Cookie wall, consentement au scroll : les clarifications du Comité européen de la protection des données

Le Comité européen de la protection des données (CEPD), dont le rôle est de fournir aux agences nationales des orientations en matière de protection de la vie privée des internautes pour encourager une application plus cohérente des règles du RGPD, vient de mettre à jour ses guidelines. Dans un document de 31 pages, il rappelle les directives relatives au consentement en ligne pour le traitement des données personnelles des internautes.

Pour rappel, les sites web ont l’obligation d’informer leurs visiteurs sur leur politique de cookies. Ces derniers sont utilisés pour mieux comprendre la navigation d’un internaute sur un site, afin de lui en faciliter la visite, ou encore pour lui proposer des publicités ciblées en fonction de son comportement. Pour pouvoir récupérer ces données, un site doit obtenir le consentement de son utilisateur. Pour que celui-ci soit valide et respecte le règlement général européen, il doit être claire, informé, spécifique et donné librement.

Dans la mise à jour de ses directives, le CEPD revient sur deux pratiques notoires visant à manipuler le consentement de l’internaute et qui sont encore utilisées par certains sites, dans le but de clarifier tout problème d’interprétation de la loi : les « cookie walls » et la question du défilement.

Les « cookie walls » ne respectent pas le RGPD

Il n’est pas rare, encore aujourd’hui, de rencontrer des « cookie walls » sur la toile. Certains sites abusent encore de cette pratique, qui consiste à forcer les internautes à accorder leur consentement pour délivrer des cookies en échange de l’affichage du contenu de la page. Dans ce cas précis, le consentement ne peut relever d’un véritable choix, puisque l’utilisateur n’a pas accès au site tant qu’il n’aura pas cliqué sur le bouton Accepter les cookies.

L’article 41 des guidelines du CEPD précise la règle sans ambiguïté :  les « cookie walls » ne constituent pas un consentement valide. L’utilisation de ce type de pratique viole donc la loi européenne sur la protection des données.

Le défilement ne permet pas de récupérer les données des utilisateurs

Le Comité européen de la protection des données a également souhaité expliciter la question du scroll. Selon le CEPD, lorsqu’un internaute fait défiler une page web sans avoir accepté au préalable les cookies, cette action ou toute activité sur un site (comme un clic) ne peut non plus être considérée comme un accord tacite de la part d’un utilisateur. C’est l’objet de l’article 86 du document mis à jour par l’instance européenne.

La mise à jour de ces directives vise à clarifier les pratiques de certains acteurs de la toile susceptibles de passer outre les règles, et ainsi réduire leur marge de manœuvre pour se conformer au RGPD, qui va bientôt fêter ses 2 ans. Les amendes pour une infraction au règlement européen peuvent atteindre jusqu’à 4% du chiffre d’affaires annuel d’un site. Reste maintenant aux agences nationales des 27 États membres, dont fait partie la CNIL française, d’appliquer strictement ces règles pour protéger la vie privée des utilisateurs en ligne.

Consultez les guidelines du CEPD