Sur les obligations respectives des éditeurs de sites et des émetteurs de cookies.
La commission estime que, lorsque plusieurs acteurs interviennent dans le dépôt et la lecture de cookies (par exemple lorsque les éditeurs facilitent le dépôt de cookies qui sont ensuite lus par des régies publicitaires), chacun d'entre eux doit être considéré comme coresponsable des obligations découlant des dispositions de l'article 32-II précité.
La commission considère qu'il en est ainsi des éditeurs de sites internet (ou des éditeurs d'application mobile par exemple) et de leurs partenaires (régies publicitaires, réseaux sociaux, éditeurs de solutions de mesure d'audience...). En effet, dans la mesure où les éditeurs de site constituent souvent l'unique point de contact des internautes et que le dépôt de cookies de tiers est tributaire de la navigation sur leur site, il leur appartient de procéder, seuls ou conjointement avec leurs partenaires, à l'information préalable et au recueil du consentement explicités à l'article 2 de la présente recommandation.
Par ailleurs, leurs partenaires déterminant les finalités du traitement (utiliser les informations collectées sur le comportement de navigation des internautes afin de constituer des profils et prendre des décisions relatives aux publicités qui seront affichées en fonction de ce profil, par exemple) et les moyens de ce dernier (utiliser des cookies, définir des algorithmes permettant de réaliser le profilage, etc.), ils ne peuvent pas être qualifiés de sous-traitants.
A cet égard, les émetteurs de cookies peuvent également mettre en place des modes d'information particuliers. A titre d'exemple, l'affichage d'icônes sur les bannières publicitaires peut permettre aux personnes de prendre connaissance de l'identité de la régie publicitaire qui traite leurs données et leur permettre d'entrer en contact avec elle pour exercer leurs droits. En cas de clic sur cette icône, les dispositions de l'article 32-II devront être respectées.