Cookies : dans quels cas, le consentement n'est pas nécessaire ?

S’il est maintenant d’usage de considérer que l’autorisation de la personne concernée est nécessaire pour toute utilisation de cookies, rappelons que l’article 5.3 de la directive 2009/139/CE prévoit deux hypothèses dans lesquelles le consentement de l’utilisateur n’est pas requis pour utiliser un cookie :

Critère A
Lorsque le cookie « a pour finalité exclusive de permettre ou faciliter la communication par voie électronique »
Le rapport précise que la communication ne doit pas être possible sans la mise en place de ce cookie. Il doit donc être absolument nécessaire. Le législateur européen souhaite réduire au maximum le champ d’application de la disposition ;
Ce cookie peut être mis en oeuvre dans le cadre d’une des trois hypothèses suivantes :
-pour contrôler le routage de l’information sur le réseau ;
-pour permettre l’échange de paquets de données ;
-pour détecter les erreurs de transmission et les pertes de données.

Critère B
-Lorsque le cookie « est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur».
L’usage de ce cookie sans consentement doit répondre à une double condition :
-L’utilisateur doit avoir effectué un acte positif pour intégrer un service de communication en ligne dont le périmètre doit être bien délimité ;
-Le cookie est utilisé uniquement pour faire fonctionner le service. Si le cookie est désactivé, le service ne fonctionne pas.
Il doit y avoir un lien clair entre la stricte nécessité du cookie et le fonctionnement du service.

Il faut alors bien distinguer chaque fonctionnalité offerte par le service, chacune devant disposer de son propre cookie. Chaque fonctionnalité doit alors obtenir le consentement de l’utilisateur.

Caractéristiques d’un cookie.
Il existe plusieurs types de cookie : les cookies de session, les cookies permanents et les cookies tiers.

-Un cookie de session se supprime automatique quand l’utilisateur ferme son navigateur alors que le cookie permanent reste enregistré jusqu’à sa date d’expiration.
-Un cookie tiers est mis en place par un tiers qui n’opère pas sur le site visité par l’utilisateur.

Tous ces cookies de l’article 5.3 doivent prévoir une durée de validité qui est en relation direct avec leur objet et doivent expirer une fois qu’ils ne sont plus nécessaires.
Logiquement ces cookies doivent expirer à la fin de la session du navigateur internet mais, ce n’est pas forcément toujours le cas. Par exemple, dans le cadre d’un site de vente en ligne, il est souvent prévu que le cookie qui mémorise le panier d’achat persiste après que la page ait été quitté, tout simplement pour éviter les erreurs de manipulation.
Afin de déterminer si un cookie est exempt de consentement, il convient de déterminer de façon précise l’objet du cookie et pourquoi le cookie est spécifiquement mis en oeuvre.

Cookies ayant plusieurs objets.

Un cookie peut être utilisé pour plusieurs activités à la condition que chaque activité soit exempt de consentement. En pratique, il est plus facile de mettre en place un cookie par activité.

Exemple d’utilisation des cookies :
cookie d’authentification utilisé pour s’authentifier, (présent pour la durée de la session). Critère B.
cookie utilisé pour le suivi d’un utilisateur dans sa session (ex: achat en ligne), Critère B.
cookie utilisé pour augmenter la sécurité de navigation. (ex : cookies utilisés pour contrôler les abus de connexion). Critère B.
cookie multimédia utilisé pour lire des fichiers audio ou vidéo (ex: flash player). Critère B.
cookies utilisés pour dispatcher des requêtes sur plusieurs serveurs, (présent pour la durée de la session) Critère A.
cookie de modification de l’interface utilisateur, (présent pour la durée de la cession). Critère B.
cookie plug-in de réseaux sociaux pour fournir une fonctionnalité aux utilisateurs identifiés sur un autre site internet. Critère B.

Cookies non exemptés de consentement :

-cookies de réseaux sociaux utilisés pour de la publicité comportementale et des analyses de marché ;
-cookies publicitaires tiers pour de la publicité comportementale ;
-cookies destinés à effectuer des statistiques d’audience.

Le Groupe 29 suggère de revoir l’article 5.3 de la directive afin d’ajouter une troisième exemption pour les cookies qui sont strictement limités à faire des statistiques anonymes. Il convient de bien distinguer les pratiques faites par le site internet qui pourraient être autorisées de celles faites par les tiers qui présentent un risque.

Recommandations finales :
-dans l’hypothèse de l’usage du critère B, il est important d’examiner ce qui est strictement nécessaire du point de vue de l’utilisateur et non du point de vue du service fourni ;
-si un cookie est utilisé pour plusieurs activités, il peut bénéficier de l’exemption de consentement si chaque activité peut être exemptée.
Les cookies du site consulté seront exempts d’autorisation plus facilement que les cookies tierces. Toutefois, il est toujours important d’analyser si les exemptions peuvent s’appliquer.

En toute hypothèse, s’il est difficile après examen de savoir si le consentement doit être requis, il convient de prévoir un consentement qui permettra d’éviter une incertitude juridique.

Blandine Poidevin et Edouard Verbecq