Bannières cookies : la CNIL met en demeure AliExpress, Darty, Ouest-France, OVHcloud, SFR…

Alors, je veux bien plus d'info là dessus. J'ai rarement entendu ce discours, mais ce n'est pas la première fois et j'aimerais bien approfondir le sujet.

Sauf erreur, les histoires de cookie et de consentement sont régis principalement par 2 textes européens : le RGPD et le e-privacy.

La guide mis à disposition de la CNIL permet une collecte de données anonymisées (et non pas pseudonymisées). Autrement dit, les données dans le cas présent, ne sont pas à caractère personnel et le RGPD n'est donc pas opposable.

Il ne reste donc que la directive e-privacy. Notamment, l'article 5 paragraphe 3 :

3. Les États membres garantissent que l'utilisation des réseaux de communications électroniques en vue de stocker des informations ou d'accéder à des informations stockées dans l'équipement terminal d'un abonné ou d'un utilisateur ne soit permise qu'à condition que l'abonné ou l'utilisateur, soit muni, dans le respect de la directive 95/46/CE, d'une information claire et complète, entre autres sur les finalités du traitement, et que l'abonné ou l'utilisateur ait le droit de refuser un tel traitement par le responsable du traitement des données. Cette disposition ne fait pas obstacle à un stockage ou à un accès techniques visant exclusivement à effectuer ou à faciliter la transmission d'une communication par la voie d'un réseau de communications électroniques, ou strictement nécessaires à la fourniture d'un service de la société de l'information expressément demandé par l'abonné ou l'utilisateur.

Alors c'est peut être moi qui fait une erreur d'interprétation (et dans ce cas, ce qui me rassure, c'est de ne pas être le seul ^^), mais les textes européens n'interdisent pas cela.

Est-ce que le problème serait dans la retranscription dans le droit national de chaque pays ? Mais en théorie, les marges d'adaptations sont quand même assez limitées et j'ai du mal à voir comment finalement on pourrait n'avoir une solution valable qu'en France...

Correction. Une phase d’anonymisation est DÉJÀ un traitement de DCP en soit, et est donc soumis au RGPD. Il ne doit donc y avoir AUCUNE collecte de DCP en réalité, ce qui est… techniquement totalement impossible.

On est d'accord. Et dès qu'on a un serveur web, on fait forcément un traitement de DCP. Mais les traitements ultérieurs basés uniquement sur des données anonymisées (des stats par exemple) eux ne le sont pas.

Pour la partie ePrivacy, ça ne couvre que les cookies d’authentification et de load balancing, la CNIL a la même exception à ce niveau. Mais l’a étendu en dépassant justement le « strictement nécessaire à la fourniture du service » pour coller de la mesure d’audience aussi là-dedans, ce qu’elle est globalement la seule à faire.

C'est ici que j'ai un peu plus de mal. La directive ePrivacy (le texte) ne fait pas référence explicitement aux cookies d'authentification et de load balancing. C'est ce qui a été déduit des textes, à partir des tournures juridiques (et pour lesquels il y a plutôt consensus). Cela ne signifie pas que ce sont les seuls pour autant. Un cookie pour de l'A/B testing par exemple pourrait être considéré comme visant à faciliter la communication.

Je suis d'accord que c'est beaucoup plus sujet à interprétation que les cookies d'authentification ou de load-balancing. Mais je n'arrive pas pour autant à trouver de texte qui montre que la position de la CNIL serait manifestement illégale vis-à-vis du droits de l'UE.

Merci pour ces éléments.

Le côté A/B testing n'apparait pas dans l'exemple que tu donnes. Après, c'est peut être le fond de l'affaire derrière ce cookie non nécessaire qui est à l'oeuvre dans la sanction. Mais c'était juste par l'Espagne, pas par le CEPD (enfin dans l'exemple).

Pour le 2e, le CEPD précise qu'en général, l'intérêt légitime ne peut être évoqué pour ce genre de situation. Et ça fait d'ailleurs des années qu'elle a dit cela. Mais cela ne concerne que des DCP, pas des données anonymisées. Du coup, je suppose que cela dépend de ce que l'on prend comme point de départ d'un traitement.

Mais je n'arrive pas pour autant à y voir le caractère manifestement illégal des "exceptions françaises".

Merci. J'avoue qu'étant plus du côté opérationnel, j'ai surtout potassé les 50 premiers articles du RGPD. Les 49 autres concernant plus les autorités de contrôles et leur coopération, je les ai moins étudiés.

Néanmoins, je suis en désaccord avec ton interprétation. Il y a effectivement des mécanismes pour assurer la cohérence dans les décisions (et c'est plutôt une bonne chose). Les autorités de contrôles doivent communiquer entre elles.

Cependant, en cas de désaccord entre autorités de contrôle, le "litige" est résolu par le comité. Sauf à ce que le litige en question ait déjà été débattu et tranché, on se retrouve potentiellement devant un manque de cohérence, mais pas une illégalité manifeste. Pourquoi est-ce que ce serait la position de l'Espagne la bonne ?

Je ne comprends pas ton argumentation. Admettons que la France est effectivement seule à faire cette interprétation. Tu es en train de m'expliquer que sa position est "manifestement illicite" parce qu'elle est la seule à penser ça ? J'ose espérer que j'ai mal compris...

De même, qu'est-ce que cela apporte au débat le fait que la CNIL se soit faite remonter les bretelles dans un cas particulier (qui n'a pas grand chose à voir avec la discussion de fond en plus, le désaccord portant sur le montant d'une amende dans le cadre de manquements au droit d'opposition) ? Je ne porte pas spécialement la CNIL en haute estime, mais ici, j'ai juste l'impression que cette argument est là seulement pour la dénigrer, et non pas pour apporter un élément pertinent :/

[edit] J'apprécie que tu prennes le temps de me répondre. J'essaie juste d'approfondir pour comprendre le "manifestement illicite", qui est tout, sauf "manifeste" à mes yeux...