« Ce site web utilise des cookies » Voilà une phrase que connaissent désormais par cœur les internautes. Du jour au lendemain cette pop-up est venue secouer le train-train quotidien de tout utilisateur en quête de savoir ou à la recherche de son précieux et sans qu’ils le sachent, cela remet en question tout un business model utilisé depuis des années par les acteurs du marketing digital. Après la déferlante RGPD, le beau temps ? Non, l’e-Privacy ! Peu à peu elle se profile et apporte avec elle une vague de nouveaux règlements qui ne fait pas toujours l’unanimité entre voisins européens.
Du RGPD au règlement ePrivacy
Le projet e-Privacy est né du RGPD (Règlement Général sur la Protection des Données) qui, pour rappel, est entré en vigueur en mai 2018 et a modifié avec lui la réglementation en France concernant la récolte et le traitement des données personnelles. Avec toutes les avancées technologiques qui ne cessent de croître, la directive 2002/58/CE « vie privée et communications électroniques » de 2002, a dû subir une mise à jour laissant place à ce nouveau règlement d’ e-Privacy. Ce projet vient compléter le RGPD par des règles spécifiques propres au secteur des communications électroniques. Plus stricte que son ascendant la RGPD, il vise à renforcer la protection des données électroniques personnelles des utilisateurs se trouvant en Union Européenne. Initialement prévu pour entrer en vigueur le même jour que le RGPD, ce projet, en raison de son importance, a suscité d’importants désaccords entre les Etats membres et a par ailleurs vu son adoption reportée à plusieurs reprises. Cependant, après trois années de délibération, il semblerait que l’adoption définitive du règlement e-Privacy soit proche.
Mais que prévoit exactement ce nouveau règlement ?
Le règlement e-Privacy 2021 (ou règlement du Parlement européen et du Conseil concernant le respect de la vie privée et la protection des données à caractère personnel dans les communications électroniques) est un projet qui a pour objectif de réglementer toutes les communications électroniques sur les services et les réseaux accessibles au grand public au sein de l’UE et tient tout particulièrement compte des configurations propres aux environnements web et aux applications mobiles.
Là où le RGPD encadre le traitement des données à caractère personnel (qu’elles soient collectées en ligne ou hors ligne) , le règlement e-Privacy lui encadre les échanges d’information (métadonnées) qui transitent au sein des fournisseurs de services électroniques. Les principaux objectifs qui s’articulent autour de l’e-Privacy sont les suivants :
2. Mieux contrôler les cookies : en clarifiant la réglementation sur les cookies afin de donner davantage de pouvoir aux utilisateurs et en renforçant les règles de consentement. Ainsi, les cookies-tiers qui pistent la vie privée des internautes pourraient être bloqués tout en laissant aux utilisateurs le pouvoir de choisir les cookies qu’ils souhaitent accepter ou non.
3. Consolider les règles relatives au traitement, à la confidentialité et à la sécurité des données relatives aux communications électroniques, pour renforcer la confiance des personnes dans le marché unique numérique, qu’il s’agisse de personnes physiques ou morales.
En somme, le projet de règlement e-Privacy 2021 couvre donc toutes les communications électroniques et vise à protéger les internautes au sein de l’Union Européenne contre l’ingérence de tiers dans leurs communications privées, sauf s’ils donnent leur consentement au préalable.
ePrivacy : une nouvelle recette pour les cookies !
Si le nouveau projet de règlement e-Privacy cherche à renforcer la protection des données des individus en UE, il n’en est pas moins concernant la réglementation des cookies ! La question du consentement des internautes avant le dépôt de cookies sur leurs navigateurs est au cœur de ce nouveau texte qui redéfinit les règles sur la manière dont les sites web sont autorisés à les utiliser.
Le nouveau règlement e-Privacy renforce le devoir d’information et du consentement des utilisateurs en renvoyant aux dispositions du RGPD. La simple poursuite sur un site sans action sur le bandeau cookie, ne sera plus considérée comme une acceptation !
Les autorités communautaires estiment que les bandeaux d‘information déployés aujourd‘hui sur tous les sites n‘ont pas permis d‘atteindre l‘objectif d‘informer clairement l‘utilisateur. Aussi, peu d’utilisateurs font véritablement attention aux cookies, ne savent même pas ce que c’est et s’exposent même à ce que des cookies soient installés sans son consentement. Les plus aguerris installent des Adblockers sur leur navigateurs mais se voient souvent refuser l’accès à certains sites et finissent par être contraints d’accepter les cookies.
70 cookies permettant l’envoi d’informations à 146 acteurs différents, c’est ce qu’un internaute recueille en moyenne lors de la consultation d’un article sur chacun des trois principaux sites d’informations en ligne
e-marketing.fr
Pour remédier à ce problème, la Commission européenne souhaite limiter leurs usages et fait la distinction entre 2 types de cookies : ceux nécessaire et ceux non nécessaires :
• Les cookies nécessaires : ce sont des cookies qui sont absolument nécessaires au bon fonctionnement d’un site Web. Cela signifie, par exemple, enregistrer les données de connexion, le panier d’achat ou bien la sélection de la langue à l’aide de cookies de session (qui sont supprimés lorsque le navigateur est fermé).
• Les cookies non nécessaires : eux sont considérés comme des fichiers texte qui ne servent pas uniquement à la fonctionnalité du site Web, mais qui collectent aussi d’autres types de données. Il s’agit des cookies de suivis, de ciblage pour le retargeting, d’analyse et ceux utilisés pour les réseaux sociaux.
Le principe de l’opt-out pour la pose de cookies sur un navigateur, toléré jusqu’à présent selon les pays, sera remplacé par l’opt-in, qui consiste à obtenir le consentement de l’utilisateur, au préalable, avant le dépôt des cookies. Mais ce n’est pas tout !
Another Break in the “Cookie” Wall
Il existe une pratique consistant à interdire l‘accès au contenu ou au service en échange de l‘obtention du consentement au traitement des données personnelles de l‘utilisateur : C’est le fameux cookie wall. Après de nombreux débats, le Comité européen de la protection des données a décidé que seuls les mécanismes n’offrant pas d’autre alternative que celle de refuser l’accès à un service seraient prohibés. Ainsi, le projet prévoit que la mise en place de cookies walls sera autorisée lorsque le fournisseur du service concerné propose une alternative à l’utilisateur qui ne souhaite pas donner son consentement au dépôt et à la lecture de traceurs. Par exemple, si l’accès à un site web est conditionné à l’acceptation des cookies, cette pratique sera admise si l’éditeur dudit site propose un service alternatif dont l’accès n’est pas soumis à l’acceptation des cookies. C’est le cas par exemple d’AlloCiné qui propose soit d’accepter les cookies soit de payer 2€ par mois en cas de refus de ceux-ci.
Si les cookies sont au centre de ce nouveau projet de loi, il n’en est pas moins concernant le consentement des utilisateurs.
Le consentement des individus : au cœur de cette nouvelle réforme
Le consentement des utilisateurs avant le dépôt de cookies sur leur navigateur est une priorité dans le règlement e-Privacy. Ce texte expose le principe d’un consentement préalable de l’utilisateur avant le stockage d’informations sur son terminal ou l’accès à des informations déjà stockées sur celui-ci. Désormais :
• la simple poursuite de la navigation sur un site ne peut plus être considérée comme une expression valide du consentement de l’internaute.
• les personnes doivent consentir au dépôt de traceurs par un acte positif clair (comme le fait de cliquer sur « j’accepte » dans une bannière cookie). Si elles ne le font pas, aucun traceur non essentiel au fonctionnement du service ne pourra être déposé sur leur appareil.
• Les utilisateurs devront être en mesure de retirer leur consentement, facilement, et à tout moment.
• Refuser les traceurs doit être aussi aisé que de les accepter.
Pour résumer, les internautes doivent clairement être informés des finalités des traceurs avant de consentir, ainsi que des conséquences qui résultent d’une acceptation ou un refus des cookies.
Vers une harmonisation de la gestion des cookies en Union Européenne
En Europe, la plupart des pays doivent se conformer aux le règlement général sur la protection des données (RGPD) et la Directive sur la vie privée et Communications électroniques (EPD) lorsqu’il s’agit des cookies. Cependant, les règles sur les cookies diffèrent à travers le continent en raison de trois les raisons:
• certains pays européens ne font pas partie de l’Union européenne et ne sont donc pas
soumis à certaines lois de l’UE, par ex. La Suisse.
• Dans leur mise en œuvre du RGPD, autorités nationales de protection des données (APD)
ont fourni des points de vue relativement divergents sur des aspects spécifiques du RGPD, y compris sur des règles concernant les cookies.
• Les États membres de l’UE ont adopté différentes approches sur les cookies dans leur transposition de la DEP.
Cependant, pourquoi tant de temps pour un règlement qui pourrait paraître logique ? Nous parlons d’un règlement qui doit apporter une sécurité supplémentaire aux utilisateurs avec derrière de gros enjeux économiques et quant à l’expérience utilisateur.
Des désaccords qui persistent entre les pays Européens
L’e-Privacy, comme le RGPD possèdent des clauses d’ouverture c’est-à-dire que les États membres de l’UE vont pouvoir influer sur certains paragraphes et dans les détails de la mise en œuvre. Cependant chaque pays doit encore modifier ou adapter des points de la législation nationale pour se conformer et respecter le droit européen. En Europe, la question des alternatives aux classiques cookies fait l’objet de débats dans le cadre du projet de règlement « e-Privacy. Alors que le texte était bloqué depuis 2017 en raison de nombreuses divergences, les Etats membres se sont finalement accordés et ont présenté un projet final le 10 février 2021.
Pourtant, les modifications de dernière minute apportées au texte et l’abstention de certains pays lors du vote final illustrent que de fortes divisions entre les pays de l’UE persistent. En tant que telle, la version compromise du projet de proposition comprend de nombreuses dispositions restrictives, qui pourraient avoir un impact crucial sur le secteur du marketing direct, ainsi que sur la publicité, les médias, les services numériques et l’innovation future. En particulier, des contraintes juridiques excessives seront directement ressenties par les PME européennes qui luttent déjà en raison de la pandémie tout en essayant de survivre sur un marché de plus en plus axé sur les données.
Plusieurs pays sont en désaccord avec la dernière version du nouveau règlement européen. Parmi eux, le Portugal, l’Autriche, la France ou encore la République Tchèque. Ces derniers ont demandé à la Commission européenne de revoir le texte du règlement e-Privacy. Certains pays, par exemple, trouvent les propositions de la Commission sur l’utilisation des données privées trop strictes alors que d’autres estiment que le règlement ePrivacy pourrait entraîner une diminution du niveau de protection. Par exemple :
Au Portugal, les portugais veulent que le traitement des données stockées sur les équipements terminaux des utilisateurs finaux ne peut être autorisé, avec consentement, que :
• si les données seront rendues anonymes, si le traitement est « limité aux informations qui sont pseudonymisées »
• si les informations ou les données ne seront pas utilisées pour établir un profil de l’utilisateur final.
En Croatie, la présidence croate a introduit l’idée de la possibilité de traiter les métadonnées et les cookies des communications électroniques lorsque cela est nécessaire pour des intérêts légitimes et dans certaines circonstances (ce qui a suscité des réactions assez mitigées de la part des États membres).
En Allemagne, la présidente de l’Union européenne a finalement adopté un rapport de progrès sur la proposition de règlement e-Privacy. Dans ce rapport, elle constate notamment que le texte proposé était trop restrictif au regard de l’innovation et du traitement des métadonnées, notamment à des fins de sécurité.
En Finlande, la version finlandaise ne faisait pas l’unanimité car elle incluait le M2M (machine-to-machine) dans le champ d’application de la proposition et manquait de cohérence et d’alignement avec le RGPD.
Ce projet de règlement en raison de son importance sollicite de nombreux débats et a par ailleurs vu son adoption reportée plusieurs fois en raison de désaccords profonds des députés européens sur les différents points exposés. Cela prouve une chose : l’importance des enjeux qui en découlent et la nécessité d’une prise de conscience rapide des citoyens européens. Cependant, la politique européenne sur les cookies a aussi eu un impact sur le reciblage, où les experts en marketing Web utilisent des cookies de suivi pour encourager les clients à effectuer d’autres transactions. Quel avenir réserve cette nouvelle réglementation auprès des acteurs du marketing et auprès des utilisateurs d’internet ? Quoi qu’il en soit, le contenu définitif du règlement e-Privacy devrait voir le jour dans les quelques mois à venir et avoir de beaux jours devant lui.
Sources :
https://www.cnil.fr/fr/cookies-et-traceurs-que-dit-la-loi
https://www.europe1.fr/societe/quel-est-ce-projet-eprivacy-qui-fait-polemique-3594062
https://www.cabinetderoulez.com/fr/blog/fr/2018/02/23/deroulezavocat-dataprotection-rgpd-eprivacy-veille-actualite-2018-protectiondesdonneespersonnelles
https://www.petitweb.fr/tendance/rgpd-et-eprivacy-quelles-differences/
https://www.oodrive.com/fr/blog/reglementation/eprivacy-toujours-pas-de-consensus-autour-du-reglement-europeen/