Lors de la collecte du consentement de l'utilisateur, ples cases à cocher réactivées ne sont pas autorisées en vertu du Règlement général sur la protection des données (RGPD).
En vertu du RGPD, les organisations ne sont pas autorisées à recourir à des méthodes de consentement par opposition ou implicites, notamment le silence, l'inactivité et les cases pré-cochées.
Découvrez pourquoi RGPD pré-cochées ne sont généralement pas autorisées pour obtenir le consentement relatif aux cookies RGPD , dans quels cas elles sont autorisées, et comment vous pouvez élaborer une politique de cookies RGPD.
Principaux enseignements
- Les cases à cocher pré-cochées, le silence ou l'inaction ne constituent pas un consentement valable au sens du RGPD.
- Le RGPD exige que le consentement soit librement donné, spécifique, éclairé et sans ambiguïté.
- Seuls les cookies strictement nécessaires sont exemptés de l'obligation de consentement.
- Le consentement doit être activement donné avant de placer des cookies non essentiels sur l'appareil d'un utilisateur.
- Vous pouvez utiliser la plateforme de gestion du consentement (CMP) deTermly pour vous assurer que vous êtes en conformité avec les lois sur la confidentialité des données.
- Pourquoi les cases à cocher pré-cochées ne sont-elles pas autorisées en vertu du RGPD?
- Quand les cases pré-cochées sont-elles acceptables ?
- Que se passe-t-il si vous utilisez des cases à cocher pré-cochées pour les cookies ?
- Quelles sont les exigences RGPD ?
- Tous les cookies nécessitent-ils le consentement de l'utilisateur en vertu du RGPD?
Pourquoi les cases à cocher pré-cochées ne sont-elles pas autorisées en vertu du RGPD?
En bref, RGPD pré-cochées RGPD ne sont pas autorisées, car elles ne constituent pas un consentement valable.
Cette question a été examinée en détail par la Cour de justice de l'Union européenne (CJUE) dans l'affaire 2019 Planet49.
En résumé, Planet49 a organisé une loterie sur son site web : Planet49 a organisé une loterie sur son site web et, pour y participer, les utilisateurs devaient cocher une case pour consentir à recevoir des messages publicitaires de la part de tiers. Les utilisateurs pouvaient également choisir de décocher une case pré-cochée pour consentir à l'utilisation de cookies.
Dans son arrêt, la CJUE a établi que les sites web doivent obtenir le consentement valable des utilisateurs pour stocker des cookies sur leurs appareils. En particulier, les sites web doivent donner aux utilisateurs la possibilité de donner leur consentement actif avant de placer des cookies sur leurs ordinateurs.
Le consentement actif signifie que l'utilisateur doit effectuer une action pour manifester son consentement.
Étant donné que RGPD pré-cochées RGPD n'exigent pas de l'utilisateur qu'il effectue une action pour manifester son consentement, elles ne constituent pas un consentement valable.
Au lieu d'inviter l'utilisateur à cocher une case pour donner son consentement, les cases pré-cochées n'exigent rien de sa part, si ce n'est le silence et la passivité.
La CJUE a également noté que :
- Le consentement doit être donné « sans ambiguïté », et seul un comportement actif et affirmatif de la part de l'utilisateur peut satisfaire à cette exigence.
- Il est impossible de déterminer objectivement si un utilisateur a donné son consentement éclairé en ne cochant pas une case pré-cochée. En effet, il se peut que l'utilisateur n'ait pas lu les informations figurant à côté de la case pré-cochée ou qu'il ait tout simplement ignoré cette case.
- Il n'est pas possible d'obtenir un consentement valable pour plusieurs finalités au moyen d'une même demande. Par exemple, vous ne pouvez pas obtenir le consentement valable d'un utilisateur si celui-ci coche une case pour autoriser la communication d'informations aux annonceurset l'utilisation de cookies.
L'utilisateur doit pouvoir sélectionner activement la case à cocher pour laquelle il souhaite donner son consentement si l'on veut que celui-ci soit considéré comme non ambigu.
Autres éléments à prendre en compte pour déterminer le consentement
Selon les orientations de mai 2020 du Conseil européen de la protection des données (CEPD) sur le consentement RGPD , les entreprises doivent également renouveler tout consentement obtenu dans le cadre du régime juridique précédent.
Par exemple, avant le RGPD, la directive "vie privée et communications électroniques" autorisait les cases à cocher pré-cochées à condition qu'elles soient utilisées pour obtenir le consentement.
Cela signifie que si vous avez utilisé une case à cocher pré-cochée avant l'entrée en vigueur du RGPD , vous devez à nouveau demander le consentement en utilisant une méthode valide.
Quand les cases pré-cochées sont-elles acceptables ?
En résumé, les cases pré-cochées ne sont pas acceptables pour les cookies non essentiels car elles ne répondent pas aux exigences du RGPDen matière de consentement, mais vous pouvez les afficher pour les cookies essentiels.
Les cases à cocher pré-cochées sont-elles acceptables pour les cookies essentiels ?
Il n'est pas nécessaire d'utiliser des cases à cocher pré-cochées pour les cookies "essentiels" qui ne requièrent pas de consentement en premier lieu. Parce qu'ils ne requièrent aucune forme de consentement de la part de l'utilisateur, il n'est pas nécessaire de donner aux utilisateurs la possibilité de refuser les cookies essentiels.
Toutefois, si vous le souhaitez, vous pouvez choisir d'inclure une case à cocher pré-cochée pour les cookies essentiels. L'utilisation d'une case à cocher pré-cochée pour les cookies essentiels peut aider le public à comprendre la différence entre les cookies essentiels et non essentiels et à savoir qu'il a la possibilité d'accepter les cookies non essentiels.
Les cases à cocher pré-cochées sont-elles acceptables pour d'autres cookies ?
Non, les cases à cocher pré-cochées ne sont pas acceptables pour les cookies non essentiels. Comme nous l'avons vu plus haut, les cookies non essentiels requièrent un consentement valable. Cela signifie que vous ne pouvez pas utiliser une case à cocher pré-cochée pour obtenir ce consentement.
Que se passe-t-il si vous utilisez des cases à cocher pré-cochées pour les cookies ?
L'UE est toujours à l'affût des entreprises qui enfreignent le RGPD et les normes strictes de la directive "vie privée et communications électroniques". Voici deux exemples récents illustrant ce qui pourrait arriver si vous ne respectez pas les règles de l'UE en matière de cookies.
L'amende de 121 millions de dollars infligée par Google pour les cookies
Le 10 décembre 2020, la Commission nationale de l'informatique et des libertés (CNIL), l'autorité française chargée de la protection des données, a infligé à Google une amende colossale de 121 millions de dollars (100 millions d'euros) pour n'avoir pas obtenu de consentement préalable avant de placer des cookies non essentiels sur les navigateurs des utilisateurs.
La CNIL a découvert que lorsque les utilisateurs se rendaient sur le site Google.fr, des cookies publicitaires étaient automatiquement placés sur leur navigateur sans qu'aucune action ne soit requise de leur part. Google n'a pas utilisé de case pré-cochée, mais n'a pas donné aux utilisateurs la possibilité d'exercer leur droit d'opposition.
Google.fr n'avait qu'une bannière d'information au bas de la page, qui contenait un rappel de confidentialité de Google et deux boutons, "Accéder maintenant" et "Me rappeler plus tard".
Il n'y avait pas non plus d'information sur les cookies publicitaires non essentiels qui avaient déjà été placés sur les ordinateurs des utilisateurs lorsqu'ils arrivaient sur Google.fr.
L'amende de 42 millions de dollars infligée à Amazon pour ses biscuits
Le même jour, la CNIL a infligé à Google une amende de 35 millions d'euros (42 millions de dollars) à Amazon.
Comme Google.fr, Amazon.fr place automatiquement des cookies sur les ordinateurs des utilisateurs sans leur demander de faire quoi que ce soit pour indiquer leur consentement. Les informations fournies sur les cookies n'étaient également "ni claires ni complètes".
Comme pour Google.fr, le site bannière de cookies d'Amazon n'offrait pas aux utilisateurs la possibilité d'accepter les cookies, et le site plaçait des cookies sur les appareils des utilisateurs avant qu'ils n'aient eu la possibilité de lire le site politique de cookies d'Amazon ou d'exercer leur droit de refus. Au lieu de cela, il a déclaré que les utilisateurs étaient réputés avoir accepté l'utilisation de cookies par le site en utilisant le site web.
Ces affaires montrent clairement que le fait de s'appuyer sur un consentement implicite ou sur des cases à cocher pré-cochées expose votre organisation à des sanctions importantes. En vertu du RGPD et de la directive "vie privée et communications électroniques", le consentement doit être explicite, éclairé et fondé sur une action claire de l'utilisateur, et non sur des suppositions.
Quelles sont les exigences RGPD ?
Le RGPD une définition restrictive du consentement, telle qu'énoncée àl'article 7, et précise qu'il est interdit aux organisations de recourir au consentement implicite ou au consentement par défaut.
Au lieu de cela, le consentement doit être :
- Un acte affirmatif clair
- Librement consentie
- Spécifique
- Informé
- Sans ambiguïté
De plus, les entreprises doivent offrir aux utilisateurs un moyen simple deretirer leur consentement une fois qu'ils l'ont donné.
Tous les cookies nécessitent-ils le consentement de l'utilisateur en vertu du RGPD?
En vertu du RGPD, les seuls types de cookies Internet qui ne nécessitent pas le consentement de l'utilisateur sontceux qui sont indispensables au bon fonctionnement des sites web, appelés « cookies strictement nécessaires » ou « cookies essentiels ».
Le RGPD les cookies une seule fois dans ses 88 pages. En effet, des précisions supplémentaires sont fournies dans le texte législatif qui l'accompagne, à savoir la directive « ePrivacy », surnommée la loi européenne sur les cookies.
Si l'on considère RGPD le RGPD et la directive « ePrivacy », tous les cookies Internet nécessitent en principe le consentement de l'utilisateur, sauf s'ils sont strictement nécessaires.
En effet, la directive « e-vie privée » a pour objectif de protéger les utilisateurs contre toute atteinte à leur vie privée. Cela inclut les risques liés aux identifiants cachés et aux fichiers similaires placés sur les appareils des utilisateurs à leur insu, en plus de leurs données à caractère personnel.
Que sont les cookies strictement nécessaires ou essentiels ?
En vertu du RGPD, vous n'avez généralement pas besoin du consentement de l'utilisateur si vous utilisez des cookies strictement nécessaires.
Il s'agit de cookies indispensables au bon fonctionnement du site, notamment :
- Cookies qui permettent à votre boutique en ligne de conserver les articles d'un client dans son panier.
- Cookies d'authentification
- Cookies de sécurité centrés sur l'utilisateur
- les plugins de médias sociaux pour le partage de contenu, à condition qu'ils ne soient pas utilisés pour suivre les utilisateurs
- Cookies de personnalisation de l'interface utilisateur
Que sont les cookies d'équilibrage de charge ?
Il existe également des cookies qui servent uniquement à la communication sur un réseau de communication électronique ; on les appelle « cookies d'équilibrage de charge ».
Ces cookies sont généralement considérés comme strictement nécessaires et ne nécessitent pas le consentement de l'utilisateur tant qu'ils sont stockés sur son appareil pendant la durée de sa session.
Parmi les exemples, on peut citer les cookies qui :
- Échanger les données dans l'ordre prévu
- Envoyer des informations sur un réseau
- Détecter les pertes de données ou les erreurs de transmission
Tous les autres cookies, notamment ceux liés à l'analyse de données et à la publicité, nécessitent un consentement, car ils visent à servir les intérêts de l'entreprise et non ceux de ses utilisateurs.
Vous pouvez facilement identifier les cookies présents sur votre site web grâce à notre outil gratuit d'analyse des cookies.
Pour vous assurer que vos pratiques en matière de cookies respectent les normes légales, vous pouvez également utiliser une solution telle que plateforme de gestion du consentementTermly, qui vous aide à recueillir des consentements valides, à gérer les préférences et à tenir à jour des registres conformes sur l'ensemble de votre site.
Natasha Piirainen est une rédactrice spécialisée dans la protection de la vie privée. Elle est titulaire d'une licence en anglais et philosophie du Wheaton College et possède plus de 10 ans d'expérience professionnelle dans le développement de contenus axés sur la recherche.
Lire tous les articles de Natasha Piirainen
Révisé par Masha Komnenic CIPP/E, CIPM, CIPT, FIP
Masha Komnenic est conseillère juridique et directrice mondiale de la confidentialité Termly. Elle est titulaire d'un diplôme en droit de l'université de Belgrade. Elle est spécialisée dans la mise en œuvre, le contrôle et l'audit de la conformité des entreprises aux réglementations en matière de confidentialité (HIPAA, PIPEDA, directive ePrivacy, RGPD, CCPA, POPIA, LGPD).
Lire tous les articles révisés par Masha Komnenic CIPP/E, CIPM, CIPT, FIP
