Création d'une application
DIVERS
+ DE 2 ANS
Le 10/04/2015 à 09h08
174 vues
Question d'origine :
Bonjour,
Dans le cadre de la réalisation d'une application, je suis à la recherche d'informations sur les aspects juridiques concernant l'utilisation géolocalisée de données ouvertes et/ou privées. Je cherche également des informations sur les procédures de déclaration et de condition d'usage concernant les données ou les bases de données sur les sites web.
Merci à vous !!!
Alexandre.
Réponse du Guichet
gds_et
- Département : Équipe du Guichet du Savoir
Le 13/04/2015 à 08h47
Bonjour,
Tout d’abord, nous vous rappelons que n’étant pas juristes, nous ne sommes pas habilités à fournir des consultations juridiques. Pour obtenir des réponses précises et adaptées à votre projet, nous vous conseillons de vous adresser directement à la Cnil, qui fournit des permanences juridiques gratuites.
Les systèmes de géolocalisation (GPS) collectent des données à caractère personnel, ce qui implique d’obtenir au préalable le consentement de l’utilisateur :
La Géolocalisation est une technologie qui permet de déterminer la localisation de façon plus ou moins précise d’un objet ou d’une personne par le biais d’un système GPS ou d’un téléphone mobile. Il permet également de fournir des informations en fonction de la position géographique de l'utilisateur à partir d’un terminal de communication électronique. Par conséquent, le service de géolocalisation est réalisé par un réseaux de télécommunication.
Les applications de cette technologie sont multiples : l’assistance à la navigation, les informations touristiques ou météorologiques, la mise en relation des personnes, mais aussi la gestion en temps réel des moyens en personnel et en véhicules des entreprises.
La collecte des informations sur la géolocalisation peut être réalisée en associant une zone géographique avec un téléphone mobile digital (GSM), le positionnement d’un satellite (GPS), l’adresse MAC ou l’adresse IP. Automatiquement, un service WHOIS récupère l’adresse physique de l’utilisateur. Les données de géolocalisation de l'adresse peuvent contenir des informations tels que le pays, la région, la ville, le code postal, la latitude, la longitude ou le fuseau horaire. Ces données sont caractérisées comme des données à caractère personnel et doivent d’ores et déjà satisfaire les exigences de l’article 6 de la directive 95/46/CE. Cet article dispose que les données à caractère personnel ne peuvent être utilisées que «pour des finalités déterminées, explicites et légitimes». Quand le système récupère des données à caractère personnel comme le numéro de téléphone ou la plaque d’immatriculation il constitue un traitement à caractère personnel automatisé.
La directive 2002/58 CE concerne le traitement à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques.
Elle définit, au considérant 14, les « données de localisation » : « la latitude, la longitude et l’altitude du lieu où se trouve l'équipement terminal de l'utilisateur, la direction du mouvement, le degré de précision quant aux informations sur la localisation, l'identification de la cellule du réseau où se situe à un moment donné, l'équipement terminal, ou encore le moment auquel l'information sur la localisation a été enregistrée. » Cette définition a pour résultat l'identification des données de localisation à des données personnelles. Ainsi ces données doivent être protégées au titre du respect de la vie privée. Seules des identifications et localisation des appels d’urgence, des services de police, d’ambulance et de pompier peuvent passer outre les restrictions posées aux informations de localisation.
Dans son article 9, la directive 2002/58 CE oblige les fournisseurs de services de communication électronique à informer et à obtenir le consentement de leurs abonnés-utilisateurs avant d'utiliser les services de localisations. Également, les fournisseurs de services peuvent, par un moyen simple, à tout moment, interdire temporairement et gratuitement l’exécution du service.
Source : Géolocalisation et télécommunications, jurispedia.org
Sur son site, la Cnil vous informe sur la loi et vos obligations concernant l’utilisation des cookies et des traceurs :
Cookies & traceurs : que dit la loi ?
En application de la directive européenne dite " paquet télécom ", les internautes doivent être informés et donner leur consentement préalablement à l'insertion de traceurs. Ils doivent disposer d'une possibilité de choisir de ne pas être tracés lorsqu'ils visitent un site ou utilisent une application. Les éditeurs ont donc l'obligation de solliciter au préalable le consentement des utilisateurs. Ce consentement est valable 13 mois maximum. Certains traceurs sont cependant dispensés du recueil de ce consentement.
Quel est le cadre juridique applicable ?
En modifiant l'article 5(3) de la directive 2002/58/CE par l'adoption de la directive 2009/136/CE, le législateur européen a posé le principe :
• d'un consentement préalable de l'utilisateur avant le stockage d'informations sur l'équipement d'un utilisateur ou l'accès à des informations déjà stockées.
• sauf, si ces actions sont strictement nécessaires pour la délivrance d'un service de la société de l'information expressément demandé par l'abonné ou l'utilisateur.
L'article 32-II de la loi du 6 janvier 1978, modifié par l'ordonnance n°2011-1012 du 24 août 2011 qui a transposé la directive 2009/136/CE reprend ce principe.
En application de la loi informatique et libertés, les traceurs (cookies ou autres) nécessitant un recueil du consentement ne peuvent donc être déposés ou lus sur son terminal, tant que la personne n’a pas donné son consentement.
A qui s'impose cette obligation ?
Lorsque plusieurs acteurs interviennent dans le dépôt et la lecture de cookies (par exemple lorsque les éditeurs facilitent le dépôt de cookies qui sont ensuite lus par des régies publicitaires), chacun d'entre eux doit être considéré comme coresponsable des obligations découlant des dispositions de l'article 32-II
L'obligation de recueil du consentement s'impose notamment :
• aux éditeurs de sites, de système d'exploitation, et d'applications,
• aux régies publicitaires,
• aux réseaux sociaux,
• aux éditeurs de solutions de mesure d'audience.
Que recouvre le terme de « cookies » ou de « traceurs » ?
Sont concernés les traceurs déposés et lus par exemple lors de la consultation d'un site internet, de la lecture d'un courrier électronique, de l'installation ou de l'utilisation d'un logiciel ou d'une application mobile et ce, quel que soit le type de terminal utilisé tels qu'un ordinateur, un Smartphone, une liseuse numérique et une console de jeux vidéos connectée à Internet. S'ils répondent à certaines conditions, certains traceurs dérogent à cette obligation
A ce titre, le terme de "cookie" recouvre par exemple :
• les cookies HTTP
• les cookies "flash",
• le résultat du calcul d'empreinte dans le cas du " fingerprinting " (calcul d'un identifiant unique de la machine basée sur des éléments de sa configuration à des fins de traçage),
• les pixels invisibles ou " web bugs ",
• tout autre identifiant généré par un logiciel ou un système d'exploitation, par exemple.
Ces obligations s'appliquent que les cookies collectent des données à caractère personnel ou non.
Quels cookies nécessitent le consentement préalable des utilisateurs ?
Parmi les cookies nécessitant une information préalable et une demande de consentement, on peut notamment citer :
• les cookies liés aux opérations relatives à la publicité ciblée ;
• certains cookies de mesure d'audience (voir les exemptions ci-dessous) ;
• les cookies des réseaux sociaux générés notamment par leurs boutons de partage lorsqu'ils collectent des données personnelles sans consentement des personnes concernées.
Cette liste n'est pas exhaustive.
Le cas des cookies de solutions de mesures d'audience (analytics)
Pour être exemptés de demande de consentement, les cookies de mesure d'audience doivent respecter les conditions suivantes :
• une information doit être donnée aux utilisateurs qui doivent pouvoir s'opposer au traitement (cette opposition doit pouvoir se faire depuis n'importe quel terminal) ;
• les données collectées ne doivent pas être recoupées avec d'autres traitements (fichiers clients ou statistiques de fréquentation d'autres sites par exemple) ;
• le traceur déposé ne doit servir qu'à la production de statistiques anonymes et ne doit pas permettre le suivi de la navigation sur différents sites. Il ne doit pas être conservé au-delà de 13 mois et ne doit pas être prorogé lors des nouvelles visites ;
• les données de fréquentation brutes associant un identifiant ne doivent pas non plus être conservées plus de 13 mois ;
• l'utilisation de l'adresse IP pour géolocaliser l'usager ne doit pas permettre de déterminer sa rue : seuls les deux premiers octets des adresses IPv4 peuvent être conservés et éventuellement utilisés pour de la géo localisation (pour IPv6 seuls les 6 premiers octets peuvent être conservés).
Aujourd'hui, peu d'outils permettent de respecter ces différentes conditions.
Les solutions d'analytics qui ne respectant pas les conditions ci-dessus doivent faire l'objet du recueil du consentement préalable des utilisateurs.
Comment recueillir valablement le consentement ?
Le consentement doit être préalable à l'insertion ou à la lecture de cookies
• Tant que la personne n'a pas donné son consentement, ces cookies ne peuvent être déposés ou lus sur son terminal.
• Il doit être requis à chaque fois qu'une nouvelle finalité vient s'ajouter aux finalités initialement prévues.
Le consentement est une manifestation de volonté, libre, spécifique et informée : La validité du consentement est donc liée à la qualité de l'information reçue.
• L'information doit être visible, mise en évidence et complète.
• Elle doit être rédigée en des termes simples et compréhensibles pour tout utilisateur.
• Elle doit permettre aux internautes d'être parfaitement informés des différentes finalités des cookies.
Le consentement n'est valide que si la personne exerce un choix réel.
• L'utilisateur doit pouvoir accepter ou refuser le dépôt des cookies.
• Le consentement ne peut être valable que si la personne concernée est en mesure d'exercer valablement son choix et n'est pas exposée à des conséquences négatives importantes si elle refuse de donner son consentement. La personne qui refuse un cookie nécessitant un consentement doit pouvoir continuer à bénéficier du service (l'accès à un site internet par exemple).
• Le choix doit pouvoir être effectué pour chaque application et chaque site internet.
Concrètement, comment se mettre en conformité ?
Le consentement doit se manifester par une action positive de la personne préalablement informée des conséquences de son choix et disposant des moyens de l'exercer. Des systèmes adaptés doivent donc être mis en place pour recueillir le consentement selon des modalités pratiques qui permettent aux internautes de bénéficier de solutions conviviales et ergonomiques.
L'acceptation de conditions générales d'utilisation ne peut être une modalité valable de recueil du consentement.
Après concertation avec les professionnels concernés, la CNIL recommande une procédure de recueil du consentement en deux étapes.
ETAPE 1 : information de l'utilisateur
Dans la première étape, l'internaute qui se rend sur le site d'un éditeur (page d'accueil ou page secondaire du site) doit être informé, par l'apparition d'un bandeau :
• des finalités précises des cookies utilisés ;
• de la possibilité de s'opposer à ces cookies et de changer les paramètres en cliquant sur un lien présent dans le bandeau ;
• du fait que la poursuite de sa navigation vaut accord au dépôt de cookies sur son terminal.
Par exemple, en cas d'utilisation de traceurs à des fins publicitaires et de mesure d'audience, la mention peut être la suivante :
Modèle de bandeau d'information préalable
Voici un modèle à utiliser pour des cookies publicitaires et de mesure d’audience. Il doit être adapté en fonction de la finalité des cookies utilisés.
En poursuivant votre navigation sur ce site, vous acceptez l’utilisation de [ Cookies ou autres traceurs ] pour vous proposer [Par exemple, des publicités ciblées adaptés à vos centres d’intérêts] et [ Par exemple, réaliser des statistiques de visites].
Pour en savoir plus et paramétrer les traceurs .
Dans la mesure où le consentement ne doit pas être ambigu, ce bandeau ne doit pas disparaître tant que la personne n'a pas poursuivi sa navigation, c'est-à-dire tant qu'elle ne s'est pas rendue sur une autre page du site ou n'a pas cliqué sur un élément du site (image, lien, bouton " rechercher ").
Sauf consentement préalable de l'internaute, le dépôt et la lecture de Cookies ne doivent pas être effectués :
• si l'internaute se rend sur le site (page d'accueil ou directement sur une autre page du site à partir d'un moteur de recherche par exemple) et ne poursuit pas sa navigation : une simple absence d'action ne saurait être en effet assimilée à une manifestation de volonté ;
• s'il clique sur le lien présent dans le bandeau lui permettant de paramétrer les cookies et, le cas échéant, refuse le dépôt de cookies.
ETAPE 2 : page " en savoir plus "
Dans cette étape, en cas de clic sur " En savoir plus / paramétrer les traceurs ", les personnes doivent disposer de solutions leur permettant de refuser l'insertion des cookies. Le choix offert à l'usager d'accepter ou de refuser :
• Doit être possible pour l'ensemble des technologies de traçage utilisées par l'éditeur (cookies, cookies flash, fingerprinting, les plugins, certaines images stockées dans le navigateur, les espaces mémoires spécifiques aux différents navigateurs, etc) ;
• Il doit permettre à l'usager d'accepter ou de refuser les cookies par finalités (tel que la publicité, les réseaux sociaux, la mesure d'audience).
Les modalités permettant à l'usager d'exercer ses choix peuvent varier, il peut s'agir :
• d'un mécanisme de paramétrage des cookies directement disponible sur le site ou dans l'application ;
• du renvoi vers les outils d'opposition au traçage proposés par les solutions de mesure d'audience, de publicité ou de réseaux sociaux ; à condition que ces solutions soient conviviales et opérationnelles sur tous les terminaux et navigateurs. Aucune information relative aux internautes n'ayant pas consenti ou ayant décidé d'exercer leur droit d'opposition ne doit être collectée.
• dans certaines conditions, des paramètres du navigateur.
Cette cinématique en deux étapes peut être déclinée dans d'autres contextes, tels que les applications mobiles. Le message pourrait alors être affiché lors de la première utilisation de l'application ou de son installation.
Autres modalités de recueil du consentement
Les modalités de recueil de l'accord préalable peuvent également revêtir différentes formes, telles que par exemple :
• l'affichage d'une bannière décrivant les finalités des cookies utilisés, demandant explicitement à la personne si elle accepte le dépôt par familles de cookies , tout en lui précisant les moyens dont elle dispose pour retirer ultérieurement son consentement ;
• une zone de demande de consentement en surimpression ;
• des cases à cocher lors de l'inscription à un service en ligne lui permettant d'accepter le dépôt de cookies par catégories de finalités ;
• des boutons permettant d'activer les fonctionnalités d'un service déposant des cookies (par exemple, les plugins des réseaux sociaux).
Comment permettre à l'internaute de retirer sur son consentement ?
Des solutions conviviales doivent être mises en œuvre pour que la personne puisse retirer, à tout moment, son consentement aussi facilement qu'elle a pu le donner.
Les durées de vie des cookies
Le consentement à être suivi peut être oublié par les personnes qui l'ont manifesté à un instant donné, la CNIL estime nécessaire de limiter dans le temps la portée de ce dernier.
• Elle recommande que le délai de validité du consentement au dépôt des Cookies soit porté à 13 mois au maximum. À l'expiration de ce délai, le consentement devra être à nouveau recueilli.
• En conséquence, les cookies doivent donc avoir une durée de vie limitée à treize mois après leur premier dépôt dans l'équipement terminal de l'utilisateur (faisant suite à l'expression du consentement)
• leur durée de vie ne doit pas être prolongée lors de nouvelles visites sur le site.
Source : Sites web, cookies et autres traceurs, cnil.fr
Quant à la procédure de déclaration, celle-ci diffère selon la nature des données traitées :
Déclaration
Tout fichier ou traitement automatisé contenant des informations à caractère personnel doit être déclaré avant sa création, en ligne ou par courrier adressé à la Commission nationale de l'informatique et des libertés (Cnil) sous forme d'une :
• déclaration normale pour les fichiers qui concernent la vie privée ou les libertés individuelles des personnes : fichiers de clients, gestion des horaires des salariés, contrôle des accès aux locaux faisant l'objet d'une restriction de circulation, gestion de carrière et de la mobilité des salariés (organisation du travail, formations, annuaire interne, élections professionnelles, etc.), géolocalisation des véhicules utilisés par les salariés (ayant pour finalité le suivi et la facturation d'une prestation de transport, la sécurité des salariés ou des marchandises, le suivi du temps de travail, etc.),
• déclaration simplifiée pour les fichiers qui ne portent pas atteinte à la vie privée et aux libertés individuelles des personnes.
Par exemple, les sites commerciaux de vente en ligne de biens ou de services, qui collectent des informations nominatives (nom, courriel) et constituent des fichiers de clients et de prospects, doivent effectuer une déclaration simplifiée. En revanche, les traitements de données mis en œuvre à partir d'un site web, qui ne bénéficient ni d'une dispense, ni d'une procédure allégée, doivent faire l'objet d'une déclaration normale.
Pour savoir si un fichier doit être ou non déclaré et quelle procédure appliquer, il existe un service d'aide à la déclaration sur le site de la Cnil.
À savoir : les formalités déclaratives doivent être effectuées par la personne responsable du fichier ou du traitement, celle qui en décide de la création et en détermine les finalités, avant la création du fichier.
Dispense de déclaration
Ne sont pas soumises à l'obligation de déclaration à la Cnil, les données concernant notamment :
• des activités exclusivement personnelles (rédaction d'un blog par exemple),
• les membres et contacts d'une association à caractère politique, syndical ou religieux,
• l'activité professionnelle d'un artiste (écrivain, cinéaste, éditeur…),
• les opérations courantes de l'entreprise (comptabilité, fichiers de fournisseurs, gestion des paies, registre unique du personnel, déclarations sociales obligatoires, etc.).
Autorisation préalable
Une autorisation préalable de la Cnil est obligatoire pour les fichiers qui présentent des risques particuliers d'atteinte aux droits et aux libertés :
• les données enregistrées portant sur des informations sensibles (origine, opinions politiques, religieuses, syndicales, etc.), biométriques ou génétiques, etc.
• les fichiers ayant une finalité particulière (études statistiques de l' Insee , traitements de recherche médicale, etc.)
• les transferts de données hors de l'Union européenne.
La demande d'autorisation fait l'objet d'un examen approfondi de la part de la Cnil, qui a 2 mois pour se prononcer. Une fois la délibération prise, la Cnil doit la notifier dans les 8 jours au responsable de traitement.
Si le responsable des données n'effectue par les déclarations auprès de la Cnil, il peut être condamné à 5 ans d'emprisonnement et 300 000 € d'amende.
Obligation d'information
L'entreprise qui détient des données personnelles doit informer la personne concernée de :
• l'identité du responsable du fichier,
• la finalité du traitement des données,
• le caractère obligatoire ou facultatif des réponses,
• les droits d'accès, de rectification, d'interrogation et d'opposition.
• les transmissions des données.
L'exploitant de données personnelles (un commerçant en ligne par exemple) doit respecter certaines obligations et notamment : recueillir l'accord des clients, les informer de leur droit d'accès, de modification et de suppression des informations collectées, veiller à la sécurité des systèmes d'information, assurer la confidentialité des données, indiquer une durée de conservation des données.
L'objectif de la collecte d'informations doit être précis et les données en accord avec cette finalité.
Le non-respect du droit des personnes est puni de 1 500 € par infraction (3 000 € en cas de récidive).
Obligations de sécurité et de confidentialité
Le responsable du traitement des données doit mettre en œuvre les mesures de sécurité des locaux et des systèmes d'information pour empêcher que les fichiers soient déformés, endommagés, ou que des tiers non autorisés y aient accès.
L'accès aux données est réservé uniquement aux personnes désignées ou à des tiers qui détiennent une autorisation spéciale et ponctuelle (service des impôts, police, etc.).
Le responsable des données est aussi tenu de fixer une durée raisonnable de conservation des informations personnelles.
Si l'entreprise ne respecte pas ces obligations, elle encourt 5 ans d'emprisonnement et de 300 000 € d'amende.
Source : Obligations en matière de protection des données personnelles, vosdroits.service-public.fr
Pour aller plus loin :
- Géolocalisation & vie privée : la réglementation applicable aux données collectées, journaldunet.com
- Règles juridiques pour les applications mobiles, Murielle Cahen
- géolocalisation, cnil.fr
Bonne journée.
Tout d’abord, nous vous rappelons que n’étant pas juristes, nous ne sommes pas habilités à fournir des consultations juridiques. Pour obtenir des réponses précises et adaptées à votre projet, nous vous conseillons de vous adresser directement à la Cnil, qui fournit des permanences juridiques gratuites.
Les systèmes de géolocalisation (GPS) collectent des données à caractère personnel, ce qui implique d’obtenir au préalable le consentement de l’utilisateur :
La Géolocalisation est une technologie qui permet de déterminer la localisation de façon plus ou moins précise d’un objet ou d’une personne par le biais d’un système GPS ou d’un téléphone mobile. Il permet également de fournir des informations en fonction de la position géographique de l'utilisateur à partir d’un terminal de communication électronique. Par conséquent, le service de géolocalisation est réalisé par un réseaux de télécommunication.
Les applications de cette technologie sont multiples : l’assistance à la navigation, les informations touristiques ou météorologiques, la mise en relation des personnes, mais aussi la gestion en temps réel des moyens en personnel et en véhicules des entreprises.
La collecte des informations sur la géolocalisation peut être réalisée en associant une zone géographique avec un téléphone mobile digital (GSM), le positionnement d’un satellite (GPS), l’adresse MAC ou l’adresse IP. Automatiquement, un service WHOIS récupère l’adresse physique de l’utilisateur. Les données de géolocalisation de l'adresse peuvent contenir des informations tels que le pays, la région, la ville, le code postal, la latitude, la longitude ou le fuseau horaire. Ces données sont caractérisées comme des données à caractère personnel et doivent d’ores et déjà satisfaire les exigences de l’article 6 de la directive 95/46/CE. Cet article dispose que les données à caractère personnel ne peuvent être utilisées que «pour des finalités déterminées, explicites et légitimes». Quand le système récupère des données à caractère personnel comme le numéro de téléphone ou la plaque d’immatriculation il constitue un traitement à caractère personnel automatisé.
La directive 2002/58 CE concerne le traitement à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques.
Elle définit, au considérant 14, les « données de localisation » : « la latitude, la longitude et l’altitude du lieu où se trouve l'équipement terminal de l'utilisateur, la direction du mouvement, le degré de précision quant aux informations sur la localisation, l'identification de la cellule du réseau où se situe à un moment donné, l'équipement terminal, ou encore le moment auquel l'information sur la localisation a été enregistrée. » Cette définition a pour résultat l'identification des données de localisation à des données personnelles. Ainsi ces données doivent être protégées au titre du respect de la vie privée. Seules des identifications et localisation des appels d’urgence, des services de police, d’ambulance et de pompier peuvent passer outre les restrictions posées aux informations de localisation.
Dans son article 9, la directive 2002/58 CE oblige les fournisseurs de services de communication électronique à informer et à obtenir le consentement de leurs abonnés-utilisateurs avant d'utiliser les services de localisations. Également, les fournisseurs de services peuvent, par un moyen simple, à tout moment, interdire temporairement et gratuitement l’exécution du service.
Source : Géolocalisation et télécommunications, jurispedia.org
Sur son site, la Cnil vous informe sur la loi et vos obligations concernant l’utilisation des cookies et des traceurs :
En application de la directive européenne dite " paquet télécom ", les internautes doivent être informés et donner leur consentement préalablement à l'insertion de traceurs. Ils doivent disposer d'une possibilité de choisir de ne pas être tracés lorsqu'ils visitent un site ou utilisent une application. Les éditeurs ont donc l'obligation de solliciter au préalable le consentement des utilisateurs. Ce consentement est valable 13 mois maximum. Certains traceurs sont cependant dispensés du recueil de ce consentement.
En modifiant l'article 5(3) de la directive 2002/58/CE par l'adoption de la directive 2009/136/CE, le législateur européen a posé le principe :
• d'un consentement préalable de l'utilisateur avant le stockage d'informations sur l'équipement d'un utilisateur ou l'accès à des informations déjà stockées.
• sauf, si ces actions sont strictement nécessaires pour la délivrance d'un service de la société de l'information expressément demandé par l'abonné ou l'utilisateur.
L'article 32-II de la loi du 6 janvier 1978, modifié par l'ordonnance n°2011-1012 du 24 août 2011 qui a transposé la directive 2009/136/CE reprend ce principe.
En application de la loi informatique et libertés, les traceurs (cookies ou autres) nécessitant un recueil du consentement ne peuvent donc être déposés ou lus sur son terminal, tant que la personne n’a pas donné son consentement.
Lorsque plusieurs acteurs interviennent dans le dépôt et la lecture de cookies (par exemple lorsque les éditeurs facilitent le dépôt de cookies qui sont ensuite lus par des régies publicitaires), chacun d'entre eux doit être considéré comme coresponsable des obligations découlant des dispositions de l'article 32-II
L'obligation de recueil du consentement s'impose notamment :
• aux éditeurs de sites, de système d'exploitation, et d'applications,
• aux régies publicitaires,
• aux réseaux sociaux,
• aux éditeurs de solutions de mesure d'audience.
Sont concernés les traceurs déposés et lus par exemple lors de la consultation d'un site internet, de la lecture d'un courrier électronique, de l'installation ou de l'utilisation d'un logiciel ou d'une application mobile et ce, quel que soit le type de terminal utilisé tels qu'un ordinateur, un Smartphone, une liseuse numérique et une console de jeux vidéos connectée à Internet. S'ils répondent à certaines conditions, certains traceurs dérogent à cette obligation
A ce titre, le terme de "cookie" recouvre par exemple :
• les cookies HTTP
• les cookies "flash",
• le résultat du calcul d'empreinte dans le cas du " fingerprinting " (calcul d'un identifiant unique de la machine basée sur des éléments de sa configuration à des fins de traçage),
• les pixels invisibles ou " web bugs ",
• tout autre identifiant généré par un logiciel ou un système d'exploitation, par exemple.
Ces obligations s'appliquent que les cookies collectent des données à caractère personnel ou non.
Parmi les cookies nécessitant une information préalable et une demande de consentement, on peut notamment citer :
• les cookies liés aux opérations relatives à la publicité ciblée ;
• certains cookies de mesure d'audience (voir les exemptions ci-dessous) ;
• les cookies des réseaux sociaux générés notamment par leurs boutons de partage lorsqu'ils collectent des données personnelles sans consentement des personnes concernées.
Cette liste n'est pas exhaustive.
Pour être exemptés de demande de consentement, les cookies de mesure d'audience doivent respecter les conditions suivantes :
• une information doit être donnée aux utilisateurs qui doivent pouvoir s'opposer au traitement (cette opposition doit pouvoir se faire depuis n'importe quel terminal) ;
• les données collectées ne doivent pas être recoupées avec d'autres traitements (fichiers clients ou statistiques de fréquentation d'autres sites par exemple) ;
• le traceur déposé ne doit servir qu'à la production de statistiques anonymes et ne doit pas permettre le suivi de la navigation sur différents sites. Il ne doit pas être conservé au-delà de 13 mois et ne doit pas être prorogé lors des nouvelles visites ;
• les données de fréquentation brutes associant un identifiant ne doivent pas non plus être conservées plus de 13 mois ;
• l'utilisation de l'adresse IP pour géolocaliser l'usager ne doit pas permettre de déterminer sa rue : seuls les deux premiers octets des adresses IPv4 peuvent être conservés et éventuellement utilisés pour de la géo localisation (pour IPv6 seuls les 6 premiers octets peuvent être conservés).
Aujourd'hui, peu d'outils permettent de respecter ces différentes conditions.
Les solutions d'analytics qui ne respectant pas les conditions ci-dessus doivent faire l'objet du recueil du consentement préalable des utilisateurs.
Le consentement doit être préalable à l'insertion ou à la lecture de cookies
• Tant que la personne n'a pas donné son consentement, ces cookies ne peuvent être déposés ou lus sur son terminal.
• Il doit être requis à chaque fois qu'une nouvelle finalité vient s'ajouter aux finalités initialement prévues.
Le consentement est une manifestation de volonté, libre, spécifique et informée : La validité du consentement est donc liée à la qualité de l'information reçue.
• L'information doit être visible, mise en évidence et complète.
• Elle doit être rédigée en des termes simples et compréhensibles pour tout utilisateur.
• Elle doit permettre aux internautes d'être parfaitement informés des différentes finalités des cookies.
Le consentement n'est valide que si la personne exerce un choix réel.
• L'utilisateur doit pouvoir accepter ou refuser le dépôt des cookies.
• Le consentement ne peut être valable que si la personne concernée est en mesure d'exercer valablement son choix et n'est pas exposée à des conséquences négatives importantes si elle refuse de donner son consentement. La personne qui refuse un cookie nécessitant un consentement doit pouvoir continuer à bénéficier du service (l'accès à un site internet par exemple).
• Le choix doit pouvoir être effectué pour chaque application et chaque site internet.
Le consentement doit se manifester par une action positive de la personne préalablement informée des conséquences de son choix et disposant des moyens de l'exercer. Des systèmes adaptés doivent donc être mis en place pour recueillir le consentement selon des modalités pratiques qui permettent aux internautes de bénéficier de solutions conviviales et ergonomiques.
L'acceptation de conditions générales d'utilisation ne peut être une modalité valable de recueil du consentement.
Après concertation avec les professionnels concernés, la CNIL recommande une procédure de recueil du consentement en deux étapes.
ETAPE 1 : information de l'utilisateur
Dans la première étape, l'internaute qui se rend sur le site d'un éditeur (page d'accueil ou page secondaire du site) doit être informé, par l'apparition d'un bandeau :
• des finalités précises des cookies utilisés ;
• de la possibilité de s'opposer à ces cookies et de changer les paramètres en cliquant sur un lien présent dans le bandeau ;
• du fait que la poursuite de sa navigation vaut accord au dépôt de cookies sur son terminal.
Par exemple, en cas d'utilisation de traceurs à des fins publicitaires et de mesure d'audience, la mention peut être la suivante :
Voici un modèle à utiliser pour des cookies publicitaires et de mesure d’audience. Il doit être adapté en fonction de la finalité des cookies utilisés.
En poursuivant votre navigation sur ce site, vous acceptez l’utilisation de [ Cookies ou autres traceurs ] pour vous proposer [Par exemple, des publicités ciblées adaptés à vos centres d’intérêts] et [ Par exemple, réaliser des statistiques de visites].
Dans la mesure où le consentement ne doit pas être ambigu, ce bandeau ne doit pas disparaître tant que la personne n'a pas poursuivi sa navigation, c'est-à-dire tant qu'elle ne s'est pas rendue sur une autre page du site ou n'a pas cliqué sur un élément du site (image, lien, bouton " rechercher ").
Sauf consentement préalable de l'internaute, le dépôt et la lecture de Cookies ne doivent pas être effectués :
• si l'internaute se rend sur le site (page d'accueil ou directement sur une autre page du site à partir d'un moteur de recherche par exemple) et ne poursuit pas sa navigation : une simple absence d'action ne saurait être en effet assimilée à une manifestation de volonté ;
• s'il clique sur le lien présent dans le bandeau lui permettant de paramétrer les cookies et, le cas échéant, refuse le dépôt de cookies.
Dans cette étape, en cas de clic sur " En savoir plus / paramétrer les traceurs ", les personnes doivent disposer de solutions leur permettant de refuser l'insertion des cookies. Le choix offert à l'usager d'accepter ou de refuser :
• Doit être possible pour l'ensemble des technologies de traçage utilisées par l'éditeur (cookies, cookies flash, fingerprinting, les plugins, certaines images stockées dans le navigateur, les espaces mémoires spécifiques aux différents navigateurs, etc) ;
• Il doit permettre à l'usager d'accepter ou de refuser les cookies par finalités (tel que la publicité, les réseaux sociaux, la mesure d'audience).
Les modalités permettant à l'usager d'exercer ses choix peuvent varier, il peut s'agir :
• d'un mécanisme de paramétrage des cookies directement disponible sur le site ou dans l'application ;
• du renvoi vers les outils d'opposition au traçage proposés par les solutions de mesure d'audience, de publicité ou de réseaux sociaux ; à condition que ces solutions soient conviviales et opérationnelles sur tous les terminaux et navigateurs. Aucune information relative aux internautes n'ayant pas consenti ou ayant décidé d'exercer leur droit d'opposition ne doit être collectée.
• dans certaines conditions, des paramètres du navigateur.
Cette cinématique en deux étapes peut être déclinée dans d'autres contextes, tels que les applications mobiles. Le message pourrait alors être affiché lors de la première utilisation de l'application ou de son installation.
Les modalités de recueil de l'accord préalable peuvent également revêtir différentes formes, telles que par exemple :
• l'affichage d'une bannière décrivant les finalités des cookies utilisés, demandant explicitement à la personne si elle accepte le dépôt par familles de cookies , tout en lui précisant les moyens dont elle dispose pour retirer ultérieurement son consentement ;
• une zone de demande de consentement en surimpression ;
• des cases à cocher lors de l'inscription à un service en ligne lui permettant d'accepter le dépôt de cookies par catégories de finalités ;
• des boutons permettant d'activer les fonctionnalités d'un service déposant des cookies (par exemple, les plugins des réseaux sociaux).
Des solutions conviviales doivent être mises en œuvre pour que la personne puisse retirer, à tout moment, son consentement aussi facilement qu'elle a pu le donner.
Le consentement à être suivi peut être oublié par les personnes qui l'ont manifesté à un instant donné, la CNIL estime nécessaire de limiter dans le temps la portée de ce dernier.
• Elle recommande que le délai de validité du consentement au dépôt des Cookies soit porté à 13 mois au maximum. À l'expiration de ce délai, le consentement devra être à nouveau recueilli.
• En conséquence, les cookies doivent donc avoir une durée de vie limitée à treize mois après leur premier dépôt dans l'équipement terminal de l'utilisateur (faisant suite à l'expression du consentement)
• leur durée de vie ne doit pas être prolongée lors de nouvelles visites sur le site.
Source : Sites web, cookies et autres traceurs, cnil.fr
Quant à la procédure de déclaration, celle-ci diffère selon la nature des données traitées :
Tout fichier ou traitement automatisé contenant des informations à caractère personnel doit être déclaré avant sa création, en ligne ou par courrier adressé à la Commission nationale de l'informatique et des libertés (Cnil) sous forme d'une :
• déclaration normale pour les fichiers qui concernent la vie privée ou les libertés individuelles des personnes : fichiers de clients, gestion des horaires des salariés, contrôle des accès aux locaux faisant l'objet d'une restriction de circulation, gestion de carrière et de la mobilité des salariés (organisation du travail, formations, annuaire interne, élections professionnelles, etc.), géolocalisation des véhicules utilisés par les salariés (ayant pour finalité le suivi et la facturation d'une prestation de transport, la sécurité des salariés ou des marchandises, le suivi du temps de travail, etc.),
• déclaration simplifiée pour les fichiers qui ne portent pas atteinte à la vie privée et aux libertés individuelles des personnes.
Par exemple, les sites commerciaux de vente en ligne de biens ou de services, qui collectent des informations nominatives (nom, courriel) et constituent des fichiers de clients et de prospects, doivent effectuer une déclaration simplifiée. En revanche, les traitements de données mis en œuvre à partir d'un site web, qui ne bénéficient ni d'une dispense, ni d'une procédure allégée, doivent faire l'objet d'une déclaration normale.
Pour savoir si un fichier doit être ou non déclaré et quelle procédure appliquer, il existe un service d'aide à la déclaration sur le site de la Cnil.
À savoir : les formalités déclaratives doivent être effectuées par la personne responsable du fichier ou du traitement, celle qui en décide de la création et en détermine les finalités, avant la création du fichier.
Ne sont pas soumises à l'obligation de déclaration à la Cnil, les données concernant notamment :
• des activités exclusivement personnelles (rédaction d'un blog par exemple),
• les membres et contacts d'une association à caractère politique, syndical ou religieux,
• l'activité professionnelle d'un artiste (écrivain, cinéaste, éditeur…),
• les opérations courantes de l'entreprise (comptabilité, fichiers de fournisseurs, gestion des paies, registre unique du personnel, déclarations sociales obligatoires, etc.).
Une autorisation préalable de la Cnil est obligatoire pour les fichiers qui présentent des risques particuliers d'atteinte aux droits et aux libertés :
• les données enregistrées portant sur des informations sensibles (origine, opinions politiques, religieuses, syndicales, etc.), biométriques ou génétiques, etc.
• les fichiers ayant une finalité particulière (études statistiques de l' Insee , traitements de recherche médicale, etc.)
• les transferts de données hors de l'Union européenne.
La demande d'autorisation fait l'objet d'un examen approfondi de la part de la Cnil, qui a 2 mois pour se prononcer. Une fois la délibération prise, la Cnil doit la notifier dans les 8 jours au responsable de traitement.
Si le responsable des données n'effectue par les déclarations auprès de la Cnil, il peut être condamné à 5 ans d'emprisonnement et 300 000 € d'amende.
L'entreprise qui détient des données personnelles doit informer la personne concernée de :
• l'identité du responsable du fichier,
• la finalité du traitement des données,
• le caractère obligatoire ou facultatif des réponses,
• les droits d'accès, de rectification, d'interrogation et d'opposition.
• les transmissions des données.
L'exploitant de données personnelles (un commerçant en ligne par exemple) doit respecter certaines obligations et notamment : recueillir l'accord des clients, les informer de leur droit d'accès, de modification et de suppression des informations collectées, veiller à la sécurité des systèmes d'information, assurer la confidentialité des données, indiquer une durée de conservation des données.
L'objectif de la collecte d'informations doit être précis et les données en accord avec cette finalité.
Le non-respect du droit des personnes est puni de 1 500 € par infraction (3 000 € en cas de récidive).
Le responsable du traitement des données doit mettre en œuvre les mesures de sécurité des locaux et des systèmes d'information pour empêcher que les fichiers soient déformés, endommagés, ou que des tiers non autorisés y aient accès.
L'accès aux données est réservé uniquement aux personnes désignées ou à des tiers qui détiennent une autorisation spéciale et ponctuelle (service des impôts, police, etc.).
Le responsable des données est aussi tenu de fixer une durée raisonnable de conservation des informations personnelles.
Si l'entreprise ne respecte pas ces obligations, elle encourt 5 ans d'emprisonnement et de 300 000 € d'amende.
Source : Obligations en matière de protection des données personnelles, vosdroits.service-public.fr
- Géolocalisation & vie privée : la réglementation applicable aux données collectées, journaldunet.com
- Règles juridiques pour les applications mobiles, Murielle Cahen
- géolocalisation, cnil.fr
Bonne journée.
DANS NOS COLLECTIONS :
Ça pourrait vous intéresser :
Commentaires 0
Connectez-vous pour pouvoir commenter.
Se connecter