenne prévue par l’article 50 du Traité de l’UE. Cette décision en faveur du Brexit (pour « British Exit ») a donné lieu à de nombreuses discussions afin d’organiser cette sortie effective du Royaume-Uni. L’accord conclu entre le RU et l’UE a conduit à l’exclusion de l’autorité britannique du mécanisme de guichet unique. Ce mécanisme permet aux entreprises opérant des traitements transfrontaliers (entre plusieurs Etats membres) de centraliser leur communication avec une seule autorité qualifiée alors de « chef de file » (1). Cette autorité n’est pas choisie par l’entreprise mais correspond à celle du pays dans lequel se situe l’établissement principal de l’entreprise en question. En France, c’est la Commission nationale de l’informatique et des libertés (Cnil). Au Royaume- Uni, c’est l’Information Commissioner’s Office (ICO).
La fin du guichet unique pour le Royaume-Uni signifie donc que les entreprises qui effectuaient des traitements transfrontaliers et qui avaient l’ICO comme autorité chef de file ne pourront plus bénéficier de ce mécanisme. Seuls les responsables de traitement ou sous-traitants ayant un établissement principal au sein de l’Espace économique européen (EEE) pourront continuer de bénéficier du guichet unique, avec pour autorité chef de file, celle du pays dans lequel est implanté ledit établissement. Concernant les entreprises exclusivement basées au Royaume-Uni, il est important de rappeler que le caractère extraterritorial du champ d’application du RGPD rend ce dernier applicable dès lors que les activités de traitement sont liées à une offre de bien ou de service destinée à des personnes concernées de l’Union européenne ou au suivi du comportement de ces personnes. Dès lors, ces entreprises britanniques seront tenues de désigner un représentant au sein de l’Union européenne conformément à l’article 27 du RGPD. Une fois le délai de transition expiré, il faudra appréhender les transferts au Royaume-Uni comme des transferts vers un pays tiers, c’est-à-dire comme un pays situé en dehors de l’EEE.

Une « décision d’adéquation » avec le RU ?
Cependant, le Royaume-Uni, en sa qualité d’ancien Etat membre de l’UE, dispose déjà d’un important arsenal juridique en matière de protection des données avec des dispositifs tels que le « Data Protection Act » ou encore le « Privacy and Electronic Communication Regulations ». Ces textes de loi reprenant déjà la majorité des dispositions du RGPD, il apparaît possible que la Commission européenne autorise de façon générale l’ensemble des transferts de données vers le Royaume-Uni à travers une « décision d’adéquation ». Tel sera le cas si la Commission européenne considère que le Royaume-Uni offre toujours un niveau de protection au moins équivalent à celui exigé au sein de l’UE. Pour autant, il convient de rester vigilant car les dernières déclarations du Premier ministre Boris Johnson annonce une évolution de la législation interne dans le sens d’un assouplissement de cette dernière. L’hypothèse d’une décision d’adéquation semble ainsi s’éloigner notamment compte tenu de l’appartenance du Royaume-Uni au « Five Eyes », alliance des services secrets britanniques, canadiens, australiens, américains et néo-zélandais.

Sinon, explorer les « garanties appropriées »
On rappellera que cette alliance à cinq (également désignée par FVEY), qui remonte à l’époque de la Guerre froide, permet aux agences de renseignement de ces cinq pays de se demander respectivement d’intercepter des communications de leurs citoyens. Ce partage d’informations et de données alerte de plus en plus les institutions et l’opinion publique, notamment depuis les révélations d’Edward Snowden en 2013. Selon ce lanceur d’alerte, les Etats contourneraient leur propre législation nationale en demandant aux membres de l’alliance de collecter des informations pour leur compte, et ce sur le fondement de cet accord. En 2014, la Commission européenne avait publié un rapport (2) confirmant le fait que les agences de renseignement néo-zélandaises et canadiennes auraient coopéré avec la National Security Agency (NSA) dans le cadre du programme Five Eyes et potentiellement partagé activement des données personnelles de citoyens de l’UE. Si l’option « décision d’adéquation » devait être écartée, il conviendra alors d’explorer d’autres solutions, notamment les « garanties appropriées » prévues par le RGPD. Il s’agit soit des clauses contractuelles types (CCT) à insérer dans le contrat entre l’importateur et l’exportateur de données (3), soit des règles d’entreprise contraignantes (BCR) qui désignent les règles internes de protection des données applicables entre exportateur et importateur de données au sein d’un groupe d’entreprise (4), soit encore d’outils tels que : code de conduite, mécanisme de certification, instrument juridique contraignant entre autorités publiques, etc (5).
Le RGPD prévoit également certaines dérogations exceptionnelles. L’organisation souhaitant transférer des données en dehors de l’EEE pourrait ainsi faire valoir l’une de ces dérogations à condition que le transfert ait un caractère exceptionnel (ni régulier, ni structurel) et qu’aucun autre cadre juridique ne puisse être utilisé. Tel est le cas lorsque la personne concernée consent au transfert de ses données ou lorsque le transfert de données est nécessaire à la conclusion ou à l’exécution d’un contrat ou encore lorsque le transfert est nécessaire par exemple à l’exercice des droits de la défense dans le cadre de procédures judiciaires. On notera cependant que, dans tous les cas, il appartient au responsable de traitement et au destinataire des données de vérifier, préalablement à tout transfert, si le pays tiers permet en pratique d’assurer un niveau de protection essentiellement équivalent à celui garanti dans l’UE par le RGPD, et notamment que les personnes concernées disposent de droits opposables et de voies de droit effective (6). Cette règle a été rappelée par la Cour de justice de l’Union européenne (CJUE), dans son arrêt « Schrems II » (7) du 16 juillet 2020. On rappellera que, dans cette affaire, Maximillian Schrems, défenseur autrichien de la protection des données personnelles, avait sollicité l’interdiction ou la suspension du transfert de ses données personnelles par Facebook Ireland à la maison mère Facebook Inc. établie aux Etats-Unis. Ce dernier considérait que la législation américaine ne permettait pas en pratique de protéger adéquatement les données personnelles détenues sur son territoire contre l’accès des autorités publiques et qu’il n’y avait pas de recours efficace pour les personnes concernées européennes. La CJUE étant particulièrement regardante sur l’effectivité des droits des personnes concernées ainsi que sur leur exercice, c’est précisément ce qui a fondé l’invalidation du « Privacy Shield » au sein de cette décision.
De même, si la CJUE a confirmé la validité des clauses contractuelles types comme outil de transfert, il est important de préciser que ces clauses ne lient pas les autorités des pays tiers, en raison de leur caractère contractuel. Ainsi, dans les situations où la législation de ces pays compromettrait en pratique le niveau de protection adéquat que ces outils garantissent, la CJUE incite à prévoir des mesures supplémentaires. De nature technique, contractuelle ou organisationnelle selon les recommandations du Contrôleur européen de la protection des données (CEPD), ces mesures permettraient d’assurer l’effectivité des « garanties appropriées » au sein de ces systèmes juridiques (8). Toutefois, en fonction des caractéristiques du transfert de données envisagé, et de l’évaluation de la législation du pays tiers faite par l’importateur et l’exportateur des données, si aucune mesure supplémentaire efficace ne peut être mise en œuvre pour garantir le niveau de protection équivalent, il conviendra de renoncer au transfert.

Considérer le RU comme « pays tiers »
En conclusion, si le RGPD reste applicable aux transferts de données vers le Royaume-Uni jusqu’au 1er juillet 2021, il n’est certainement pas trop tôt pour anticiper la suite. En l’absence d’une décision d’adéquation avant cette date butoir, les transferts de données devront être considérés comme ayant pour destination un pays tiers. De ce fait, il est d’ores et déjà recommandé d’identifier les traitements en question pour, le jour venu, adopter l’une des solutions évoquées à l’aune de la future législation britannique. @

* Christiane Féral-Schuhl, ancienne présidente
du Conseil national des barreaux (CNB)
après avoir été bâtonnier du Barreau de Paris,
est l’auteure de « Cyberdroit » paru aux éditions Dalloz.

Digital Services Act (DSA) et Digital Markets Act (DMA) : l’Europe vise une régulation équilibrée du Net

Publié le par

Présenté par la Commission européenne le 15 décembre 2020, le paquet législatif « DSA & DMA » – visant à réguler Internet en Europe, des réseaux sociaux aux places de marché – relève d’un exercice d’équilibriste entre régulation des écosystèmes et responsabilités. Son adoption est espérée d’ici début 2022.

Par Laura Ziegler, Sandra Tubert et Marion Moine, avocates, BCTG Avocats

Comment la Cnil a contourné le RGPD pour pouvoir elle-même mettre à l’amende Amazon et Google

Publié le par

La Cnil a invoqué la directive « ePrivacy » et non le RGPD. Et si Amazon et Google n’avaient pas modifié en septembre 2020 leur site web (amazon.fr et google.fr) pour être en conformité – mais partiellement – avec les règles françaises sur les cookies, leurs amendes auraient été plus salées.

Par Mélanie Erber, avocate associée, et Sacha Bettach, avocate, cabinet Coblence

Retour sur le rapport parlementaire « antistrust » qui a convaincu des Etats américains d’attaquer les GAFA

Publié le par

Alors que des Etats américains se coalisent pour engager des poursuites judiciaires à l’encontre de Google et de Facebook, accusés d’abus de position de dominante, revenons sur les conclusions du rapport parlementaire « antitrust » qui appelle le Congrès des Etats-Unis à légiférer contre les GAFA.

Par Fabrice Lorvo*, avocat associé, FTPA.

La révolution numérique continue à désemparer les juristes dès lors que depuis plus de vingt ans, le droit ne cesse de courir désespérément derrière la technique. Que ce soit notamment du fait de l’abolition des frontières ou de la fin du monopole du support papier, le numérique s’est développé en dehors des lois et des Etats. Et c’est au nom de la défense de la liberté individuelle que les GAFA (1) se sont opposés à toute réglementation étatique. La tâche est d’autant plus facile que les Etats ne sont même pas d’accord entre eux sur la conduite à tenir.

Des start-up aux « killer acquisitions »
Schématiquement les Européens étaient en faveur d’une réglementation contraignante des GAFA, alors que les Américains – pensant être les bénéficiaires économiques de ces méga-plateformes numériques nées sur leur sol et suspectant des mesures protectionnistes européennes d’entraves à la mondialisation en marche – y étaient opposés ! Les Etats-Unis, eux, sont plus partisans d’une sorte de soft power par l’économie. Or, aujourd’hui, les GAFA sont devenus des monstres qui disposent d’une puissance dépassant ou rivalisant avec celle de certains Etats. Alors que le « Vieux Continent » – notamment la Commission européenne et les autorités de la concurrence françaises, allemandes et britanniques – ne cesse de réfléchir aux moyens de contrôler ladite puissance et de sanctionner ses abus, le « Nouveau Monde » semblent commencer à se préoccuper de la situation.
La commission des Affaires juridiques de la Chambre des représentants des Etats-Unis (2) a publié en octobre 2020 un rapport d’enquête concernant l’état de la concurrence sur les marchés numériques. L’objectif était de documenter les problèmes de concurrence, d’examiner si les entreprises dominantes se livraient à un comportement anticoncurrentiel, et d’évaluer si les lois antitrust existantes, ainsi que les politiques de concurrence et les niveaux d’application actuels, étaient adéquats. Après plus d’une année d’enquête, la collecte de preuves d’environ 1,3 million de documents, l’audition des différents intervenants et notamment les « Chief Executive Officer » (CEO) respectifs des GAFA (3), le rapport tire de nombreux enseignements. Ce rapport de 451 pages (4), qui fera date, constate que ces entreprises qui étaient autrefois des start-up rebelles et négligées sont devenues le genre de monopoles que les Etats-Unis ont connus à l’ère des barons du pétrole, des magnats des chemins de fer, et des financiers des télécommunications.
• Google a le monopole sur les marchés de la recherche générale en ligne et de la publicité. L’entreprise s’est depuis étendue à beaucoup d’autres secteurs d’activité (Chrome comme navigateur, Google Maps pour la cartographie, Google Cloud dans le nuage informatique, ou encore « l’Internet des objets » pour ne citer qu’eux).
• Amazon a une position dominante sur le marché des achats en ligne. Elle exerce un pouvoir de monopole sur de nombreuses petites et moyennes entreprises qui n’ont pas d’alternative viable à Amazon pour atteindre les consommateurs en ligne.
• Facebook a un pouvoir de monopole sur le marché des réseaux sociaux. Facebook a également maintenu son monopole grâce à une série de pratiques commerciales anticoncurrentielles.
• Apple a un pouvoir de marché significatif et durable sur le marché des systèmes d’exploitation mobiles lui permettant ainsi de contrôler toutes les distributions de logiciels sur les appareils iOS.
Bien qu’étant différentes, ces quatre sociétés ont des pratiques commerciales qui révèlent des problèmes communs. Chaque plateforme sert désormais de « portier » (gatekeeper) sur son canal-clé de distribution. En contrôlant l’accès aux marchés, les GAFA peuvent choisir les gagnants comme les perdants. Le succès des entreprises et des acteurs du marché (et donc leurs moyens de subsistance économiques) dépend donc du bon vouloir et de l’arbitraire des plateformes dominantes.

Première victime : le consommateur
Ce pouvoir est non seulement démesuré mais ils en abusent en facturant des frais exorbitants, en imposant des clauses commerciales abusives et en exploitant des data précieuses provenant de ceux qui utilisent leurs services. Pour renforcer leur position dominante, chaque plateforme utilise son statut de « portier » pour empêcher l’arrivée de nouveaux concurrents – notamment en identifiant et, le cas échéant, en annihilant des rivaux potentiels : soit en les rachetant, soit en les copiant ou soit en les détruisant. Le rapport mentionne même par deux fois l’expression « killer acquisitions ».
Le rapport reconnaît que les GAFA ont apporté des avantages évidents à la société américaine, cependant il constate que leur domination a un prix et qu’il est coûteux. La première victime est le consommateur. Par exemple, en l’absence de concurrence d’Apple, non seulement la qualité et l’innovation parmi les développeurs d’applications mais aussi le choix pour les consommateurs ont été réduits et les prix ont augmenté.
De même, la qualité de Facebook s’est détériorée au fil du temps, entraînant une dégradation de la protection de la vie privée de ses utilisateurs et une augmentation spectaculaire de la désinformation sur sa plateforme. En l’absence de garde-fous de protection de la vie privée adéquats aux Etats-Unis, la collecte persistante et l’utilisation abusive des données des consommateurs sont un indicateur du pouvoir de marché en ligne.

Pouvoir de marché en ligne accru
Le consommateur direct n’a pas été la seule victime de ces comportements ; le citoyen l’est aussi. En effet, les abus de ces positions dominantes affectent aussi la presse indépendante et diversifiée, l’innovation, la vie privée en ligne des Américains (la confidentialité et les données), mais aussi la démocratie. Le rapport relève qu’il existe une asymétrie de pouvoir significative et croissante entre les plateformes dominantes et les organes de presse. Cette domination a des effets néfastes sur la production et la disponibilité de sources d’information fiables. La domination de certaines plateformes en ligne a contribué au déclin des sources d’informations fiables qui sont pourtant essentielles à la démocratie.
La montée en puissance du pouvoir de marché en ligne a également affaibli considérablement l’innovation et l’esprit d’entreprise dans l’économie américaine. Certains investisseurs en capital-risque ne souhaitent pas financer de jeunes entreprises qui osent tenter d’entrer en concurrence frontale avec ces entreprises dominantes. Enfin, le pouvoir de marché de ces plateformes risque aussi de saper les libertés politiques. Du fait de leur position dominante, chacune de ces entreprises gère dorénavant sa part de marché et écrit sa propre quasi-réglementation privée sans rendre compte à personne d’autre qu’à elle-même. Par le lobbying, ces entreprises renforcent leur pouvoir d’influence sur le processus d’élaboration des politiques, façonnant davantage la manière dont elles sont gouvernées et réglementées. Elles sont devenues des Etats dans l’Etat. Les GAFA prennent aussi quelques libertés avec les tribunaux, soit parce que ces entreprises se considèrent comme au-dessus de la loi, soit parce qu’elles considèrent la violation de la loi comme un coût commercial. Ces géants du Net ont trop de pouvoir et cela va encore empirer car, dans la prochaine décennie, ils vont probablement concentrer à eux seuls 30 % de la production économique brute mondiale. Ce market power doit donc être limité et soumis à surveillance et contrôle, voire à sanctions. L’économie et la démocratie des Etats-Unis sont en jeu, et a fortiori aussi celles d’autres régions du monde. Pour tenter d’enrayer ce phénomène, le rapport affirme que les lois doivent être actualisées pour permettre à l’économie américaine de rester dynamique et ouverte à l’ère numérique. Il formule les objectifs suivants : restaurer la concurrence dans l’économie numérique, renforcer les lois antitrust, et relancer l’application de la loi antitrust. Cette condamnation sans appel du pouvoir démesuré et abusif des GAFA et cette invitation à agir – véritable appel à légiférer – sera-t-elle suivie d’effets ? Pour ce faire, il faudrait une évolution concomitante du pouvoir législatif, c’est-à-dire du Congrès américain (or ce rapport écrit essentiellement par des démocrates n’est probablement pas l’expression de la majorité du Congrès), du pouvoir exécutif (celui qui applique les lois de la concurrence) et du pouvoir judiciaire (puisqu’une évolution nécessiterait au préalable des revirements de jurisprudence de la Cour Suprême des Etats-Unis en matière de règles antitrust).
La tâche sera dure et la route longue. On peut y voir, a minima, une prise de conscience américaine et espérer que l’Amérique ne sera plus un obstacle aux tentatives de réglementation de l’Europe. Depuis 2016, la Commission européenne tente de repenser les règles du contrôle des concentrations dès lors que le critère du simple chiffre d’affaires de la cible n’est plus l’unique critère pertinent sur le marché numérique (5). Une des pistes serait de renforcer le caractère dissuasif des sanctions financières en cas d’abus de position dominante. Face aux chiffres d’affaires colossaux des GAFA, des amendes ont actuellement un effet marginal (6).

Les BATX et les YVOT en embuscade
Reste la solution du démantèlement pure et simple évoquée par ce rapport « anti-trust ». Si cette hypothèse semble être la seule solution concrète pour régler définitivement les abus des GAFA, elle n’est pas sans risque. En effet, elle ne peut être sérieusement envisagée qu’au niveau mondial. A défaut, démanteler les GAFA reviendrait à laisser la place vide aux BATX (7) chinois ou aux YVOT (8) russes qui sont en embuscade. Or le numérique est comme la nature, il a horreur du vide. Le risque serait donc de supprimer un risque américain pour lui substituer un risque d’un autre continent. @

* Fabrice Lorvo est l’auteur du livre « Numérique : de la
révolution au naufrage ? », paru en 2016 chez Fauves Editions.

Les éditeurs n’ont plus que quatre mois pour adopter la nouvelle recette de la Cnil sur les cookies

Publié le par

La Cnil commencera fin mars 2021 à sanctionner les éditeurs de services en ligne qui ne se seront pas mis en conformité avec ses nouvelles règles les obligeant notamment à obtenir de manière plus stricte qu’avant le consentement des internautes avant de déposer des traceurs sur leurs terminaux.

Par Florence Chafiol, avocate associée, et Stéphanie Lapeyre, avocate, August Debouzy

Le cookie, ce petit fichier texte informatique déposé et lu sur le terminal d’un utilisateur, n’a vu le jour qu’en 1994. Si, au début de leur création, les cookies avaient une utilité limitée et méconnue du grand public, ils sont aujourd’hui au coeur de la stratégie numérique de la plupart des éditeurs de services en ligne et sources de nombreux débats. Victimes de leur succès, leur utilisation a rapidement été réglementée (1). En 2002, la directive européenne dite « ePrivacy » (2) est venue encadrer leur utilisation.

Base de la recette : informer les utilisateurs
Le consentement est alors devenu central : en principe pas de cookies sans accord préalable des utilisateurs. En France, la Commission nationale de l’informatique et des libertés (Cnil) a adopté sa première recommandation sur le sujet en 2013, afin de guider les éditeurs dans l’application de la loi et notamment dans les modalités d’obtention du consentement. Le Règlement général sur la protection des données (RGPD) ayant durci les conditions d’obtention d’un tel consentement, la Cnil a adopté le 4 juillet 2019 de nouvelles lignes directrices (3) qui sont venues abroger la recommandation de 2013. Ces lignes directrices ont été partiellement remises en cause par le Conseil d’Etat (4), et une nouvelle version a alors vu le jour le 17 septembre 2020 (5), assortie de recommandations opérationnelles (6) pour accompagner au mieux les éditeurs.
A la lecture de ces nouveaux documents adoptés par la Cnil, on note tout d’abord que l’obligation d’information préalable des utilisateurs est renforcée par rapport à 2013, même si ses modalités ne changent pas réellement : la Cnil recommande toujours une information à deux niveaux, avec un premier niveau mis en évidence lors de la connexion à la plateforme, qui contient les informations essentielles (dans la fameuse interface de recueil de consentement souvent appelée « bannière cookies ») et qui renvoie à un second niveau d’information plus complet. Cependant, les éléments devant figurer dans ces deux niveaux d’information sont largement précisés et apparaissent plus contraignants qu’auparavant. Les entreprises devront ainsi notamment s’assurer que leur bannière cookies :
• Mette en exergue chaque finalité spécifique dans un intitulé court accompagné d’un bref descriptif. Un niveau de détail plus important que celui qui existe actuellement est donc requis dès le premier niveau d’information. Il ne sera dès lors plus possible, par exemple, de se contenter d’informer l’utilisateur de l’utilisation de cookies à des fins publicitaires ; il faudra préciser si ces derniers sont utilisés pour de la publicité ciblée, non-ciblée, géolocalisée, etc.
• Permette à l’utilisateur d’accéder facilement à une information détaillée sur chaque finalité. L’utilisateur doit pouvoir cliquer sur un lien hypertexte « en savoir plus » ou ouvrir un menu déroulant lui donnant, pour chaque finalité, des informations plus précises sur les opérations techniques réalisées.
• Permette à l’utilisateur d’accéder facilement à la liste exhaustive et à jour des responsables de traitement. Pour ce faire, la Cnil recommande d’indiquer le nombre de responsables de traitement et de renvoyer, via un lien hypertexte, vers une liste plus exhaustive (avec leur identité et un lien vers leur politique de protection des données) (7). L’éditeur devra donc être en mesure d’établir une liste de l’ensemble des organismes qui seraient susceptibles de déposer des cookies sur son site/application (cookies tiers) pour leur propre compte et devra mettre cette liste à jour régulièrement.

Ingrédient essentiel : le consentement
La « recette » reste inchangée : sans consentement, pas de cookies – sauf exceptions. Mais, à la suite de l’entrée en vigueur du RGPD le 25 mai 2018, les modalités d’obtention de ce consentement préalable ont été durcies. Pour que le consentement soit valide il faut désormais, selon la Cnil, que la bannière cookies permette à l’utilisateur :
• D’exprimer son consentement à l’utilisation de cookies par un acte positif clair, comme par exemple cocher une case (non pré-cochée) ou cliquer sur un bouton « accepter ». Changement majeur donc : la simple poursuite de la navigation ne peut plus être considérée comme une expression valide du consentement.
• D’accepter ou refuser le dépôt de cookies avec le même degré de simplicité, via le même écran. Alors que la Cnil réclamait initialement dans son projet de recommandation une symétrie parfaite pour les boutons accepter et refuser (même niveau, même format), elle semble avoir quelque peu assoupli sa position en envisageant également d’autres modalités de refus comme par exemple un bouton « continuer sans accepter » situé sur le même écran, mais à un autre niveau. Même si la Cnil met en garde contre les pratiques trompeuses qui mettent visuellement plus en valeur un choix plutôt qu’un autre, un tel assouplissement risque néanmoins de permettre aux éditeurs d’orienter le choix des utilisateurs en adaptant le design de l’interface.
• D’exprimer son choix de manière granulaire. Si l’utilisateur peut avoir la possibilité d’accepter tous les cookies en même temps (via un bouton « tout accepter » par exemple), il doit également avoir la possibilité d’exercer son choix finalité par finalité. Un bouton « personnaliser mes choix » qui se trouverait au même niveau que le bouton « tout accepter » doit lui être proposé.