Archives par mot-clé : Données personnelles

Comment Facebook a inventé la propriété des données personnelles qui n’existe pas encore !

Publié le par

Acheté il y a tout juste 10 ans pour 200.000 dollars, Facebook.com pèse aujourd’hui 212 milliards de dollars en Bourse. Grâce au « don » – gracieux –
que lui accordent ses 1,4 milliard d’« ami(e)s », le réseau social a empoché
12,46 milliards de dollars l’an dernier. Mais il y a un vrai « déséquilibre ».

C’est en août 2005 que Mark Zuckerberg (photo)
et ses coéquipiers ont acheté le nom de domaine
« facebook.com », qui fut créé huit ans auparavant
et qui remplacera « thefacebook.com » d’origine.
Dix ans plus tard, la firme de Palo Alto est un géant du
Net – le « F » de GAFA – avec 3 milliards de dollars de bénéfice net l’an dernier (1). Pourtant, le réseau social
– aux 1,4 milliard d’utilisateurs dans le monde – est gratuit mais il brasse des milliards grâce aux recettes publicitaires.

Déséquilibre flagrant en faveur de Facebook
Or chacun a fait « don » de ses données personnelles, sans contrepartie financière mais seulement en échange de l’utilisation gratuite de cet outil. Pour certains juristes,
il y a là un déséquilibre qui ne pourra pas durer. « Facebook déclare qu’il est propriétaire de l’ensemble des données – à la fois dans sa valorisation boursière et dans sa valorisation contractuelle. Il y a bien une monétarisation qui n’est plus basée sur le don mais bien sur l’échange de valeurs. Cette rupture entre cette logique du don est un système biface sur le plan économique : une face en don et une face en échange. Le système est en train de se déséquilibrer », affirme Alain Bensoussan, avocat et président de la société éponyme (2). Ardent défenseur de l’idée de propriété des données à caractère personnel, il dénonce ce déséquilibre et considère Facebook comme emblématique. « Il n’y a de capacité d’exister dans une démocratie que s’il y
a une propriété. Or, si quelqu’un fait de la valeur avec mes données, et surtout mes données évoluant dans le temps, cette valeur-là ne peut pas être asymétrique en droit. Il va bien falloir, à un moment donné, passer de la logique du don à la logique de l’échange », a-t-il plaidé le 19 novembre dernier, lors d’un séminaire au DigiWorld Summit de l’Idate. Or, fait-il remarquer, la propriété des données personnelles n’existe nulle part dans le monde, alors que tout le monde dit : « Ce sont mes données, mes informations ». Il y a un possessif énorme (« mes coordonnées », « mon nom », « mon adresse », « ma signature », …) et pourtant ce « droit naturel » n’existe pas. Pas plus qu’il existe de protections juridiques des données personnelles telles que les brevets pour les inventions ou de droit d’auteur pour les contenus. Mais il y a bien un débat qui commence 2008 avec le réseau social de Mark Zuckerberg : « Le premier à donner des droits universels [sur nos données personnelles] et à les reconnaître, c’est Facebook ! Les Etats dans le monde ne les ayant alors pas encore mis en place. Pourquoi Facebook fait-il cela ? Tout simplement pour créer de la confiance dans l’utilisateur, lequel pense qu’il a un droit de reprise – alors qu’il n’a aucun droit de reprise – et qu’il
a un droit d’accès – alors qu’il a faiblement des droits d’accès. Facebook a créé les éléments d’une création d’un “juris-système”, parce que ce droit-là est parfaitement opérationnel », a expliqué Alain Bensoussan. Les 1,4 milliard de personnes ont
accepté l’économie du don : « Je te donne mes données qui m’appartiennent et,
en contrepartie, tu me prêtes tes services ». L’économie numérique commence par cette économie du don, laquelle apparaît aujourd’hui asymétrique et déséquilibrée.
Or, l’avocat, fait remarquer que « dans le contrat mondial de Facebook, il y a un article 1 qui stipule : “Vous restez propriétaire de vos données et Facebook n’a qu’une licence gratuite et non exclusive” ». En conséquence : « En vous accordant une licence à vos données, Facebook reconnaît implicitement que vous êtes propriétaire d’une propriété qui n’existe pas légalement ! ». Google, YouTube, Twitter, LindedIn, Instagram et les autres réseaux sociaux ont copié à leur tour Facebook. Tous reconnaissent le droit universel de chacun d’entre nous à être propriétaire de ses données, sachant qu’il n’y aucun Etat régalien qui le reconnaisse encore… Certains disent qu’il est impossible d’être propriétaire des données personnelle parce que ce sont des éléments qui tiennent à la qualité de l’homme : un droit de la personnalité, oui ; un droit de propriété, non. On ne vend pas ses organes ; on ne peut pas vendre ses données.

Vers un droit à la maîtrise de ses données
Pour Alain Bensoussan, il y a là un paradoxe d’analyse : « Je défends l’idée que
l’on est chacun propriétaire de ses données à caractère personnel, et que les droits naturels naissent avant les droits légaux. C’est un problème de droits de l’homme numérique ». La question est posée, même si le Conseil d’Etat – dans son rapport
« Le numérique et les droits fondamentaux » de septembre 2014 – recommande de
ne pas aller vers le droit à la propriété des données personnelles, lui préférant « un droit à l’autodétermination » (3). Or cela pourrait être un premier pas vers l’extension
de la propriété – consacrée en 1789 – aux données personnelles. Ce serait alors une révolution ! @

Charles de Laubier

Comment Google limite le droit à l’oubli en Europe

Publié le par

En fait. Le 6 février dernier, le conseil consultatif auprès de Google sur le droit
à l’oubli – où l’on retrouve parmi les huit experts Sylvie Kauffmann, directrice éditoriale du quotidien Le Monde, et Jimmy Wales, fondateur et président de Wikimedia Foundation – a publié son rapport sur le droit à l’oubli.

En clair. Le comité d’experts mis en place l’an dernier par Google (1) veut limiter les effets de l’arrêt du 13 mai 2014 de la Cour de justice de l’Union européenne (CJUE)
qui oblige les plateformes du Net – dont les moteurs de recherche – à déréférencer
les données personnelles des candidats à l’oubli. Dans leur rapport, les huit experts préconisent que Google supprime de son moteur de recherche uniquement les informations se situant sur ses sites européens – « google.fr », « google.de »,
« google.es », … – mais pas sur les autres tels que « google.com ». « La pratique générale en Europe est d’orienter les utilisateurs – tapant www.google.com sur leur navigateur – automatiquement vers une version locale du moteur de recherche. Google nous a dit que plus de 95 % de toutes les requêtes provenant d’Europe sont faites sur les versions locales », a expliqué le conseil consultatif.
Ce qui va à l’encontre des dispositions d’envergure mondiale prononcées par la CJUE
il y a neuf mois maintenant. Ces recommandations profitent des imprécisions de la directive européenne de 1995 sur « la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données » (2) quant à la responsabilité de celui chargé du traitement d’assurer et du respect entourant les données à caractère personnel (article 6 de la directive). Le comité d’experts a en outre identifié quatre critères pour supprimer – ou pas – les données : vie publique du demandeur, nature de l’information, la source, le temps au sens de
la date.
Pour l’heure, la firme de Mountain View se plie partiellement aux injonctions de la CJUE en accédant à une partie seulement des demandes de suppression qui lui sont faites.
A fin 2014, plus de 170.000 demandes ont déjà été soumises à Google en Europe,
dont environ 30 % provenant de France – le premier pays en nombre. Mais le géant du Web oppose en effet une fin de non-recevoir à plus de la moitié d’entre elles. Ce qui lui a valu une première condamnation le 19 décembre dernier, par le tribunal de grande instance de Paris, à retirer les liens concernant une plaignante. C’est que les demandes affluent depuis que Google a mis en ligne son formulaire (3) pour permettre à ceux qui le souhaitent d’exercer leur droit à supprimer des résultats de recherche leur nom et autres données personnelles. @

Cookies : le consentement préalable inquiète Nick Leeder, le DG de Google France

Publié le par

En fait. Le 28 octobre, Nick Leeder, DG de Google France, était parmi les invités de l’Association des journalistes économiques et financiers (AJEF). EM@ en a profité pour lui demander si le projet européen de « consentement préalable obligatoire » pour les cookies l’inquiétait pour l’avenir de la pub en ligne.

Nick LeederEn clair. « C’est une bonne question. Cela peut impacter le business de Google, mais cela va nous toucher beaucoup moins que bien d’autres acteurs », nous a répondu Nick Leeder (photo), le DG de Google France depuis avril 2013.
« Je pense que cela ne va pas vraiment impacter l’activité de moteur de recherche de Google, le search. Mais cela peut toucher beaucoup plus les autres, par exemple les sites web de journaux qui utilisent les cookies pour mieux améliorer leur niveau de monétisation : tout ce qui est publicité display [bannières notamment, ndlr] peut être très impacté », a-t-il prévenu.

Europe : opt-in obligatoire en vue avant tout cookie publicitaire
La nouvelle Commission européenne, installée depuis le 1er novembre dernier, doit en effet adopter d’ici l’an prochain (1) le projet de règlement sur la protection des données présenté en janvier 2012 par Viviane Reding (2).
C’est la Tchèque Véra Jourová, commissaire en charge de la Justice, des Consommateurs et de l’Egalité des genres, qui hérite de la réforme. Il est notamment prévu d’obliger les sites web à obtenir le « consentement préalable » (opt-in) des internautes et mobinautes avant de déposer des cookies publicitaires. Pour l’heure,
les éditeurs se contentent d’avertir l’utilisateur avant le dépôt de « mouchards »
(s’il poursuit sa navigation sur le site web visité) – ce que vérifie la Cnil depuis octobre en France (lire EM@100, p. 8). Pour le patron de Google France, « il faut faire très attention car il y a un écosystème très large de sites web qui vivent grâce à ces publicités en ligne ». Et Nick Leeder de mettre en garde : « Si l’on rend le niveau de monétisation plus faible, cela peut être une mauvaise politique. Il faut donc trouver le bon équilibre ». D’après l’Irep et France Pub, le marché français de la publicité Internet (display, search et emailing) pesera 1,8 milliard d’euros cette année. Le consentement préalable obligatoire va-t-il tuer la poule aux oeufs d’or ? « La régulation, c’est facile. Mais on peut tuer l’innovation dans l’œuf », a-t-il dit.

Plus généralement sur la réglementation européenne sur la protection des données personnelles et le droit à l’oubli, il prévient : « C’est un sujet très sensible pour Google, parce que c’est pour nous une question de vie ou de mort si nous perdons la confiance des utilisateurs. Il faut vraiment trouver le bon équilibre. Cela nous amène à donner encore plus de contrôle aux consommateurs sur ses données, comme le Google Dashboard (3) ». @

Open Source, Creative Commons et Open Data : le partage numérique comme modèle économique

Publié le par

Après les logiciels libres en Open Source et les œuvres partagées Creative Commons, qui permettent aux internautes de disposer d’un droit de reproduction, de représentation et de modification de « l’oeuvre »,
une nouvelle étape de « liberté » numérique est franchie avec l’Open Data.

Par Christiane Féral-Schuhl*, avocate associée, cabinet Féral-Schuhl/Sainte-Marie

Le concept de partage, d’inspiration mutualiste et communautaire, n’est pas nouveau. Nous connaissions déjà les logiciels libres et les Creative Commons qui reposent sur un mécanisme simple : il s’agit, pour le titulaire des droits d’auteur, d’autoriser la libre circulation
du logiciel ou de l’oeuvre numérique, en imposant sa plus large diffusion. Ce dispositif, dénommé copyleft, inverse la finalité du copyright : celui-ci ne doit pas permettre la réservation privative
de l’oeuvre mais vise à interdire son appropriation par autrui de manière à assurer
le partage de l’oeuvre et son évolution.

Des logiciels et œuvres culturelles…
Avec l’Open Data, il s’agit de mettre en commun des biens informationnels, de partager des données privées ou publiques pour favoriser l’enrichissement collectif par l’échange et contribuer ainsi à la création de valeur économique.
C’est dans les années 1985 que le logiciel libre (free software) a fait son apparition. Dans la traduction littérale du terme free, il y a en fait deux notions : « gratuit » et
« libre ». Si les logiciels libres sont souvent gratuits (1), leur caractéristique principale réside avant tout dans une liberté « encadrée » et dans leur caractère évolutif et dynamique. Chaque utilisateur bénéficie d’un droit de libre intervention sur le code source du logiciel libre, à condition que la rediffusion du logiciel, adaptée ou non, soit libre (mais pas nécessairement gratuite). Cette règle posée, l’encadrement est multiforme et a pu s’exprimer à travers plusieurs modèles de licences, principalement
la licence Open Source dite GPL (2) qui s’est imposée comme le modèle de licence de référence dans le monde (3).
A compter des années 2000, les Creative Commons – des oeuvres créées simultanément, grâce à Internet, par plusieurs auteurs, localisés dans des lieux géographiques différents – se sont à leur tour inspirées de la même philosophie. Cette collaboration créative en ligne a été largement encouragée, notamment par des initiatives du type V2V (video-tovideo, en allusion directe au P2P) ou encore par les incitations faites pour que les webmestres diffusent via leurs sites des liens permettant de télécharger librement des fichiers vidéo. De même, Creative Commons (4) a fait développer une application web destinée précisément à permettre aux moteurs de recherche d’identifier automatiquement les oeuvres du domaine public. Un artiste peut ainsi accéder à des effets sonores ou visuels pour les exploiter licitement. Dans cet objectif de partage et d’enrichissement des « créations » (les Commons), il est prévu que l’internaute dispose d’un droit de reproduction, de représentation et de modification dans les termes de la licence Creative Commons.
Une nouvelle étape a été franchie avec l’Open Data (5). C’est aux Etats-Unis que le phénomène des « données ouvertes » a pris tout son essor, avec la signature en 2008 du mémorandum « Transparency and Open Government » (6). Barack Obama déclarait ainsi vouloir « renforcer la démocratie et promouvoir son efficacité et son effectivité
au sein du gouvernement » en plaçant la confiance publique sous le signe de la
« transparence, la participation du public et la collaboration ».

…aux données publiques et privées
Si la loi française du 17 juillet 1978 (7) dite « d’accès à l’information » consacrait déjà au citoyen un droit d’accès aux documents administratifs, c’est seulement en 2005 que la politique d’ouverture et de partage de ces données a été précisée (8), dans le cadre des textes de transposition de la directive européenne du 17 novembre 2003 qui fixait un ensemble minimal de règles concernant la réutilisation et la valorisation des informations de source étatique (9). Sa mise en oeuvre a ensuite été confiée, sous l’autorité du Premier ministre, au service Etalab, dans les conditions du décret du
21 février 2011 (10) avec pour mission de créer « un portail unique interministériel ».

Ce portail Internet – Data.gouv.fr, inauguré le 18 décembre 2013 – est destiné à
« rassembler et à mettre à disposition librement l’ensemble des informations publiques de l’Etat, de ses établissements publics administratifs et, si elles le souhaitent, des collectivités territoriales et des personnes de droit public ou de droit privé chargées d’une mission de service public ».

Pas de propriété intellectuelle
La licence ouverte Etalab (11), rendue publique en novembre 2011, encadrait les conditions de réutilisation de ces informations. On y retrouve, à l’instar de toutes les licences libres, une grande liberté pour le « ré-utilisateur » qui bénéficie d’un droit
« personnel, non exclusif et gratuit, de réutilisation de l’information (…) dans le monde entier et pour une durée illimitée ». A cet effet, il est autorisé à reproduire, copier, publier et transmettre l’information ; diffuser et redistribuer l’information ; adapter, modifier, extraire et transformer l’information, notamment pour en créer des
« informations dérivées » ; exploiter l’information à titre commercial, par exemple en
la combinant avec d’autres informations, ou en l’incluant dans son propre produit ou application. L’utilisateur bénéficie de quelques garanties. Par exemple, il est prévu que cette information « ne contient pas de droits de propriété intellectuelle appartenant à des tiers » et que dans l’éventualité où celui-ci en détiendrait, il les cèderait alors « de façon non exclusive, à titre gracieux, pour le monde entier et pour toute la durée des droits ». Cependant, la mise à disposition de l’information se fait « telle que produite
ou reçue par le producteur, sans autre garantie expresse ou tacite » ou encore sans que le producteur ne puisse assurer l’absence de défauts ou d’irrégularités éventuellement contenues dans celle-ci, ou « être tenu pour responsable de toute perte, préjudice ou dommage de quelque sorte causé à des tiers du fait de sa réutilisation ». De même, la mention de paternité – qui est obligatoire et doit préciser
la source de l’information et la date de sa dernière mise à jour (12) – « ne doit ni conférer un caractère officiel à la réutilisation de l’information, ni suggérer une quelconque reconnaissance ou caution par le producteur (de celle-ci), ou par toute autre entité publique, du ré-utilisateur ou de sa réutilisation ».
Enfin, si cette licence ouverte a vocation à être la même pour toutes les administrations, elle doit néanmoins « s’inscrire dans un contexte international en étant compatible avec les standards des licences open data développées à l’étranger et notamment celles du gouvernement britannique (…) ainsi que les autres standards internationaux (13) ». Ceci fait de la licence ouverte un cadre juridique compatible avec de nombreuses autres licences libres. Ainsi, certaines villes comme Paris (14) ou Nantes (15), ont pu choisir d’ajouter une clause dite « share-alike » propre à l’Open Database Licence (ODBL), qui permet de copier, modifier et faire un usage commercial d’une base de données à condition que l’auteur de la base de données originale soit toujours mentionné et que toute base de données dérivée soit mise à disposition sous les mêmes conditions que la première.

Notons que d’autres licences existent, telles que la licence Open Data Common-by (16), proche de la licence ouverte Etalab (en ce qu’elle permet toute utilisation de la base de donnée tant que la paternité est indiquée), ou encore la Creative Commons Zero (CC0), choisie pour le portail Open Data de la région italienne du Piémont (17) (*) (**), qui tend à se rapprocher du domaine public. puisqu’elle autorise toute personne
à réutiliser librement les travaux, à les améliorer et les modifier sans restriction, sauf celles imposées par la loi. L’Agence du patrimoine immatériel de l’Etat (APIE) a également proposé, en juillet 2011, après concertation avec les principaux producteurs de données publiques, deux modèles de licences types de réutilisation de données publiques. Si elles ont toutes deux pour objectif d’harmoniser et de faciliter les relations entre l’administration et les ré-utilisateurs, elles ont vocation à s’appliquer dans deux situations différentes :
• « Licence de réutilisation d’informations publiques délivrée en application de la loi du 17 juillet 1978 et prévoyant une”livraison unique des informations” vise à encadrer le cas d’une livraison unique d’informations au ré-utilisateur, ou si leurs mises à jour peuvent être téléchargées directement sur un site Internet sans formalité particulière ». • « Licence de réutilisation d’informations publiques délivrée en application de la loi du 17 juillet 1978 et prévoyant une “livraison successive des informations “ permet quant à elle d’organiser les modalités de livraisons successives des informations publiques et de leurs mises à jour par l’administration publique. Cette licence s’avère particulièrement utile pour les bases de données ».

L’Open Data s’étend au privé
L’Open Data s’étend désormais également aux données du secteur privé. Ainsi une entreprise peut-elle décider d’« ouvrir » ses données, les rendre accessibles à des tiers, à des clients, à ses prestataires, ou encore de réutiliser des données « ouvertes » par d’autres, par exemple par de partenaires, voire des concurrents. @

* Christiane Féral-Schuhl, ancien bâtonnier du Barreau de Paris.

Cookies : après la concertation, la Cnil veille maintenant au respect de ses recommandations

Publié le par

La Cnil, qui a récemment reçu les professionnels et les éditeurs de services en ligne sur le bon usage des cookies, a prévenu qu’elle allait redoubler de vigilance ces prochaines semaines pour s’assurer du bon respect de ses recommandations et de l’accord préalable de chaque internaute.

Par Etienne Drouard, avocat associé, cabinet K&L Gates LLP

Etienne DrouardLa Cnil (1) a publié en décembre 2013 une série de recommandations assorties d’observations et de fiches pratiques sur la régulation française des fichiers cookies et autres traceurs. Ces fichiers, enregistrés dans le terminal d’un utilisateur lors de
la visite d’une page les contenant, sont au cœur de la mesure d’audience, de la publicité interactive et comportementale ainsi que du commerce électronique.

De la concertation à la réglementation précise
Ces cookies permettent de mesurer l’audience des services, d’identifier un terminal
lors de diverses connexions successives, de constituer un panier de commande, etc.
Ils fondent de nombreux modèles économiques et contribuent à la performance économique et éditoriale des services en ligne.
La publication par la Cnil de ces divers documents d’interprétation est intervenue près de deux ans et demi après la modification par voie d’ordonnance (2) de l’article 32.II
de la loi Informatique & Libertés de 1978, lui-même issu de l’article 5§3 de la directive européenne Vie privée et communications électroniques de 2002 modifiée en 2009 (7).

Les acteurs français de la publicité sur Internet s’étaient très tôt dotés de lignes directrices sur l’application de la réglementation européenne, tout d’abord par l’élaboration d’une charte « Publicité ciblée et protection des utilisateurs » signée le
30 septembre 2010 sous l’égide de l’Union française du marketing direct & digital (UFMD) (8). Ensuite, par l’adoption sous l’égide de l’UFMD en avril 2012, d’un « Guide de bonnes pratiques sur l’utilisation des cookies publicitaires », fournissant des recommandations pratiques sur les modalités d’application de l’article 32.II. La Cnil avait, en mai 2012, invité l’UFMD à participer à des travaux d’échanges et de concertation destiné à réduire les écarts d’interprétation qui s’étaient creusés entre l’analyse des associations professionnelles et la doctrine stricte exprimée par la Cnil
et ses homologues depuis 2010, exigeant un consentement explicite, préalable et discrétionnaire des internautes à l’utilisation des cookies à des fins publicitaire et d’analyse comportementale (9). Cette concertation s’est déroulée entre les mois de
juin 2012 et novembre 2013. Elle a conduit la Cnil à adopter des recommandations concrètes synthétisant les points essentiels de consensus dégagés avec les associations professionnelles concernées. L’article 32.II prévoit que le dépôt de cookies et l’accès à des informations stockées dans le terminal, ne peuvent avoir lieu « qu’à condition que l’abonné ou la personne utilisatrice ait exprimé son accord », après avoir reçu des informations prévues par la loi (10). Cet article ne détermine pas de manière précise les modalités d’accord. Le législateur a donc ouvert à toutes les solutions et évolutions technologiques les modalités d’expression des choix des utilisateurs, à condition que ces derniers en conservent la maîtrise.

Poursuivre sa navigation vaut accord
• Etape 1 : un bandeau d’information immédiatement visible lors d’une première visite.
La CNIL requiert l’affichage d’un bandeau informant l’internaute : des finalités des cookies présents sur le service visité, du fait que la poursuite de la navigation vaudra accord à l’enregistrement de cookies, qu’il dispose de moyens lui permettant de refuser les cookies. La notion de « service visité » correspond à une même URL principale. La formule préconisée par la Cnil et qui peut être adaptée selon l’ergonomie des écrans des terminaux et les finalités d’utilisation des cookies, est la suivante : « En poursuivant votre navigation, vous acceptez l’utilisation de cookies pour vous proposer des services et offres adaptés à vos centres d’intérêts et mesurer la fréquentation de nos services. Pour en savoir plus et paramétrer les cookies… (11) ». Le bandeau peut n’apparaître que lors de la première visite du service, mais il doit être distinct du contenu du service visité et être visible immédiatement, sans action de l’utilisateur, c’est-àdire sans avoir à « scroller » une page ni à effectuer aucune action lors de la première visite.
• Etape 2 : un lien cliquable depuis le bandeau d’information. Le bandeau d’information doit comporter un lien cliquable permettant à l’internaute d’exprimer ses choix à travers les paramètres de son navigateur ou d’un mécanisme de choix sur les finalités de cookies acceptés ou refusés par l’internaute (12). Le lien figurant au sein du bandeau d’information doit permettre à l’internaute, avant de poursuivre sa navigation, de consulter une seconde étape d’information décrivant : les finalités détaillées d’utilisation des cookies, les cookies utilisés pour des opérations de publicité ciblée, les cookies permettant d’identifier un utilisateur de réseaux sociaux avec un bouton de « partage », les cookies de mesure individualisée de l’audience mais pas tous (voir plus loin).

Tous les cookies ne sont pas concernés
Qui doit informer l’internaute ? Chaque émetteur de cookie : il s’agit, au premier chef,
de l’éditeur du service visité, qui doit informer les personnes des finalités des cookies présents sur le service visité, émis par ledit éditeur ou par des tiers, ainsi que des
moyens d’opposition pour les cookies « non nécessaires » au service. Il s’agit également des acteurs suivants (13) : la régie publicitaire, les adservers et membres de réseaux d’adexchange, les agences media, les annonceurs, les éditeurs de réseaux sociaux, les fournisseurs de solutions de mesure d’audience, etc.
Quant au « timing » de dépose des cookies, il est soumis à « l’accord » de l’internaute.
S’il poursuit sa navigation, l’internaute est réputé accepter les cookies et le bandeau d’information peut alors disparaître. A contrario, la dépose/lecture des cookies soumis
à l’accord de l’internaute est subordonnée à la poursuite de sa navigation, laquelle consiste en une action positive de navigation : clic, accès à une page secondaire, scroll, etc. En conséquence, l’inaction totale de l’internaute n’est pas un élément de poursuite de sa navigation (14). Cependant, certains cookies ne sont pas soumis à l’accord ou à la navigation active de l’internaute. Selon les recommandations de la Cnil, les cookies
qui n’ont pas à être acceptés, refusés ou retardés jusqu’à un acte de navigation de l’internaute, sont les suivants :
• Les cookies nécessaires au fonctionnement du service souhaité. Il s’agit des cookies de gestion d’un panier d’achat et d’authentification mémorisant les droits d’accès d’un utilisateur. Il s’agit également des cookies persistants d’adaptation d’un service aux spécificités d’un terminal (langue, système d’exploitation).
• Les cookies de mesure d’audience en vue d’établir des statistiques et dont la durée de validité est limitée dans le temps.
• Les cookies « de session », qui peuvent inclure ceux créés par un lecteur multimédia ou pour l’équilibrage de charge du service visité.
• Les cookies persistants, limités à quelques heures. Ces divers types de cookies peuvent donc être déposés lors du chargement de la page visitée, sans attendre la poursuite de la navigation et sans besoin du bandeau d’information. Mais des difficultés d’application et des questions ont été laissées en suspens par la Cnil.

Les éditeurs, dont les services en ligne contiennent des cookies qu’ils émettent eux-mêmes ou que des tiers ont émis, doivent interroger ces tiers sur les finalités des cookies déposés par ces derniers, afin de pouvoir en informer les internautes. Pour ce faire, les éditeurs doivent donc identifier, analyser et décrire les cookies présents sur leurs propres pages, afin de déterminer s’ils sont ou ne sont pas soumis à l’exigence
de l’accord de l’internaute. De cette analyse dépend la faculté pour l’éditeur de gérer
le moment de dépose de chaque cookie et, le cas échéant, de retarder la dépose
des cookies soumis à l’accord de l’internaute à un acte de navigation de ce dernier.
Or les éditeurs de services ne sont pas toujours en mesure de paramétrer le moment de dépose des cookies émis par des tiers sur les pages de leurs services, ne serait-ce que pour les cookies rattachés à l’utilisation des réseaux sociaux. De surcroît, les éditeurs peuvent ne pas être en mesure de retarder le dépôt des cookies qu’ils émettent et qui sont soumis à l’accord de l’internaute ou à sa navigation active au sein de leurs services.
Sur ce point, les éditeurs de services et les acteurs de l’écosystème de la mesure d’audience et de la publicité doivent évaluer non seulement leur capacité à se conformer aux recommandations de la Cnil sur le « timing » de dépose des cookies, mais surtout le risque résiduel (perte de chiffre d’affaires notamment) résultant de leur incapacité à s’y conformer parfaitement (ou de leur décision de ne pas s’y conformer). La Cnil sera, à n’en pas douter, vigilante dans les semaines qui viennent et ne manquera pas de rappeler des acteurs au meilleur respect de ses recommandations, lesquelles, certes, n’ont pas de portée juridique obligatoire.

Les sanctions possibles de la Cnil
Néanmoins, ces recommandations synthétisent la doctrine de la Cnil et aucun acteur économique ne saurait prendre sereinement le risque médiatique de faire les frais d’une critique publique de cette autorité administrative indépendante – voire d’une amende pour une contravention de la 5e classe (15). L’esprit de concertation dans lequel la Cnil s’était engagée a conduit à des aménagements qui fonctionnent et permettent une bien meilleure information des personnes, à charge pour elles de faire leurs choix. Espérons que cet esprit de concertation perdurera. @

Etienne Drouard a coordonné pour l’UFMD les concertations avec la Cnil. Il est, par ailleurs, président de la commission « Enjeux réglementaires » du Geste (Groupement des éditeurs de services en ligne), lequel publiera le 30 avril 2014 son « livre blanc » de recommandations sur les cookies.