Cookies : solutions pour les outils de mesure d'audience

Dans quels cas les cookies sont-ils exemptés de consentement ?

Afin de se limiter à ce qui est strictement nécessaire à la fourniture du service et être ainsi exemptés de consentement conformément à l’article 82 de la loi Informatique et Libertés, ces traceurs doivent :

• être utilisés pour une finalité strictement limitée à la seule mesure de l’audience du site ou de l’application (mesure des performances, détection de problèmes de navigation, optimisation des performances techniques ou de son ergonomie, estimation de la puissance des serveurs nécessaires, analyse des contenus consulté), pour le compte exclusif de l’éditeur ;
   
• servir à produire des données statistiques anonymes uniquement.

À l’inverse, pour être exemptés de consentement, ces traceurs ne doivent pas :

• conduire à un recoupement des données avec d’autres traitements ou à ce que les données non anonymes soient transmises à des tiers ;
   
• permettre le suivi global de la navigation de la personne utilisant différentes applications ou naviguant sur différents sites web. Toute solution utilisant un même identifiant à travers plusieurs sites (via par exemple des cookies déposés sur un domaine tiers chargé par plusieurs sites) pour croiser, dédoubler ou mesurer un taux de couverture (« reach ») unifié d’un contenu est exclue.

Les recommandations de la CNIL

Afin de mettre en place des solutions respectueuses des droits des personnes, la CNIL recommande également que :

• les utilisateurs soient informés de la mise en œuvre de ces traceurs, par exemple via la politique de confidentialité du site ou de l’application mobile ;
   
• la durée de vie des traceurs soit limitée à une durée permettant une comparaison pertinente des audiences dans le temps, comme c’est le cas d’une durée de treize mois, et qu’elle ne soit pas prorogée automatiquement lors des nouvelles visites ;
   
• les informations collectées par l'intermédiaire de ces traceurs soient conservées pour une durée maximale de vingt-cinq mois ;
   
• les durées de vie et de conservation ci-dessus mentionnées fassent l’objet d’un réexamen périodique afin d’être limitées au strict nécessaire.

Certains services de mesure d’audience permettent de faire une analyse comparative, par exemple, de proposer à différents médias en ligne de comparer l’importance de leurs lectorats.

Un sous-traitant peut fournir un service de mesure d’audience comparatif à de multiples éditeurs si :

• les données sont collectées, traitées et stockées de manière indépendante pour chaque éditeur ; et que
   
• les traceurs sont totalement indépendants les uns des autres et de tout autre traceur. 

En pratique

• Certaines offres de mesure d’audience n’entrent pas dans le périmètre de l’exemption, notamment lorsque leurs fournisseurs indiquent réutiliser les données pour leur propre compte, comme le proposent plusieurs offres de mesure d’audience disponibles sur le marché. Toutefois, dans certains cas, il est possible de configurer ces outils pour désactiver la réutilisation des données.
   
• Soyez également attentifs aux éventuels transferts de données hors de l’Union européenne qui pourraient être réalisés par votre fournisseur de solution.

Je suis fournisseur de solution, comment évaluer si ma solution rentre dans le périmètre de l’exemption ?

La CNIL met à disposition des fournisseurs de solution de mesure d’audience un outil d’auto-évaluation qui leur permet d’identifier si leur solution peut être configurée de manière à entrer dans le champ de l’exemption au recueil du consentement. Celui-ci détaille les conditions suffisantes pour que l’exemption s’applique. Pour autant, il n’est pas exclu que certaines solutions ne remplissant pas l’ensemble des critères définis puissent tout de même être mises en œuvre de sorte à respecter l’exemption prévue par l’article 82 de la loi Informatique et Libertés. Il serait alors de la responsabilité du fournisseur de documenter son analyse pour démontrer que, bien que sortant du champ de l’outil d’auto-évaluation fourni par la CNIL, sa solution, telle que configurée, peut être mise en œuvre sans recueillir le consentement.

Ainsi, si vous démontrez que vous remplissez l’ensemble des conditions identifiées, il vous appartiendra de le faire savoir à vos prospects en indiquant que vous avez déterminé, après usage de l’outil d’auto-évaluation fourni par la CNIL, que votre solution, telle que configurée, peut faire l’objet de l’exemption prévue par l’article 82 précité. La CNIL recommande d’utiliser les termes suivants :

« D’après notre auto-évaluation, la solution XXX est conforme aux critères établis par la CNIL [mettre un lien vers la page officielle], et peut-être mise en œuvre sans requérir le consentement des utilisateurs si elle est correctement configurée ».

Il est à noter qu’en tout état de cause, quand bien même votre solution, telle que configurée, pourrait être mise en œuvre sans recueillir le consentement, il ne vous est pas possible de la présenter comme « certifiée » ou « validée par la CNIL ». Il en est de même concernant l’usage du logo de la CNIL ou d’un logo qui en serait dérivé.

Par ailleurs, vous êtes invités à remettre à vos prospects une documentation permettant de démontrer le respect des critères de l’auto-évaluation. La CNIL met à votre disposition un modèle à cette fin. La CNIL vous invite à aider à la configuration de votre solution pour rentrer dans le cadre défini. Cela peut se faire par un guide de configuration, une prestation de conseil ou bien une configuration « 1-click » mise en œuvre par vos soins.

L’auto-évaluation à laquelle vous procédez ne préjuge pas de l’analyse que la CNIL pourra en faire dans le cadre de ses missions. Ainsi, notamment en cas de contrôle, si une solution, telle que configurée, est présentée comme respectant les critères identifiés, les services vérifieront si les conditions posées par l’article 82 de la Loi Informatique et Libertés sont effectivement respectées. En cas de manquement, la responsabilité du responsable de traitement, ainsi que celle du sous-traitant, pourront être engagées.

Je suis éditeur de site ou d’application à la recherche d’une solution de mesure d’audience rentrant dans le périmètre de l’exemption, comment choisir ?

Les éditeurs souhaitant mettre en œuvre une solution de mesure d’audience rentrant dans le périmètre de l’exemptions sont invités à interroger les prestataires pour savoir si les solutions qu’ils proposent peuvent être configurées de manière à remplir les critères publiés par la CNIL. Il leur revient de demander à leurs prestataires les documents permettant de justifier du respect du cadre, ainsi que les modalités de mise en œuvre opérationnelles de leur solution dans ce contexte.

L’auto-évaluation à laquelle le prestataire a procédé ne préjuge pas de l’analyse que la CNIL pourra en faire dans le cadre de ses missions. Ainsi, notamment en cas de contrôle, si une solution, au regard de sa configuration, est présentée comme respectant les critères identifiés, les services vérifieront si les conditions posées par l’article 82 de la loi Informatique et Libertés sont effectivement respectées. En cas de manquement, la responsabilité du responsable de traitement, ainsi que celle du sous-traitant, pourront être engagées.

Les éditeurs doivent donc faire preuve de la vigilance dans leur choix de solution.