Après avoir entendu M. François PELLEGRINI, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Adopte les lignes directrices suivantes :
La Commission nationale de l'informatique et des libertés (CNIL) est chargée de veiller au respect des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés (ci-après la loi Informatique et Libertés), ainsi que des autres textes relatifs à la protection des données à caractère personnel.
Les présentes lignes directrices ont pour objet de rappeler le droit applicable aux opérations de lecture ou écriture dans le terminal d'un utilisateur, et notamment l'usage des cookies et autres traceurs. Elles résultent notamment des dispositions de la directive 2002/58/ CE modifiée vie privée et communications électroniques (ou ePrivacy) transposée en droit français à l'article 82 de la loi Informatique et Libertés, et de la définition du consentement figurant à l'article 4 du règlement général sur la protection des données (RGPD) tel qu'interprété dans les lignes directrices du Comité européen de la protection des données (CEPD).
En cas de manquement à ces dispositions, la Commission rappelle qu'elle peut prendre toutes mesures correctrices et sanctions vis-à-vis des organismes qui y sont soumis, en application de l'article 3 de la loi, et ce notamment de manière indépendante des dispositions du chapitre VII du RGPD en matière de coopération et de cohérence, dans la mesure où l'article 82 résulte de la transposition d'une directive distincte.
L'article 82 de la loi dispose que :
Tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète, sauf s'il l'a été au préalable, par le responsable du traitement ou son représentant :
1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;
2° Des moyens dont il dispose pour s'y opposer.
Ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.
Cet article, qui transpose l'article 5 (3) de la directive vie privée et communications électroniques, impose ainsi le recueil du consentement avant toute action visant à stocker des informations ou à accéder à des informations stockées dans l'équipement terminal d'un abonné ou d'un utilisateur, en dehors des exceptions applicables.
La Commission rappelle que les présentes lignes directrices ne concernent que la mise en œuvre des dispositions de l'article 82 de la loi Informatique et Libertés ; les éventuels traitements de données à caractère personnel utilisant les données collectées via les opérations de lecture ou écriture doivent, par ailleurs, respecter l'ensemble des dispositions légales applicables.
Le consentement prévu par ces dispositions doit être conforme à la définition et aux conditions prévues aux articles 4 (11) et 7 du RGPD.
Le RGPD est venu renforcer les exigences en matière de consentement des personnes, en apportant des clarifications sur ses conditions d'obtention et sur la nécessité d'en démontrer le recueil.
Le renforcement des droits des personnes conduit la Commission à abroger sa délibération n° 2013-378 du 5 décembre 2013portant adoption d'une recommandation relative aux cookies et aux autres traceurs visés par l'article 32-II de la loi du 6 janvier 1978 (ci-après la recommandation cookies et autres traceurs) pour la remplacer par les présentes lignes directrices. Ces lignes directrices seront complétées ultérieurement par des recommandations sectorielles ayant notamment vocation à préciser les modalités pratiques du recueil du consentement.