Cookies et autres traceurs

Lorsque vous vous connectez à Internet, vous échangez des messages électroniques avec le serveur connecté à la "toile". Ces messages contiennent des en-têtes ("headers"). Ces en-têtes comportent des "mini-fichiers" qui peuvent être stockés à la fois sur votre appareil et sur le serveur du site Internet que vous visitez. À l'origine, un cookie est donc un "mini-fichier" utilisé pour faciliter la communication entre votre appareil (ordinateur, smartphone, tablette, …) et le serveur du site Internet. Le cookie au sens strict fait l’objet d’une définition normalisée (RFC 6265 de l’Internet Engineering Task Force) et remplit un rôle de témoin d'une transaction en stockant certaines informations. On parle parfois de "témoins de connexion".  

Dans sa forme la plus simple, le contenu d'un tel mini-fichier est par exemple : SID=31d4d96e407aad42 où “SID” constitue la clé d'une valeur déterminée “31d4d96e407aad42”. Lors de la visite d'un site Internet, d'autres méthodes peuvent encore être utilisées pour envoyer des données à caractère personnel sous la forme de paires clé-valeur. Ces traceurs, balises, bugs ou pixels invisibles en font usage. Ces méthodes sont principalement les méthodes HTTP GET et POST décrites dans la RFC 7231. Les RFC ou Requests for Comments sont des documents créés dans le cadre d'un processus de discussion et de publication sous le contrôle de l'Internet Engineering Task Force (IETF).

Outre ces méthodes autres que la méthode cookie pour le transport, il existe également d'autres moyens de stocker des paires clé-valeur. Il s'agit ici des données placées en stockage local ("Local Storage") ou en stockage de session ("Session Storage"), dans le contexte de "HTML5", en bref dans le cadre d'une technologie Internet moderne plus récente. Il est possible d'y stocker davantage de données qu'avec les cookies, les données n'expirent pas (dans le cas du Local Storage) et ne peuvent pas être lues par le serveur. Ces données ne sont donc pas des cookies au sens strict, mais peuvent néanmoins être lues par le "browser" (navigateur) au moyen de scripts ayant la même "origine".  On constate que ces scripts peuvent envoyer des données à des parties tierces en utilisant les méthodes susmentionnées. Les cookies et autres technologies comprennent donc également ces autres méthodes de transport et ces autres modes de stockage. C’est pourquoi nous parlerons ici de cookies et autres traceurs.

Entre-temps, les cookies ont été utilisés pour de nouvelles finalités : pour améliorer les performances du site, pour mesurer l’audience du site et rassembler des statistiques, pour mémoriser les préférences des utilisateurs (notamment en termes de langue), pour sauvegarder un panier d’achat, etc. L'utilisation de cookies fait de plus en plus partie des modèles d'entreprise axés sur les données, les données (à caractère personnel) étant notamment utilisées à des fins de profilage et/ou d'envoi de publicité ciblée...
Ces cookies et autres technologies peuvent être distingués selon différents critères, comme la finalité de leur utilisation, le domaine qui les place sur votre appareil ou encore leur durée de vie.

• Distinction selon la finalité du cookie

Les cookies peuvent être utilisés pour de nombreuses finalités différentes. Ils peuvent notamment être utilisés pour supporter la communication sur le réseau (cookie de connexion), pour mesurer l’audience d’un site Internet (cookies de mesure d’audience, aussi appelés "cookies analytiques" ou "cookies statistiques"), à des fins de marketing et/ou de publicité comportementale, à des fins d’authentification, à des fins de sécurisation de sites Internet, à des fins de répartition de charge (où le cookie placé permet d'attribuer une étiquette au trafic, sur la base duquel une charge optimale est recherchée), à des fins de personnalisation de l’interface utilisateur ou encore afin de permettre l’utilisation d’un lecteur multimédia.

Lorsque le consentement est demandé, les cookies utilisés doivent être classés sur la base de leurs finalités (spécifiques). Ceci implique entre autres que l'utilisation pour sa propre publicité/son propre profilage et l'utilisation pour la publicité/le profilage de tiers sont qualifiées de finalités distinctes, tout comme l'utilisation de cookies pour partager, aimer ou suivre une page sur des réseaux sociaux et l'utilisation de cookies pour personnaliser des publicités visent des finalités différentes.

• Distinction selon le domaine qui place le cookie sur votre appareil : cookies "internes" (first party) et cookies "tiers" (third party)

Les cookies "internes" sont placés directement par le domaine inscrit dans la barre d’adresse du navigateur. Il s’agit en d’autres termes de cookies placés directement par le propriétaire du site Internet que vous visitez.

Les "cookies tiers" sont quant à eux placés par un domaine différent de celui que vous visitez. Cela arrive lorsque le site Internet incorpore des éléments d’autres sites Internet comme des images, des plugins de médias sociaux (comme le bouton "J’aime" de Facebook) ou des publicités. Lorsque ces éléments sont extraits par le navigateur ou par un autre logiciel au départ d’autres sites, ceux-ci peuvent également placer des cookies qui pourront ensuite être lus par les sites qui les ont placés. Ces "cookies tiers" permettent à ces tiers de suivre le comportement des internautes dans le temps et au travers de nombreux sites Internet et de créer, à partir de ces données, des profils de personnes (profilage), notamment dans le but de pouvoir à l’avenir mettre en place un marketing plus précis et plus ciblé lors des futures sessions de navigation de ces internautes ainsi tracés.

• Distinction selon la durée de validité du cookie : "cookies de session" et "cookies persistants" (ou "cookies permanents")

Les "cookies de session" sont automatiquement supprimés lorsque vous fermez votre navigateur, tandis que les "cookies persistants" restent stockés sur votre appareil (ordinateur, smartphone, tablette, ...) jusqu'à une date d'expiration prédéterminée (qui peut s'exprimer en minutes, en jours ou en années).

Dans la plupart des cas, un cookie ou autre traceur ne pourra être installé ou lu sur un de vos appareils que si vous avez été préalablement informé clairement et simplement, notamment, de ce que font ces cookies et de la raison pour laquelle il y est fait recours et que vous avez, ensuite, consenti à leur utilisation.

L’obligation de vous informer et de recueillir votre consentement s’impose pour tous les cookies et autres technologies similaires qui permettent le stockage d’informations ou l’obtention de l’accès à des informations déjà stockées dans un de vos appareils, indépendamment du fait que les informations stockées constituent des données à caractère personnel.

Il existe néanmoins deux situations dans lesquelles le placement et la lecture de cookies ne doivent pas être précédés de votre consentement (ce que l'on appelle les "cookies strictement nécessaires") :

• Les cookies fonctionnels strictement nécessaires, qui sont strictement nécessaires pour fournir un service que vous avez expressément demandé (comme pour la conservation temporaire du choix de la langue, des préférences en matière de cookies ou du contenu du panier d’achat ou pour garantir la sécurité d’une application bancaire).
• Les cookies techniques strictement nécessaires, qui sont strictement nécessaires à l'envoi d'un message via un réseau de communication électronique (comme par exemple des cookies de session pour le load balancing (la répartition de charge) dans le cadre duquel le cookie mis en place permet d'attribuer une étiquette au trafic, sur la base de laquelle une charge optimale est recherchée).

Souvent, l'utilisation de cookies implique le traitement de vos données à caractère personnel. Vous trouverez davantage d'informations concernant vos droits dans notre dossier "Quels sont mes droits?".

Le consentement que les internautes doivent fournir en vue du placement ou de la lecture de cookies non strictement nécessaires et d’autres technologies similaires doit, pour être valable, répondre aux conditions générales de licéité du consentement telles que prévues par le RGPD : préalable, libre, spécifique, éclairé, actif et univoque (mais aussi "rétractable").

• Préalable

Aucun cookie non strictement nécessaire ne peut être placé ou lu sur l’ordinateur, le smartphone ou la tablette d’un utilisateur tant que celui-ci n’a pas donné son consentement.

• Univoque et actif

Le consentement doit se manifester par une action positive de la personne préalablement informée des conséquences de son choix. Le consentement de la personne concernée peut par exemple être donné en cliquant sur un lien ou en activant un bouton par un clic ou un glissement (ce que l'on appelle l' "opt-in").

Le consentement n’est toutefois pas valablement donné s'il est obtenu au moyen d’une case cochée par défaut que l'utilisateur doit décocher pour refuser de donner son consentement (aussi appelé "opt-out"). Par ailleurs, la poursuite de la navigation ou l'acceptation des conditions d'utilisation ne peut pas non plus être considérée comme un consentement valable. Enfin, le consentement de l'utilisateur ne peut pas non plus être déduit de ses paramètres de navigation.

• Éclairé

Le consentement doit être précédé de la communication d’informations précises sur le responsable du traitement, les finalités poursuivies par les cookies et autres dispositifs de traçage placés ou lus, les données qu’ils collectent et la durée de vie de ces cookies. Les informations doivent également porter sur l'utilisation éventuelle des données pour une prise de décision automatisée et sur les droits que le RGPD reconnaît aux personnes concernées, y compris le droit de retirer son consentement.
L’information doit être visible, complète et clairement mise en évidence. Elle doit être rédigée en des termes simples et compréhensibles pour l'utilisateur. Cela implique notamment que l’information soit rédigée dans une langue aisément compréhensible pour le "public cible" auquel elle s’adresse. En pratique, si votre site Internet s’adresse à un public adolescent, vous devrez utiliser un langage qui soit suffisamment simple pour pouvoir être compris par ce public cible. Dans la même logique, si votre site Internet s’adresse à un public francophone et/ou néerlandophone, vous devez fournir l’information en français et/ou en néerlandais.

Le premier "niveau" restitue d'une façon très claire et concise les différentes finalités pour lesquelles le consentement est demandé (par ex. en utilisant une mise en évidence en gras, des puces, etc.) ; Ce "niveau" reprend également au moins les informations suivantes :

• l'identité de l'entité (des entités) responsable(s) du dépôt ou de la lecture des cookies (le cas échéant avec indication du nombre de partenaires et un hyperlien vers la liste complète répartie par catégorie) ;
• la manière dont les cookies peuvent être acceptés ou refusés ;
• les conséquences du refus ou de l'acceptation de cookies ;
• l'existence du droit de retirer le consentement et la manière dont on peut le faire.

En outre, un "niveau inférieur" reprend la liste complète des cookies utilisés, classés par catégorie, y compris leur finalité spécifique, leur durée de vie et les destinataires de ces cookies.

Lorsque des données à caractère personnel sont traitées (ce qui est quasiment toujours le cas lors de l'utilisation de cookies), il convient évidemment aussi de fournir toutes les informations nécessaires pour répondre à l'obligation de transparence prévue aux articles 12 - 14 du RGPD.

• Libre

Vous devez pouvoir accepter ou refuser, pour chaque application et chaque site Internet, le dépôt de cookies sans contrainte, pression ni influence extérieure. Cette exigence implique notamment que vous ne pouvez pas vous voir refuser certains services ou avantages au motif que vous n’auriez pas consenti à l’utilisation de cookies non strictement nécessaires. La personne qui refuse un cookie nécessitant un consentement doit pouvoir continuer à bénéficier du service, tel l’accès à un site Internet.

• Spécifique

Le RGPD requiert que le consentement, en ce compris au placement et à la lecture de cookies, soit spécifique, c’est-à-dire qu’il doit être donné pour des traitements de données bien définis (spécifiques).
Le fait d’activer le bouton de participation à un jeu, de confirmer un achat ou d’accepter des conditions générales ne suffit donc pas pour considérer que vous avez valablement donné votre consentement au placement de cookies (voir aussi le caractère "univoque" susmentionné).

Le consentement ne peut pas non plus être valablement donné pour la seule "utilisation" de cookies, sans autre précision quant aux données collectées via ces cookies ni quant aux finalités pour lesquelles ces données sont collectées. Le RGPD exige un choix plus détaillé qu'un simple "tout ou rien".

Si le propriétaire d’un site Internet ou d’une application mobile sollicite votre consentement pour plus d'un type de cookies (classés sur la base de finalités suffisamment spécifiques), vous devez au moins avoir le choix de donner (ou de refuser) votre consentement pour chaque type de cookies.

Il est même recommandé aux exploitants de sites Internet de vous donner, dans un "niveau d'information" suivant, la possibilité de ne donner votre consentement que par cookie individuel. Cela suppose que chaque cookie n'est donc utilisé que pour une seule finalité spécifique.
Par ailleurs, la possibilité vous est donnée, le cas échéant dans un "niveau" inférieur, d'accepter (ou non) l'utilisation de cookies par "partenaire" (responsable conjoint du traitement).

• Rétractable

Vous devez pourvoir retirer, à tout moment, votre consentement aussi facilement que vous avez pu le donner. Il est en outre nécessaire que vous soyez informé de cette possibilité au moment de donner votre consentement.

Le retrait du consentement peut par exemple se faire à l'aide d'un bouton dit "hover" clair, qui est en fait un bouton persistant avec un effet lors du survol par le pointeur de la souris, ou à l'aide d'un lien clair dans le pied de chaque page qui permet de toujours revenir aux paramètres relatifs aux cookies et de retirer son consentement en un seul clic.

Il faudra alors veiller à ce que ce retrait du consentement ait effectivement l'effet souhaité (par exemple en plaçant un "Set-Cookie" avec le même "path" et le même "domain", mais avec une durée de vie négative). Vous pouvez évidemment toujours effacer les cookies vous-même (pour plus d'informations par type de navigateur, voir notre politique en matière de cookies).

Les informations stockées sur le poste de travail de l’utilisateur et les cookies ne peuvent être conservés au-delà du temps nécessaire à l'accomplissement de la finalité poursuivie. Ce délai de conservation ne peut donc être indéterminé. Lorsque les informations collectées et stockées dans un cookie et les informations collectées suite à la lecture d’un cookie ne sont plus nécessaires à la finalité poursuivie, vous devez les supprimer.

Toutefois, il n'est pas toujours possible d'effacer les cookies en temps utile, par exemple lors d'une interruption impromptue de la communication. Il faut alors que la politique en matière de cookies explique clairement la manière d'effacer ces cookies et autres traceurs par une intervention plus explicite du visiteur du site (exemple : fonction d'effacement des cookies prévue dans chaque navigateur).

Un cookie exempté de l’obligation de consentement doit avoir une durée de vie en relation directe avec la finalité pour laquelle il est utilisé et être paramétré de manière à expirer dès qu’il n’est plus nécessaire, compte tenu des attentes raisonnables de l’utilisateur. Les cookies exemptés de consentement seront donc probablement réglés de manière à expirer lorsque la session de navigation prend fin, voire avant. Mais ce n’est pas toujours le cas. Par exemple, dans le scénario du panier d’achat, un commerçant pourrait régler le cookie de manière à ce qu’il subsiste après la fin de la session de navigation ou pendant quelques heures pour tenir compte du fait que l’utilisateur pourrait fermer accidentellement son navigateur et s’attendre raisonnablement à retrouver le contenu de son panier d’achats en revenant sur le site Internet du commerçant quelques minutes plus tard. Dans d’autres cas, l’utilisateur peut demander expressément au service de mémoriser certaines informations d’une session à l’autre, ce qui nécessite l’utilisation de cookies persistants.

Pour les cookies qui mémorisent des préférences en matière de cookies, l'Autorité de protection des données estime qu'une durée de vie de 6 mois est en principe raisonnable.

Oui, sauf s’ils n’utilisent que des « cookies strictement nécéssaires ».

Un cookie est qualifié «strictement nécéssaire» dès lors qu’il est indispensable pour réaliser l'envoi d'une communication via un réseau de communications électroniques ou pour fournir un service que vous avez expressément demandé.

Voici quelques exemples de « cookies strictement nécéssaires » pour lesquels le vous ne devez pas donner votre consentement :

• Les cookies que vous alimentez pour la durée d’une session, ou les cookies persistant limités à quelques heures dans certains cas, qui sont utilisés pour conserver la trace des informations que vous saisissez lorsque vous complétez des formulaires en ligne sur plusieurs pages ou en tant que panier d’achat pour mémoriser les articles que vous avez sélectionnés en cliquant sur un bouton.
• Les cookies d’authentification utilisés pour des services authentifiés (par exemple un site offrant des services bancaires en ligne), pour la durée d’une session
• Les cookies de sécurité qui visent à renforcer la sécurité d’un service que vous avez expressément demandé et qui sont utilisés, notamment, pour détecter les authentifications abusives, pour une durée limitée répétée
• Les cookies de session crées par un lecteur multimédia
• Les cookies de session d’équilibrage de charges
• Les cookies placés pour retenir les préférences en matière de cookies (en principe pour une période de maximum 6 mois)
• Les cookies de personnalisation de l’interface utilisateur (comme les cookies relatifs à la préférence linguistique) pour la durée d’une session (ou une durée légèrement supérieure)

Pour le placement et/ou la lecture de ces cookies strictement nécéssaires, votre consentement n’est pas requis. Mais vous devez néanmoins recevoir des informations claires et précises sur ce que font ces cookies et pourquoi le responsable du site web ou de l’application mobile y a recours. Pour le dépôt et/ou la lecture de tous les autres cookies, c’est-à-dire des cookies « non strictement nécéssaires», l’obtention de votre consentement est nécessaire et vous devez préalablement avoir été informé des finalités poursuivies par ces cookies et des droits que le RGPD vous reconnait.

Non.

Le paramétrage des navigateurs ne permet pas - du moins actuellement - de recueillir valablement votre consentement. En effet, vous ne pouvez par exemple pas (encore) donner votre consentement en fonction des finalités poursuivies par les différents types de cookies. Le consentement recueilli par le biais du paramétrage de votre navigateur n’est dès lors pas suffisamment spécifique au regard de l’exigence du RGPD.

Non.

La poursuite de la navigation ne peut pas être considérée comme donnant lieu à un consentement valide pour l’installation et la lecture de cookies « non strictement nécéssaires ». Le consentement que vous devez fournir en vue du placement (et de la consultation) de ce type de cookies doit en effet, pour être valable, répondre aux conditions générales de licéité du consentement telles que prévues par le RGPD.

Il s’en suit que ce consentement n’est valide que s’il résulte d’un acte positif clair de votre part, ce qui n'est pas le cas lorsque vous poursuivez simplement votre navigation sur le site Internet.

Vous disposez de plusieurs droits spécifiques par rapport à l’installation et à la lecture de cookies et d’autres traceurs sur vos appareils (ordinateur, smartphone, tablette, …) :

• Vous avez le droit de donner ou de refuser votre consentement préalablement à l’installation et à la lecture de cookies "non strictement nécessaires" sur, ou à partir de, votre appareil sans vous voir refuser certains services ou avantages au motif que vous n’auriez pas consenti à l’utilisation de cookies "non strictement nécessaires". Votre consentement doit, en outre, être spécifique, c’est-à-dire qu’on doit vous demander votre consentement pour chaque type de finalité poursuivie par les cookies et que vous pouvez également donner votre consentement uniqueVment pour certaines finalités et pas pour d’autres.
• Vous avez le droit de retirer votre consentement à tout moment et d’une manière aussi simple que celle par laquelle il vous avait été demandé.
• Vous avez le droit de recevoir une information claire et précise, notamment sur le responsable du traitement, sur les finalités poursuivies par les cookies et autres traceurs qui sont ou vont être déposés et/ou lus sur ou à partir de votre appareil, sur les données qu’ils collectent et sur leur durée de vie. Ce droit à l’information existe quel que soit le type de cookies ("strictement nécessaires" ou "non strictement nécessaires") qui est placé ou lu sur votre appareil.
• Si les cookies permettent le traitement de données à caractère personnel, comme c’est presque systématiquement le cas, vous bénéficiez de tous les droits consacrés par le RGPD (droit d’accès, de rectification, à l’effacement, à la limitation du traitement, à la portabilité des données, d’opposition). Vous avez alors également le droit de recevoir une information claire et précise sur ces droits.
• Si vous estimez qu’un de vos droits n’a pas été respecté, vous avez le droit d'introduire une plainte auprès de l’APD.

• Le choix du navigateur

Firefox est une alternative connue, mais il y a aussi d'autres navigateurs tels que, entre autres, Brave, Comodo Dragon Internet Browser, Comodo IceDragon Internet Browser, Epic.

Sur les téléphones mobiles (Android et iOS), l’utilisateur pourra envisager l’installation d’un navigateur supplémentaire plus axé sur le respect de la vie privée (privacy browser) tels ‘DuckDuckGo Privacy Browser’, ‘Ghostery Privacy Browser’, ‘Brave’ ou ‘Firefox Focus’.

• Opter pour le mode "navigation privée" si votre navigateur le permet

Parmi les possibilités existantes, vous pouvez utiliser le mode "navigation privée" disponible sur les principaux navigateurs sur pc ou mobiles (dont Edge, Internet Explorer, Chrome, Firefox, Safari et Opera). Les informations de navigation (mots de passe, cookies, formulaires, contenu en cache et les différents historiques) seront alors effacées lorsque vous fermerez votre navigateur. Cette possibilité permet dès lors de ne pas laisser de trace liée à la navigation sur votre ordinateur (ou autre appareil mobile), une fois la session terminée. Elle n’empêche donc pas le placement et la lecture de cookies pendant la navigation, ni n’efface les traces laissées lors de vos sessions de navigation précédentes.    

Pour ce faire, vous pouvez utiliser d’autres outils fournis par les navigateurs.

• Utiliser les paramètres de configuration de votre navigateur

Ainsi, dans les paramètres de configuration de votre navigateur, vous pouvez autoriser ou refuser de manière permanente l’enregistrement et la lecture futurs de cookies sur ou à partir de votre appareil. La granularité des choix proposés dépend du navigateur et du système d'exploitation. Cette action n’affecte pas les informations déjà stockées. Elle peut par contre impacter les données de connexion à certains sites, empêcher l’exécution de certaines fonctionnalités et nécessiter une reconnexion/réidentification auprès de ces sites.

Enfin, toujours dans les paramètres de configuration, vous pouvez également effacer, à la demande, les données de navigation déjà présentes sur votre appareil (dont les cookies). Selon le navigateur, il est possible d’effacer les données selon leur ancienneté, leur nature et/ou le site visité. Tous les navigateurs ne permettent pas de visualiser dans le détail les cookies enregistrés ni de les supprimer individuellement.

• Utiliser des logiciels Internet

Pour vous aider à gérer ces cookies et autres traceurs et limiter les atteintes à votre vie privée, vous pouvez installer, sur votre ordinateur, des extensions et add-ons disponibles à partir de votre navigateur. À titre d’exemples, citons ‘Cookie Manager’ (by Rob W) sur Firefox, ‘Privacy Badger’ (by EFF) sur Opera, Chrome et Firefox, ‘uBlock Origin’ (by R.  Hill) et ‘Ghostery’ sur Firefox, Chrome, Opera, Edge et Safari.

Ghostery fait partie de la catégorie des ad blockers (bloqueurs de publicité). À ce titre, cette extension empêche l’exécution de certains scripts qui, par ailleurs, représentent un danger pour la vie privée de l’utilisateur (cookies, boutons réseaux sociaux, selon les paramètres choisis). Des ad blockers existent aussi pour les téléphones mobiles sous forme d’apps tels ‘AdBlock’ (by Betafish - à ne pas confondre avec AdBlock Plus) et ‘AdLock’ pour Android ou ‘1Blocker X’ pour iOS.

• Utiliser un autre moteur de recherche

Comme alternatives à "Google Search" ou "Bing", il existe entre autres Startpage et DuckDuckGo.

• Utiliser un VPN

Cela permet de mieux dissimuler votre activité en ligne. En utilisant cette technique du tunnel, votre adresse IP (et votre localisation) n'est plus connue du destinataire. Même votre fournisseur Internet ne peut plus capter de métadonnées telles que le destinataire réel.
Certains navigateurs ont un VPN intégré (comme Epic) que vous pouvez ajouter comme extension par défaut. Pour d’autres navigateurs, il existe des extensions ou vous pouvez d'abord installer le VPN sur votre système d'exploitation, puis configurer le VPN pour acheminer le trafic du navigateur.

L'outil VPN ne protège pas en soi contre les fuites de métadonnées telles que le type de navigateur ou, par exemple, la technologie plus avancée du "fingerprinting" (prise d’empreinte).

Ces outils VPN sont souvent étendus à l'aide des logiciels Internet déjà décrits.

La mise en place d’un « cookie wall » - qui est une pratique qui consiste à bloquer l’accès à un site web ou à une application  mobile pour qui ne consent pas à l’installation de cookies « non strictement nécéssaires» - n’est pas conforme au RGPD. Cette pratique empêche, en effet, de recueillir votre consentement libre puisque vous êtes obligé de consentir à l’installation et/ou à la lecture de cookies pour pouvoir accéder au site web ou à l’application mobile.