Consentement des cookies,
Quel est le nouveau contexte juridique auxquelles les directions marketing B2B doivent faire face ?RGPD et e-Privacy : Contexte juridique actuel
RGPD et e-Privacy : Contexte juridique actuel
Le régime de protection des données de l'UE se compose actuellement du règlement général sur la protection des données UE 2016/679 (dit “RGPD”) et de la directive ePrivacy de 2002.
C’est notamment cette directive qui a imposé les bandeaux actuels sur les sites web afin d'obtenir le consentement des utilisateurs sur les cookies.
Une nouvelle directive “e-Privacy 2021” est en discussion, qui n’entrera en application que 2 ans après sa promulgation soit au plus tôt en 2023.
Néanmoins la CNIL a en France devancé la directive en proposant sa propre directive le 17 septembre 2020 et a donné 6 mois aux éditeurs de site web pour se conformer à ses directives. Ce délai expire au 31 mars 2021.
Quelle différence entre RGPD et e-Privacy ?
Le RGPD protège les données personnelles des personnes au sein de l'UE. Tandis que le règlement ePrivacy 2021 protégera la confidentialité des communications électroniques des personnes au sein de l'UE.
Le RGPD est entré en vigueur le 25 mai 2018 et encadre la collecte de données personnelles sur les sites webs (formulaires, traceurs). Il impose aux éditeurs de sites webs des règles strictes sur la conservation de données personnelles, de restreindre leur usage aux fins annoncées lors de la collecte, de ne pas les communiquer ou de les obtenir via des tiers et de les détruire sur simple demande (droit à l’oubli).
Le règlement ePrivacy 2021 est une lex specialis par rapport à la lex generalis du règlement général sur la protection des données (RGPD). Il complète donc le RGPD par des règles spécifiques au secteur des communications électroniques (mail, sms, réseaux sociaux) pour renforcer leur confidentialité.
Que dit la directive de la CNIL 2021 ?
La directive n°2020-0091 du 17 septembre 2020 dit en substance :
- que la simple poursuite de la navigation sur un site ne peut plus être considérée comme une expression valide du consentement de l’internaute et que le personnes doivent consentir au dépôt de traceurs par un acte positif clair, sans quoi aucun traceur non essentiel au fonctionnement du service ne pourra être déposé sur leur appareil.
- que les utilisateurs devront être en mesure de retirer leur consentement, facilement, et à tout moment et que refuser les traceurs doit être aussi aisé que de les accepter.
- que les personnes doivent clairement être informées de l’identité de tous les acteurs utilisant des traceurs soumis au consentement et des finalités des traceurs avant de consentir, ainsi que des conséquences qui s’attachent à une acceptation ou un refus de traceurs.
- que les organismes exploitant des traceurs doivent être en mesure de fournir, à tout moment, la preuve du recueil valable du consentement libre, éclairé, spécifique et univoque de l’utilisateur.
- et enfin que certains traceurs par exception sont exemptés du recueil de consentement, comme par exemple les traceurs destinés à l’authentification auprès d’un service, certains traceurs visant à générer des statistiques de fréquentation, ou encore ceux permettant aux sites payants de limiter l’accès gratuit à un échantillon de contenu demandé par les utilisateurs.
Évolutions applicables au 31 mars 2021
Le 31 mars 2021 marque la fin de la “période de grâce” accordée par la CNIL dans sa directive du 17 septembre 2020, dans laquelle elle anticipait le durcissement prévu au niveau européen en matière de gestion des cookies (volet “e-privacy”) en exigeant de nouvelles dispositions pour le recueil explicite du consentement aux cookies.
Directive CNIL : https://www.cnil.fr/fr/cookies-et-autres-traceurs-la-cnil-publie-des-lignes-directrices-modificatives-et-sa-recommandation
Le principe général de ces directives est que le bandeau d’acceptation générique des cookies imposé par la e-privacy de 2002 n’est plus suffisant. En particulier il n’est plus possible de considérer que la navigation sur un site web, sans avoir explicitement accepté le dépôt de cookie, est une acceptation tacite.
Quelle est la portée juridique de la directive CNIL?
La CNIL a devancé la réglementation attendue au niveau européen en publiant ses premières recommandations sous forme de lignes directrices, à savoir les Lignes directrices de la CNIL n°2020-0091 le 17 septembre 2020.
Ces lignes directrices n'ont pas à ce jour, force obligatoire.
Cependant, la CNIL peut d'ores et déjà procéder à des contrôles en s'appuyant sur sa propre norme.
L'article 5 des Lignes Directrices CNIL évoque la possibilité de l’exemption du consentement, et qui renvoie à l’article 82 de la Loi informatique et libertés modifiée par le RGPD de 1978.
Dans cet article 5, la CNIL précise le cas spécifique des traceurs de mesure d’audience exemptés de consentement et les conditions, cumulatives, pour pouvoir en bénéficier.
Plus d’infos sur la FAQ de la CNIL : https://www.cnil.fr/fr/questions-reponses-lignes-directrices-modificatives-et-recommandation-cookies-traceurs
Ce site traite de la thématique de la rgpd en B2B (Business to Business). pour promouvoir et respecter la protection des données personnelles et doivent être mis en conformité avec le règlement. Avez vous désigné un responsable ou un correspondant à la protection des données ? La mise en oeuvre de la rgpd est obligatoire pour être conforme au règlement, spécifiquement si vous traitez des données sensibles. En effet, toutesles entreprises doivent se mettre en conformité avec la réglementation et nommer si nécessaire un data protection officer dpo qui va respecter le cadre juridique européen existant. car on observe un élargissement des pouvoirs de contrôle de la cnil . Avez vous élaborer une politique de protection de la confidentialité ? Connaisseez vous les sanctions des autorités de protection de la vie privée ? Garentissez vous le droit à l information et à la consultation ? Savez vous conduire des analyses d impact sur la protection des données et respecter les règles de protection des données propres à votre site? Pour cela, il faut démontrer un intérêt légitime à traiter ces données et désigner un correspondant à la protection des donnée qui va vérifier la conformité avec le nouveau règlement européen sur la protection des données . Connaissez vous le cadre juridique relatif à la protection des données à caractère personnel ? Chaque internaute doit bénéficier d un droit d accès et de rectification aux informations. Avez vous constituez un registre des traitements informatique et libertés conformément à la loi informatique et libertés RGPD.