Loi sur la vie privée de l’UE | RGPD, ePrivacy… le droit et les cookies

Qu’est-ce que la loi européenne sur les cookies ?

La directive « vie privée et communications électroniques », aussi connue sous le nom de directive ePrivacy, est un texte législatif essentiel pour garantir la confidentialité des données dans l’Union européenne. Il s’agit d’un vrai effort pour garantir la protection de la vie privée des citoyens de l’UE en ligne.

Toutefois, elle a eu des effets ambigus sur l’expérience d’utilisateur de gestion des cookies, avec une mise en œuvre différente et parfois inadéquate à l’échelle nationale.

Pourquoi ? Parce qu’il s’agit d’une directive, c’est-à-dire une loi non-contraignante pour les Etats de l’UE.

Une directive, c’est quoi ?

En bref, l’Union européenne peut prendre des décisions juridiques de plusieurs manières, les deux plus courantes étant les règlements et les directives.

Les règlements sont des lois de l’UE qui s’appliquent automatiquement et uniformément à tous les pays de l’UE sans qu’il soit nécessaire d’interpréter et de mettre en œuvre au niveau national. Tout ce qui est adopté en vertu d’un règlement sera contraignant et immédiatement applicable dans toute l’Europe.

Les directives, en revanche, sont des actes juridiques de l’UE que chaque pays doit adopter et mettre en œuvre à sa manière au niveau national. Dans le cas de la directive ePrivacy, chaque État membre a dû transposer en droit national les articles sur la protection des données et le droit à la vie privée. En bref, chaque pays de l’UE doit depuis 2002 adopter des lois au sein de ses propres organes législatifs afin de s’adapter et de se conformer à la loi de l’UE sur les cookies.

Les origines de la loi européenne sur les cookies

Adoptée en 2002 par l’UE et modifiée en 2009, la directive ePrivacy a été conçue en tant que chevalier servant de l’utilisateur contre les dangers du suivi en ligne, du profilage personnel, des tactiques de marketing non sollicitées et de la collecte non consensuelle de données par des tiers.

Son principal objectif était de protéger « le droit à la vie privée et du droit à la confidentialité, en ce qui concerne le traitement des données à caractère personnel dans le secteur des communications électroniques », comme le dit la directive.

Qu’est-ce la directive ePrivacy apporte ?

La directive ePrivacy concerne essentiellement ce que les autres personnes (c’est-à-dire sites web, entreprises et fournisseurs de services) sont autorisées à faire avec vos données numériques, ce qu’elles peuvent faire et ce qu’elles ne peuvent pas faire sans votre consentement, à quelles fins, et de quelles manières.

Lisez la directive ePrivacy 2009 ici.

La directive ePrivacy et les bandeaux cookies

Tous les bandeaux de consentement aux cookies que vous rencontrez en parcourant le web sont donc le reflet de ces droits européens fondamentaux à la vie privée.

Malheureusement, beaucoup d’entre eux sont inadéquats, voire trompeurs.

La directive ePrivacy stipule qu’aucun cookie ou traceur ne doit être placé avant le consentement préalable de l’utilisateur, sauf ceux strictement nécessaires pour la fonction de base du site. En pratique, votre site web devrait retenir tous les cookies, qu’ils contiennent des données personnelles ou pas, jusqu’à ce que l’utilisateur y consente.

Cependant, une grande partie des bandeaux et des notifications déclarent simplement que leur site web « utilise des cookies pour améliorer l’expérience d’utilisation » et laisse aux utilisateurs pour seule option de cliquer sur « OK ».

Découvrez comment obtenir une excellente annonce de cookie conforme ici (en anglais).

Cela a entraîné le syndrome de fatigue du consentement. Bien que leurs données soient encore récoltées et vendues dans une économie invisible de mille milliards de dollars, les utilisateurs doivent désormais cliquer sur « OK » chaque fois qu’ils visitent un site web, sans véritable choix de consentement.

Ce que la loi de l’UE sur les cookies établit :

• ce que les sites web, entreprises et fournisseurs de services sont autorisés à faire avec les données, par exemple l’utilisation de données personnelles à des fins commerciales.
• comment ils doivent gérer ces données, par exemple les anonymiser et les protéger sauf accord contraire,
• comment et dans quel but ils pourraient les partager.

Mettez-vous dès aujourd’hui en conformité en essayant la plateforme de gestion des consentements Cookiebot CMP gratuitement pendant 14 jours… ou pour toujours si vous avez un petit site web.

Comparaison : RGPD / Directive ePrivacy / Règlement ePrivacy

Le RGPD, ou règlement général sur la protection des données, est un règlement contraignant dans tous les États membres de l’UE depuis mai 2018. Il a un champ d’application beaucoup plus large que la directive et le règlement ePrivacy. En effet, il porte sur la protection des données indépendamment du type de données (c’est-à-dire pas seulement les informations numériques des utilisateurs) et la manière dont les sociétés doivent garantir la transparence et documenter le consentement des utilisateurs. En fait, le RGPD ne mentionne le mot « cookie » qu’une seule fois.

Informez-vous sur le RGPD et lisez le texte de la loi RGPD.

La directive ePrivacy, est un acte juridique plus ancien, adopté en 2002 et mis à jour en 2009, qui traite principalement des cookies, de la conservation des données et des e-mails non sollicités. Il s’agit, comme mentionné précédemment, d’une directive et non d’un règlement, ce qui a donné lieu à des mises en œuvre nationales qui ont créé des situations inégales avec des réalités juridiques fragmentées et se chevauchant.

Lisez la directive ePrivacy ici.

Le règlement ePrivacy, vise à remédier à ces problèmes et à donner à la protection de la vie privée en Europe une place technologiquement actualisée et internationalement uniforme, en élevant la directive ePrivacy à un niveau supérieur de droit européen. En d’autres termes : actualiser, clarifier et moderniser la directive de 2002 dans une version qui, à l’instar du RGPD, serait une loi contraignante et uniforme dans tous les pays de l’UE.

Le 10 février 2021, le Conseil de l’UE s’est mis d’accord sur un projet de texte et le règlement ePrivacy va maintenant faire l’objet de négociations dans le cadre d’un trilogue entre le Parlement européen, le Conseil de l’UE et la Commission européenne.

Jetez un œil au prochain règlement ePrivacy ici.

Les nombreuses saveurs des cookies – les variétés de suivi en ligne

La directive ePrivacy est parfois surnommée la loi sur les cookies car elle traite, entre autres… des cookies. Pourquoi ? Parce qu’on trouve des cookies partout sur Internet. Si vous avez un site web, vous avez des cookies. Si vous avez visité un site web, vous avez rencontré des cookies, que vous le sachiez ou non.

Un cookie existe pour ainsi dire entre un site web et ses utilisateurs. Il s’agit d’un petit fichier de données qu’un site web place sur les appareils de ses utilisateurs (ordinateur, téléphone et tablette), ce qui lui permet de les identifier et de connaître des informations à leur sujet.

Différents cookies

Mais ce n’est pas aussi simple que ça. En fait, il existe une grande variété de cookies qui fonctionnent différemment et à différentes fins, et il est important de savoir lesquels rechercher :

Les cookies internes sont ceux qui sont placés sur l’ordinateur d’un utilisateur par le site web qu’il a visité.

Les cookies tiers sont les cookies appartenant à un site web tiers ayant accès au site propriétaire.

Ces derniers pourraient, par exemple, être des cookies appartenant à une plate-forme de réseaux sociaux, qui suivent et surveillent le comportement des utilisateurs sur un site web, leur accès étant activé, par exemple, par la mise en place d’un « bouton de partage » ou d’un « commentaire » sur le site web propriétaire.

En d’autres termes, si vous avez un bouton de partage Facebook sur votre site web, Facebook aura également des cookies sur votre site web.

Ce qui complique les questions de confidentialité, c’est que le propriétaire du site web est légalement responsable de ce qui se passe sur son site, y compris de protéger les données de ces utilisateurs contre la récolte non consensuelle par des tiers.

Gestion des cookies via des bandeaux cookies

Cookiebot CMP est un outil de transparence – le consentement préalable est activé en tant qu’interrupteur marche/arrêt sur tous les cookies et le suivi, internes ou tiers. Il donne un contrôle total au propriétaire du site web et à l’utilisateur final via un bandeau de cookies qui gère leur consentement.

Les cookies de session sont des cookies temporaires qui ne sont stockés sur l’appareil d’un utilisateur que pendant la durée de son séjour sur un site web donné, sa session. Dès lors que l’utilisateur part du site, ces cookies expirent. Ils sont généralement utilisés pour des fonctions telles que la conservation des articles dans votre panier, alors que vous naviguez sur les sous-pages d’un site web..

Les cookies permanents, au contraire, sont des cookies qui persistent sur le navigateur de l’utilisateur pendant beaucoup plus longtemps qu’une simple session, parfois même pendant des années. Il s’agit souvent de « cookies nécessaires » et de « cookies de préférence » qui gèrent des éléments comme la connexion des utilisateurs ou les paramètres de langue sur un site web, mais ils peuvent également être des « cookies d’analyse », des « cookies publicitaires » et des « cookies de réseaux sociaux » qui permettent des actions telles que le profilage personnel et le marketing ciblé.

Autres moyens de suivi

Balises web

Un autre type de suivi en ligne est une balise web.

Outre les cookies, il s’agit de l’une des nombreuses technologies de suivi qui incluent également les empreintes digitales du navigateur (l’unicité de votre appareil, tels que les paramètres et les configurations) et les balises à ultrasons (sons imperceptibles émis par un appareil utilisé dans le but de cartographier les appareils connectés, comme les téléphones et les tablettes).

En savoir plus sur les différentes technologies de suivi en plus des cookies ici.

Une balise web (également connue sous le nom de « pixels invisibles » ou « GIF clairs ») est un pixel transparent – oui, c’est vrai, un pixel, c’est-à-dire minuscule et invisible à l’œil nu. Les balises web sont des « marqueurs » sur les portes virtuelles que vous traversez lorsque vous cliquez sur Internet.

Une balise explique à ses opérateurs votre parcours sur le site, comment vous y êtes arrivé et si c’est via un lien dans une newsletter ou une publicité sur les réseaux sociaux.

Ce suivi est utilisé par les sites web pour comprendre l’impact de ses stratégies commerciales. Mais ces données peuvent également être combinées avec les informations de compte personnel des utilisateurs pour créer des profils complets sur les individus.

Il peut être de nature bénigne mais offre la possibilité d’un suivi par des tiers pour un profilage complet qui pourrait enfreindre les lois sur la protection de la vie privée, telles que la directive ePrivacy.

Pour une connaissance approfondie et stimulante en profondeur, consultez The Privacy Project, une collection d’essais interactifs du New York Times sur la confidentialité des données (en anglais).

Résumé : comment se conformer à la loi sur la vie privée

Donc … beaucoup de règles, directives, règlements et différents cookies. Cela peut devenir compliqué.

Les principales choses à garder à l’esprit en tant que propriétaire d’un site web sont les suivantes :

• Vous devez révéler tous les cookies et traceurs opérant sur votre site web à l’utilisateur, dans un langage simple, afin qu’il puisse faire un choix de consentement éclairé ou révoquer son consentement.
• Vous devez refuser tous les cookies et traceurs sur votre site web (en plus de ceux strictement nécessaires au fonctionnement de votre site web), jusqu’à ce que vous ayez reçu un consentement clair et explicite de l’utilisateur sur chaque type de cookies et traceurs.
• Le consentement doit être donné librement, et jamais par exemple comme condition d’utilisation d’un service.
• Vous êtes responsable des données des utilisateurs sur votre site web. C’est à vous de le protéger des récoltes par des tiers. Sachez quels traceurs tiers votre site web pourrait héberger, par exemple via des plugins vidéo et des implémentations de médias sociaux.

Si vous choisissez Cookiebot CMP comme solution, tout ce qui précède est mis à votre disposition dans une mise en œuvre logicielle simple. Cliquez ici pour essayer gratuitement.

FAQ

Ressources

La directive ePrivacy

Le règlement général sur la protection des données (RGPD)

La proposition de règlement ePrivacy

La Commission européenne sur les règles de l’UE en matière de protection des données

La Commission européenne sur les différents types de droit de l’UE

Le New York Times sur les lois existantes de l’UE sur les cookies (en anglais)

Contrôleur européen de la protection des données

Charte des droits fondamentaux de l’Union européenne

Révision de la directive ePrivacy par le Think Tank du Parlement européen

The Privacy Project, une collection d’essais interactifs du New York Times sur la confidentialité des données (en anglais)