Vie privée et télétravail : la consécration des VPN

En fait. Le 5 mai, la fondation Mozilla – créée dans la foulée du développement il y a vingt ans du navigateur Firefox – a rendu disponible en France sa solution de réseau privé virtuel, Mozilla VPN, pour permettre aux internautes de sécuriser et de masquer leurs connexions à Internet et de ne pas être géolocalisés.

En clair. Les VPN – Virtual Private Network – sont plus connus par les internautes des pays autoritaires ou dictatoriaux qui pratiquent la censure de contenus en ligne et les blocages d’accès à des plateformes étrangères. Mais échaudés par les atteintes en ligne à leur vie privée, le pistage de leurs navigations et géolocalisations à des fins publicitaires (sans parler des cookies), voire la fuite de leurs données personnelles, les internautes des pays démocratiques sont de plus en plus demandeurs de VPN. Le sigle fait même son entrée dans le Larousse 2022 !
« Pour vivre heureux vivons cachés » est le nouveau credo du Web, dont les connexions sécurisées « https » ne suffisent pas. Le VPN est une sorte de camouflage numérique et de bouclier en ligne, qui offre une sécurisation par chiffrement des données et masque l’adresse IP de l’internaute (une de ses données personnelles) pour ne pas être détecté, pisté ou identifié. Pratiqué de longue date par les technophiles, les réseaux privés virtuels se démocratisent au fur et à mesure que les offres de VPN grand public faciles d’utilisation sont proposées (NordVPN, IPVanish, Cyberghost VPN, Surfshark, etc). Et ce, moyennant paiement sur un mois (de 5 à 12 euros) ou sur six à trois ans (de 2 euros à 10 euros par mois selon la durée de souscription). Pour Mozilla VPN lancé le 5 mai en France et en Allemagne (1), les tarifs sont de 9,99 euros pour un mois, 6,99 par mois sur six mois ou de 4,99 euros pour douze mois (2). L’utilisation du navigateur Firefox n’est pas nécessaire, mais un compte Mozilla si. La fondation californienne à but non lucratif s’appuie pour cela sur la société suédoise Amagicom qui opère un réseau mondial de 750 serveurs (dans 30 pays) fonctionnant sur leur solution open-source de VPN, Mullvad, et sécurisé de bout-enbout (3) par le protocole de cryptage WireGuard. « Surfez, jouez, travaillez et streamez tout en préservant votre confidentialité sur Internet », promet la fondation Mozilla.
Depuis mars 2020, confinements successifs oblige, la Cnil (https://lc.cx/Cnil-VPN) et l’Arcep (https://lc.cx/Arcep-VPN) recommandent d’utiliser des VPN pour télétravailler ou se former en distanciel, et « éviter l’exposition directe sur Internet » (dixit la Cnil). Mais attention, « la combinaison de celui-ci [le VPN de l’employeur] avec votre Wifi peut engendrer un débit ralenti » (dixit l’Arcep). @

Jeunes internautes de moins de 13 ans et enfants influenceurs de moins de 16 ans sous surveillance

Alors qu’Instagram prépare une version « Kids » de son réseau social, la question de l’accès des mineurs de moins de 13 ans se pose de plus en plus. Entre l’intelligence artificielle et le contrôle parental, les TikTok, YouTube et autres Facebook cherchent à encadrer l’accès de la très jeune génération.

« Les enfants demandent de plus en plus à leurs parents s’ils peuvent rejoindre des applications qui les aident à suivre leurs amis. Une version d’Instagram où les parents ont le contrôle, comme nous l’avons fait avec Messenger Kids, est quelque chose que nous explorons. Nous en dirons plus prochainement », a lancé le 19 mars dernier dans un tweet (1) le directeur d’Instagram, Adam Mosseri. Sur le modèle de Messenger Kids, qui est opérationnels auprès des moins de 13 ans depuis 2017 aux Etats-Unis, aux Canada et quelques pays, avant d’être quasi généralisé dans le monde il y a un an, un « Instagram Kids » devrait donc voir le jour.

Les 13 ans de la loi américaine Coppa
Le patron d’Instagram réagissait à un article de Buzz Feed News qui révélait le 18 mars (2) le projet de Facebook de créer un Instagram pour les moins de 13 ans. Cela n’a pas manqué de susciter des réactions sur les réseaux sociaux, où justement les jeunes enfants en-dessous de cet âge-là n’ont pas le droit de s’inscrire. Cette interdiction aux moins de 13 ans a été officialisée par les Etats-Unis il y a huit ans maintenant, dans le cadre du Children’s Online Privacy Protection Act (Coppa). C’est sur cette loi américaine (3) fixant à 13 ans l’âge minimum pour pouvoir s’inscrire sur les réseaux sociaux – Facebook en tête – que les différents pays se sont alignés. Mais dans les faits, cette règle devenue universelle est largement enfreinte par de jeunes enfants et pré-adolescents qui contournent l’interdiction, soit en mentant sur leur âge, soit en utilisant l’identité d’un proche (un frère ou une soeur voire un ami-e complice, par exemple), soit en utilisant un compte d’un 13 ans ou plus à son insu. De nombreuses études ont démontré que des moins de 13 ans étaient bien présents sur les réseaux sociaux, Médiamétrie mesurant même l’audience des Facebook, Snapchat et autres TikTok à partir de l’âge de… 2 ans ! L’appétence des bambins pour ces plateformes d’échanges ne date pas d’hier : une étude Ipsos-Médiamétrie de 2015 révélait déjà que 57 % des 11–12 ans et 26 % des 9–10 ans avaient ouvert un compte. Plus récemment, en février dernier, le Bureau européen des unions de consommateurs (Beuc), dont est membre en France l’association UFC-Que Choisir, a déposé plainte (4) auprès de la Commission européenne contre l’application TikTok aux formats courts créatifs très prisée des jeunes. Ce recours, qui s’appuie sur « le règlement sur la coopération en matière de protection des consommateurs » du 12 décembre 2017 (Consumer Protection Cooperation Regulation), affirme que la plateforme chinoise accepte des inscriptions de moins de13 ans et s’inquiète du fait que « l’application est plébiscitée par les adolescents ». En France, UFC-Que Choisir affirme que « 45 % des enfants de moins de13 ans ont indiqué utiliser l’application » (5). Pourtant, TikTok tente d’y remédier, notamment avec son « Mode connexion famille » lancé en novembre 2020.
Instagram est aussi le terrain de jeu des moins de 13 ans, bien que cette limite soit bien la condition sine qua non dans ses conditions générales d’utilisation. « Nous exigeons que tout le monde ait au moins 13 ans pour utiliser Instagram et avons demandé aux nouveaux utilisateurs de fournir leur âge lorsqu’ils s’inscrivent à un compte pendant un certain temps. Bien que beaucoup de gens soient honnêtes au sujet de leur âge, nous savons que les jeunes peuvent mentir au sujet de leur date de naissance », a récemment reconnu la filiale de Facebook (la plateforme de photos et vidéos Instagram fut rachetée en 2012 pour 1 milliard de dollars). Adam Mosseri, le patron d’Instagram, veut y remédier. Cela passe selon lui par notamment restreindre les « DM» (direct messaging) entre les adolescents et les adultes qu’ils ne suivent pas, encourager les adolescents à rendre leur compte privé, ou encore les inciter à être prudents dans les « DM » (6). Dans l’annonce faite le 16 mars dernier concernant de nouvelles mesures vis-à-vis des plus jeunes, Instragam en appelle à l’IA et au machine learning : « Nous voulons en faire plus pour empêcher que cela se produise [les inscriptions en dessous de 13 ans], mais il est complexe de vérifier l’âge des gens en ligne et de nombreux membres de notre industrie sont aux prises avec ce problème ».

La « Cnil » italienne enquête depuis janvier
Et la filiale de Facebook d’ajouter : « Pour relever ce défi, nous mettons au point une nouvelle technologie d’intelligence artificielle et d’apprentissage automatique pour nous aider à assurer la sécurité des adolescents et à appliquer de nouvelles caractéristiques adaptées à leur âge ». De nouvelles fonctionnalités sont opérationnelles depuis le mois de mars dans certains pays, avant d’être généralisées partout dans le monde, a précisé Instagram. Par exemple, l’IA permettra de détecter lorsqu’un adulte envoie une grande quantité de demandes d’amis ou de messages à des personnes de moins de 18 ans. Les destinataires seront alertés dans leur DM en leur donnant la possibilité de mettre fin à la conversation, de bloquer, de signaler ou de restreindre l’adulte en question.
Fin janvier dernier, la GPDP – la « Cnil » italienne (7) – a demandé formellement à Facebook et à Instagram « des informations sur le traitement (des mineurs) » que font ces deux réseaux sociaux. « La “Garante” [surnom de la GPDP, ndlr] a demandé à Facebook, propriétaire d’Instagram, de fournir des informations, notamment le nombre et les profils détenus par la jeune fille et, le cas échéant, comment une jeune fille de 10 ans pourrait s’inscrire sur les deux plateformes », a-t-elle indiqué.

IA appelée à la rescousse (Instagram et TikTok)
La « Cnil » italienne faisait référence en particulier à la mort d’une fillette de 10 ans habitant à Palerme lors d’un défi dit du « jeu du foulard » sur TikTok. « Plus important encore, a poursuivi la “Cnil” italienne, des informations spécifiques ont été demandées sur les mécanismes d’enregistrement en place et les méthodes de vérification de l’âge appliquées par les deux réseaux sociaux pour vérifier le respect du seuil d’âge pour l’enregistrement ». Cette jeune victime avait ouvert plusieurs profils sur les deux réseaux sociaux de la firme de Mark Zuckerberg.
La GPDP a prévenu que son enquête allait s’étendre à tous les réseaux sociaux, notamment en ce qui concerne « les mécanismes régulant l’accès des enfants aux plateformes », dans le but d’« intensifie[r] son action pour protéger les enfants utilisant les réseaux sociaux » (8). Le 3 février dernier, la « Cnil » italienne a fait savoir que TikTok lui avait répondu avoir mis en oeuvre des mesures pour interdire l’accès aux utilisateurs de moins de 13 ans, tout en envisageant de « déployer des systèmes basés sur l’IA à des fins de vérification de l’âge » (9). Une campagne d’information sera également lancée par TikTok pour sensibiliser les parents et les enfants. Quant au groupe Facebook, il avait une quinzaine de jours pour répondre à la GPDP, mais aucune information n’a encore filtré du régulateur italien.
Intelligence artificielle ou contrôle parental ? Si Instagram et TikTok ont choisi la voie du traitement automatique à grand renfort de marchine learning, les parents sont aussi appelés à surveiller leurs chérubins. La plateforme vidéo YouTube a annoncé le 24 février dernier qu’elle allait dans les prochains mois proposer aux parents d’utiliser leur propre compte Google pour permettre à leurs enfants d’accéder leurs à YouTube mais dans le cadre de ce « compte supervisé », selon l’expression de James Beser (photo de droite), le directeur de produit « Kids and Family » (10) de la filiale vidéo de Google. Les parents régleront les contenus vidéo acceptables pour leurs enfants âgés de 13 ans et plus. Par ailleurs, le service YouTube Kids créé en 2015 et destinée des jeunes utilisateurs de plus de 13 ans intègre déjà le contrôle parental.
En France, le député Bruno Studer (LREM) – président de la commission des affaires culturelles et de l’éducation – a relancé la piste du contrôle parental par défaut. Dans une interview à Next Inpact publiée le 19 mars dernier, il s’en explique : « Il ne s’agit pour l’heure que d‘une piste de réflexion. Je repars du discours du président de la République de 2019 où le chef de l’Etat réclamait une solution robuste pour prévenir l’accès des mineurs aux sites pornos. Un sujet sur lequel je me suis penché. Nous en avons discuté ensemble. Nous devons désormais arriver à massifier l’utilisation du contrôle parental » (11). Plus d’un an après le discours d’Emmanuel Macron devant l’Unesco en novembre 2019 (12), le gouvernement a bien lancé en début d’année la plateforme en ligne Jeprotegemonenfant.gouv.fr pour inciter les parents à utiliser des outils de contrôle parental, afin de protéger les mineurs contre leur exposition potentielle ou avérée à la pornographie. Car celle-ci peut avoir des conséquences néfastes sur eux, tant sur leur développement psychologique que sur leur représentation de la sexualité. Insuffisant malgré la volonté présidentielle.
Mais le député Bruno Studer constate que le contrôle parental est très peu utilisé. « S’il était activé par défaut [le contrôle parental], sa désactivation supposera une décision de ceux qui sont responsables de l’intérêt psychique et physique des enfants à savoir les parents », avance le député du Bas-Rhin. Par ailleurs, la loi du 19 octobre 2020 encadre l’exploitation commerciale de l’image d’enfants de moins de 16 ans sur les plateformes en ligne. Le débuté Bruno Studer en était co-rapporteur. Il s’agit de protéger l’enfant influenceur lorsqu’il doit être qualifié de « travailleur-salarié » et/ou percevant des revenus importants relevant d’une activité commerciale (13).

Dans la vraie vie, clause « Roméo et Juliette »
Parallèlement, dans « la vraie vie » si l’on peut dire, les mineurs font aussi l’objet d’une proposition de loi visant à renforcer leur protection contre les violences sexuelles. Porté par le ministre de la Justice, Eric Dupond-Moretti, ce texte a déjà été adopté par l’Assemblée nationale mifévrier et se retrouve devant le Sénat (14). Il prévoit notamment deux nouvelles infractions concernant les mineurs de moins de 15 ans victimes de violences sexuelles commises par des personnes majeures, avec une exception via la clause dite « Roméo et Juliette » (15). @

Charles de Laubier

La presse française est de plus en plus digitale et dépendante de Google, mais plus du tout solidaire

62,7 millions d’euros : c’est ce que s’est engagé à verser Google à 121 journaux français membres de l’Apig qui a cosigné cet accord-cadre, dont 86,8 % étalés sur trois ans et le solde pour « mettre fin à tout litige » sur cette période. Deux syndicats d’éditeurs – le Spiil et la FNPS – s’insurgent.

Le Syndicat de la presse indépendante d’information en ligne (Spiil) a dénoncé le 8 février les accords « opaques, inéquitables et nuisibles », créant même « une dangereuse distorsion de concurrence » au sein de la presse français, signés par quelques journaux avec Google. Dès le 21 janvier, la Fédération nationale de la presse d’information spécialisée (FNPS) dénonçait, elle, l’accord-cadre annoncé ce jour-là entre le géant du Net et l’Alliance de la presse d’information générale (Apig) qui « acte de facto la position illégale de Google ».

Rémunérations inconnues et critères flous
L’agence Reuters a révélé le 12 février que l’accord-cadre « Google-Apig » portait sur un total de 62,7 millions d’euros (1). Le Spiil, présidé par Jean-Christophe Boulanger (photo de gauche) et représentant 150 éditeurs indépendants de 180 titres de presse, s’est « alarm[é] de la teneur des premiers accords signés entre Google et certains éditeurs de presse sur les droits voisins ». Ces accords de licence signés individuellement et uniquement par des journaux dits de « presse d’information générale » – le controversé statut IPG – avec Google (2) leur permettent de percevoir une rémunération pour les débuts d’articles et leurs liens exploités sur le moteur de recherche (Google Search et Google Actualités). Conformément au contrat-cadre (3) annoncé le 21 janvier par l’Apig, dont 285 titres – parmi lesquels les grands quotidiens nationaux – sont membres (4), chaque accord de licence individuel peut donner à l’éditeur un accès au «News Showcase » de Google, son nouveau programme de licence de publications de presse permettant aux lecteurs internautes d’accéder à un contenu éditorial enrichi ou qualifié de « premium ». Le problème est que la rémunération prévue dans les accords de licence entre chaque éditeur de presse et Google est à géométrie variable, dans le sens où elle est basée sur des « critères » tels que « la contribution à l’information politique et générale », « le volume quotidien de publications » ou encore « l’audience Internet mensuelle ». Pour le Spiil, c’est dommageable car ces accords ne permettent pas de s’assurer du traitement équitable de tous les éditeurs de presse dans la mesure où la formule de calcul des rémunérations n’est pas rendue publique : « La profession n’a pas su mettre ses désaccords de côté pour mener une négociation commune. Google a profité de nos divisions pour faire avancer ses intérêts. Un exemple en est le choix de l’audience comme un critère prépondérant du calcul de la rémunération. Ce choix est bien dans l’intérêt industriel de Google, mais il est une catastrophe pour notre secteur et notre démocratie. Il va favoriser la course au clic et au volume : une stratégie qui bénéficie plus aux plateformes qu’aux éditeurs et qui ne favorise pas la qualité ». Selon Jean- Christophe Boulanger, ces accords renforcent encore au sein de l’écosystème de la presse française le pouvoir d’intermédiaire de Google, lequel fait tout pour ne pas rémunérer les droits voisins et « noyer » son obligation à ce titre dans son initiative «News Showcase ». Autrement dit, bien qu’un éditeur de l’Apig puisse exiger une rémunération des droits voisins sans utiliser ce programme de licence « Google », son montant n’est cependant pas fixé dans l’accord-cadre « Apig », ce qui pousse ainsi les éditeurs à s’engager auprès de «News Showcase ». « Encourager une telle situation de dépendance [éditoriale et économique] vis-à-vis d’un tel acteur pour la conquête et la rétention d’abonnés nous semble une erreur stratégique majeure », déplore-t-il. Le Spiil alerte en outre sur un autre service qui existe depuis trois ans maintenant : le « Subscribe with Google » (5). Il s’agit d’un moyen simplifié de créer un compte sur un média en ligne et de s’y abonner. Le syndicat de la presse indépendante en ligne « appel[le] les régulateurs à examiner en détail les accords commerciaux conclus » pour l’utilisation de ce service d’abonnement en ligne pour s’assurer « qu’ils ne constituent pas un complément de rémunération au titre des droits voisins qui ne seraient offerts qu’à certains éditeurs ».

Le statut « IPG » : pas eurocompatible ?
Quant à Laurent Bérard-Quélin (photo de droite), président de la FNPS et par ailleurs directeur général de SGPresse (6), il représente 500 entreprises membres qui éditent 1.231 publications imprimées et 473 publications en ligne. Pour ce syndicat de la presse spécialisée, l’accord-cadre « Google- Apig » – décliné en accords individuels de licence avec le moteur du Net – « n’est pas conforme à l’esprit, si ce n’est à la lettre, de la loi [sur le droit voisin de la presse datée du 26 juillet 2019]». Car seulement quelques journaux, dits IPG, sont concernés. Or cette notion d’IPG porte sur « moins de 13 % des éditeurs de presse » (dixit le Spiil) et est « contraire à la législation européenne » (dixit la FNPS). @

Charles de Laubier

Les éditeurs n’ont plus que quatre mois pour adopter la nouvelle recette de la Cnil sur les cookies

La Cnil commencera fin mars 2021 à sanctionner les éditeurs de services en ligne qui ne se seront pas mis en conformité avec ses nouvelles règles les obligeant notamment à obtenir de manière plus stricte qu’avant le consentement des internautes avant de déposer des traceurs sur leurs terminaux.

Par Florence Chafiol, avocate associée, et Stéphanie Lapeyre, avocate, August Debouzy

Le cookie, ce petit fichier texte informatique déposé et lu sur le terminal d’un utilisateur, n’a vu le jour qu’en 1994. Si, au début de leur création, les cookies avaient une utilité limitée et méconnue du grand public, ils sont aujourd’hui au coeur de la stratégie numérique de la plupart des éditeurs de services en ligne et sources de nombreux débats. Victimes de leur succès, leur utilisation a rapidement été réglementée (1). En 2002, la directive européenne dite « ePrivacy » (2) est venue encadrer leur utilisation.

Base de la recette : informer les utilisateurs
Le consentement est alors devenu central : en principe pas de cookies sans accord préalable des utilisateurs. En France, la Commission nationale de l’informatique et des libertés (Cnil) a adopté sa première recommandation sur le sujet en 2013, afin de guider les éditeurs dans l’application de la loi et notamment dans les modalités d’obtention du consentement. Le Règlement général sur la protection des données (RGPD) ayant durci les conditions d’obtention d’un tel consentement, la Cnil a adopté le 4 juillet 2019 de nouvelles lignes directrices (3) qui sont venues abroger la recommandation de 2013. Ces lignes directrices ont été partiellement remises en cause par le Conseil d’Etat (4), et une nouvelle version a alors vu le jour le 17 septembre 2020 (5), assortie de recommandations opérationnelles (6) pour accompagner au mieux les éditeurs.
A la lecture de ces nouveaux documents adoptés par la Cnil, on note tout d’abord que l’obligation d’information préalable des utilisateurs est renforcée par rapport à 2013, même si ses modalités ne changent pas réellement : la Cnil recommande toujours une information à deux niveaux, avec un premier niveau mis en évidence lors de la connexion à la plateforme, qui contient les informations essentielles (dans la fameuse interface de recueil de consentement souvent appelée « bannière cookies ») et qui renvoie à un second niveau d’information plus complet. Cependant, les éléments devant figurer dans ces deux niveaux d’information sont largement précisés et apparaissent plus contraignants qu’auparavant. Les entreprises devront ainsi notamment s’assurer que leur bannière cookies :
Mette en exergue chaque finalité spécifique dans un intitulé court accompagné d’un bref descriptif. Un niveau de détail plus important que celui qui existe actuellement est donc requis dès le premier niveau d’information. Il ne sera dès lors plus possible, par exemple, de se contenter d’informer l’utilisateur de l’utilisation de cookies à des fins publicitaires ; il faudra préciser si ces derniers sont utilisés pour de la publicité ciblée, non-ciblée, géolocalisée, etc.
Permette à l’utilisateur d’accéder facilement à une information détaillée sur chaque finalité. L’utilisateur doit pouvoir cliquer sur un lien hypertexte « en savoir plus » ou ouvrir un menu déroulant lui donnant, pour chaque finalité, des informations plus précises sur les opérations techniques réalisées.
Permette à l’utilisateur d’accéder facilement à la liste exhaustive et à jour des responsables de traitement. Pour ce faire, la Cnil recommande d’indiquer le nombre de responsables de traitement et de renvoyer, via un lien hypertexte, vers une liste plus exhaustive (avec leur identité et un lien vers leur politique de protection des données) (7). L’éditeur devra donc être en mesure d’établir une liste de l’ensemble des organismes qui seraient susceptibles de déposer des cookies sur son site/application (cookies tiers) pour leur propre compte et devra mettre cette liste à jour régulièrement.

Ingrédient essentiel : le consentement
La « recette » reste inchangée : sans consentement, pas de cookies – sauf exceptions. Mais, à la suite de l’entrée en vigueur du RGPD le 25 mai 2018, les modalités d’obtention de ce consentement préalable ont été durcies. Pour que le consentement soit valide il faut désormais, selon la Cnil, que la bannière cookies permette à l’utilisateur :
D’exprimer son consentement à l’utilisation de cookies par un acte positif clair, comme par exemple cocher une case (non pré-cochée) ou cliquer sur un bouton « accepter ». Changement majeur donc : la simple poursuite de la navigation ne peut plus être considérée comme une expression valide du consentement.
D’accepter ou refuser le dépôt de cookies avec le même degré de simplicité, via le même écran. Alors que la Cnil réclamait initialement dans son projet de recommandation une symétrie parfaite pour les boutons accepter et refuser (même niveau, même format), elle semble avoir quelque peu assoupli sa position en envisageant également d’autres modalités de refus comme par exemple un bouton « continuer sans accepter » situé sur le même écran, mais à un autre niveau. Même si la Cnil met en garde contre les pratiques trompeuses qui mettent visuellement plus en valeur un choix plutôt qu’un autre, un tel assouplissement risque néanmoins de permettre aux éditeurs d’orienter le choix des utilisateurs en adaptant le design de l’interface.
D’exprimer son choix de manière granulaire. Si l’utilisateur peut avoir la possibilité d’accepter tous les cookies en même temps (via un bouton « tout accepter » par exemple), il doit également avoir la possibilité d’exercer son choix finalité par finalité. Un bouton « personnaliser mes choix » qui se trouverait au même niveau que le bouton « tout accepter » doit lui être proposé.

Les « cookie walls » sous surveillance
Quant à la position de la Cnil sur les « cookie walls » qui consistent à subordonner la fourniture d’un service ou l’accès à un site en ligne à l’acceptation de cookies, elle était également très attendue. D’autant qu’un arrêt du Conseil d’Etat (8) avait annulé la prohibition générale et absolue d’une telle pratique initialement souhaitée par la Cnil, satisfaisant ainsi de nombreux professionnels du numérique – notamment des médias et de la publicité. Cette pratique des « cookie walls » est mise en œuvre par de nombreux éditeurs qui espèrent conduire ainsi une majorité d’utilisateurs à donner leur consentement. Si la Cnil a assoupli sa position à la suite de l’arrêt du Conseil d’Etat, elle n’en demeure pas moins réticente car elle considère que ces cookies « accepter sinon pas d’accès » sont susceptibles de porter atteinte à la liberté du consentement. Elle tire néanmoins les conséquences de l’arrêt du Conseil d’Etat en admettant une telle pratique à condition que sa licéité soit analysée au cas par cas et que l’éditeur indique clairement à l’utilisateur qu’il ne pourra accéder au contenu souhaité sans donner son consentement. On reste malgré tout loin du blanc-seing souhaité par de nombreux acteurs du marché qui ont été à l’origine d’un lobbying actif sur ce sujet…
Les éditeurs de sites web ou d’applications mobiles doivent être en mesure de démontrer à tout moment que le consentement a été valablement recueilli (9). A cette fin, la Cnil propose plusieurs moyens : mise sous séquestre du code informatique utilisé, capture d’écran, audits réguliers, conservation des informations relatives aux outils utilisés, etc. Concernant la durée de conservation du choix de l’utilisateur, la Cnil recommande de le conserver pendant une période de six mois. Un tel délai, protecteur des intérêts des utilisateurs, s’avère cependant bien contraignant pour les éditeurs qui, par exemple, ne pourront pas ressolliciter trop rapidement un utilisateur ayant refusé le dépôt de cookies. La Cnil ne s’était d’ailleurs prononcée en 2013 que sur le délai de validité du consentement qui était alors bien plus long puisqu’il pouvait aller jusqu’à treize mois. Les éditeurs pourront néanmoins prévoir une durée différente de conservation sous réserve d’être en mesure d’en expliquer les raisons. Dans un souci toujours évident de protéger les choix des utilisateurs, la Cnil précise enfin que les utilisateurs ayant donné leur consentement à l’utilisation de traceurs doivent être en mesure de le retirer à tout moment aussi simplement qu’ils l’ont donné. Le moyen mis à disposition pour retirer leur consentement doit donc être aisément accessible sur toutes les pages du site web ou de l’application mobile, à travers un intitulé explicite et doit pouvoir être utilisé facilement. Sont donc proscrites les pratiques consistant à renvoyer l’utilisateur de page en page puis de lien en lien avant de lui permettre d’accéder au mécanisme de gestion des cookies.
En conclusion, si la recette de la Cnil n’a pas fondamentalement changé, elle s’est sans aucun doute complexifiée. La Cnil réaffirme ainsi sa volonté de protéger au mieux les données des utilisateurs – au risque d’impacter négativement de nombreux éditeurs et publicitaires, qui risquent de voir leurs taux de consentement chuter drastiquement. La Cnil tente néanmoins de faire preuve de pragmatisme en laissant aux éditeurs six mois pour se mettre en conformité et en essayant de leur fournir des conseils concrets et détaillés à travers ses recommandations. Cette mise en conformité ne doit cependant pas tarder car la Cnil a indiqué qu’elle ferait du respect des dispositions applicables aux cookies l’un de ses axes de contrôle pour 2021. Rappelons que l’autorité de la protection des données a la possibilité d’effectuer des contrôles en ligne et qu’elle avait sanctionné de cette manière de nombreuses sociétés en 2013 lors de la publication de ses précédentes lignes directrices. @

FOCUS
Des exemptions au consentement obligatoire très limitées
Comme auparavant, un certain nombre de cookies sont exemptés des obligations d’information et d’obtention du consentement. Il s’agit des cookies qui ont pour finalité exclusive de permettre ou faciliter la communication par voie électronique ou qui sont strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse des utilisateurs. La Cnil cite plusieurs exemples de cookies concernés par l’exemption comme ceux destinés à l’authentification de l’utilisateur ou ceux permettant de garder en mémoire le contenu d’un panier d’achat. Toutefois, les utilisateurs doivent être informés de l’existence de ces traceurs, par exemple dans la politique de confidentialité. Quant aux cookies de mesure d’audience (10), ils sont désormais présentés par la Cnil comme faisant partie des cookies pouvant par principe bénéficier de l’exemption (là où en 2013 ils constituaient plutôt l’exception). Mais ce cookie de mesure d’audience doit avoir pour seule finalité… la mesure de l’audience et pour le compte exclusif de l’éditeur — donc pas de transmission des données à des tiers (11).
En pratique, les offres les plus utilisées, telles que Google Analytics ou Facebook Analytics, qui réutilisent souvent les données pour leur propre compte, ne pourront probablement pas bénéficier de l’exemption sauf à proposer des paramétrages de leurs outils spécifiques. @

En novembre : Apple TV+, Disney+ et Google Stadia

En fait. Le 1er novembre, c’est le lancement de la plateforme vidéo Apple TV+. Le 12 novembre, c’est au tour du service de streaming vidéo Disney+ d’ouvrir. Le 19 novembre, c’est cette fois la plateforme de jeux vidéo en streaming Google Stadia qui part à la conquête des internautes. Et ce n’est pas fini.

En clair. Jamais un mois de novembre n’aura vu débouler coup sur coup trois grandes plateformes numériques, portées chacune par un géant du Net aux ambitions à la démesure de leur puissance de feu financière. Apple, Disney et Google vont chacun leur tour – respectivement le 1er, le 12 et le 19 novembre – dégainer leur plateforme de streaming d’envergure mondiale. Qu’elles soient dédiées à la vidéo à la demande (Apple TV+ et Disney+) ou aux jeux vidéo en streaming (Google Stadia), ces trois services de contenus premium intensifient la « plateformisation » de l’Internet sous l’impulsion des industries culturelles résolument tournées vers l’audiovisuel en ligne. Mais ces nouveaux écosystèmes sont d’autant moins des pionniers qu’ils débarquent tardivement. Apple TV+ et Disney+ sont lancés sur des marchés – les Etats-Unis en premier – dominés par un Netflix fort de ses 158 millions d’abonnés dans le monde, lui-même suivi par Amazon Prime Video (1) et ses plus de 100 millions d’abonnés, sans oublier Hulu et YouTube parmi les autres concurrents. De son côté, Google Stadia s’attaque aux positions historiques bien établies des géants Sony et Microsoft avec leurs consoles de jeux – respectivement PlayStation et la Xbox. La guerre des plateformes va ainsi s’intensifier sur un marché mondial déjà hyper-concurrentiel, comme l’illustre la bataille tarifaire déjà bien engagée : Apple TV+ sera disponible dans plus de 100 pays à 4,99 dollars/euros par mois (mais avec un catalogue de productions originales moins étoffé) ; Disney+ a fixé son prix mensuel à 6,99 dollars/euros (avec la richesse d’un catalogue légendaire, Pixar et Star Wars compris) ; Google Stadia proposera, après l’offre de pré-commande (2), un tarif « pro » à 9,99 dollars/euros par mois (avec un catalogue d’une trentaine de jeux dans un premier temps), puis l’an prochain une offre « basique » à un prix moins élevé (inconnu à ce jour). Les tarifs d’Apple TV+ et de Disney+ se veulent compétitifs par rapport aux 12,99 dollars/euros par mois de Netflix qui a augmenté petit à petit ses prix (contre 7,99 dollars/euros en 2010). Google Stadia fait face aux plateformes PlayStation Now de Sony, dont l’abonnement vient d’être réduit de moitié à 9,99 dollars/euros, et Xbox Game Pass de Microsoft (9,99 dollars/euros par mois). Cette plateformisation est aussi la bataille du temps disponible des internautes. @