Les cookies, un sujet brûlant pour le secteur de la publicité numérique en France ?

La CNIL (l’autorité française de protection des données) a été la première autorité de contrôle de l’UE à s’occuper de la conformité des cookies avec la loi sur la protection des données.

En 2020, la CNIL a publié plusieurs ensembles de lignes directrices et de recommandations pour donner des indications précises sur les exigences du RGPD et de la Loi Informatique et Libertés («Loi Informatique et Libertés”) mettant en œuvre la directive ePrivacy, dans le cadre de l’utilisation de cookies et d’autres technologies de suivi, avec un délai de mise en conformité d’avril 2021.

Dans la mesure où les cookies ont un but publicitaire, les principales exigences sont :

• Un consentement libre, éclairé, spécifique et univoque est requis de la part des utilisateurs avant le dépôt des cookies. Plus précisément, les utilisateurs doivent être clairement informés (i) des finalités des cookies, (ii) des conséquences de leur acceptation ou de leur refus et (iii) de l’identité de toutes les parties prenantes traitant les données issues des cookies. De plus, le consentement doit être donné par les utilisateurs par un acte positif clair, tel que cliquer sur « Accepter tous les cookies» sur le bandeau cookie.
• Refuser les cookies devrait être aussi simple que les accepter. La CNIL recommande « Accepter tous les cookies » et « Refuser tous les cookies » boutons au premier niveau d’information au même format dans le bandeau cookie.
• Les utilisateurs doivent pouvoir retirer leur consentement facilement et à tout moment.
• Le choix de l’utilisateur est à conserver pendant une durée limitée, une durée de 6 mois étant considérée par la CNIL comme une bonne pratique. Pendant cette période, le consentement et le refus doivent être conservés, afin d’éviter de demander aux utilisateurs un nouveau consentement à chaque visite.
• Les parties prenantes exploitant les systèmes de suivi doivent être en mesure de fournir à tout moment la preuve de leur consentement.

L’industrie de la publicité digitale en France doit-elle encore se préoccuper de la CNIL ?

Appliquées au secteur de la publicité numérique (adtech), ces obligations se traduisent par une chaîne de responsabilité, des annonceurs aux éditeurs déposant des cookies tiers (c’est-à-dire des cookies créés par des domaines autres que celui que l’utilisateur visite). Le consentement de l’utilisateur doit être obtenu pour le dépôt de cookies publicitaires et pour le traitement des données en relation avec les activités de marketing, y compris l’affichage de publicités ciblées ou le partage de données avec des tiers.

Le cadre de transparence et de consentement (TCF) développé par IAB Europe a été mis en place pour offrir une solution dirigée par l’industrie aux problèmes de consentement dans la publicité numérique. Il fournit une « chaîne TC » qui permet de conserver un enregistrement des préférences de l’utilisateur pour la publicité ciblée qui peut être transmise à d’autres acteurs du Enchères en temps réel (RTB) écosystème. Cependant, les difficultés résultant de l’application stricte des directives de la CNIL couplées aux questions persistantes sur la conformité ou non du TCF avec le RGPD (abordées plus en détail ici), poussent désormais certaines parties prenantes à envisager des solutions de suivi sans cookie.

Une alternative privilégiée par certains éditeurs consiste à utiliser un mur de cookies, qui, selon eux, signifie qu’ils ne nécessitent pas de consentement. La licéité de cette démarche en France a été reconnue par la CNIL sous réserve que :

• Les cookie walls sont limités à des finalités pour lesquelles une juste considération pour le service est attendue. Si une considération équitable pour le service découle d’un accord sur la publicité ciblée, le consentement ne doit être recueilli qu’à cette fin spécifique afin de permettre l’accès au service.
• les utilisateurs se voient proposer une alternative équitable pour accéder au service s’ils choisissent de refuser les cookies, y compris moyennant une contrepartie
• si une contrepartie financière est proposée, elle doit être raisonnable
• aucun cookie n’est déposé sur les appareils des utilisateurs une fois que les utilisateurs ont refusé les cookies et accepté l’alternative proposée, à l’exception des cookies qui ne nécessitent pas légalement de consentement, ou avec un consentement valide qui est nécessaire pour accéder à un contenu hébergé sur un site tiers.

A noter que la CNIL mène actuellement une consultation sur l’écosystème des applications mobiles en relation avec d’autres types de traceurs comme les SDK. D’autres directives de la CNIL sont attendues, d’autant plus que la CNIL a identifié l’utilisation des technologies de suivi dans les applications mobiles comme l’une de ses principales priorités en matière d’application en 2023.

L’étau semble donc se resserrer autour des acteurs de la publicité digitale en France. Depuis 2021, la CNIL a réalisé de nombreux contrôles de conformité des éditeurs au regard des exigences RGPD et ePrivacy applicables à l’utilisation des cookies, et a sanctionné plusieurs éditeurs pour manquement à ces exigences, notamment celles attachées à l’utilisation des cookies publicitaires et des traceurs (ex. 60 millions d’euros pour Microsoft et 8 millions d’euros pour Apple parmi les dernières décisions en date). Plusieurs acteurs de l’écosystème de la publicité numérique sont désormais directement menacés.

Une plainte a été déposée en novembre 2018 par Privacy International contre, entre autres, trois sociétés adtech (Criteo, Quantcast et Tapad) pour des violations présumées des principes de protection des données (transparence, équité, licéité, limitation des finalités, minimisation et exactitude des données), et manque de base légale, y compris pour le traitement de données sensibles.

L’enquête ouverte en 2020 par la CNIL contre Criteo est en cours. Alors que la décision est attendue dans les prochains mois, Criteo précise dans un communiqué d’août 2022 que, malgré les différentes violations du RGPD mises en lumière dans le rapport de l’enquêteur de la CNIL, il a constaté «que le fond de ce rapport est fondamentalement vicié, et les sanctions proposées [including a €60 million fine] être sans commune mesure avec les actions présumées non conformes”.

La CNIL est considérée comme particulièrement focalisée sur la question des cookies utilisés par le secteur de la publicité numérique par rapport aux autres régulateurs de l’UE, et comme étant plus stricte que certains. Cependant, à mesure que les solutions techniques et sectorielles se développeront, l’industrie de la publicité numérique en France disposera d’un éventail de solutions plus large.