CNIL et Cookie : faut-il payer pour accéder à un site ?

Depuis le début du mois d’avril, d’étranges messages de cookies sont apparus sur plusieurs sites web populaires. Allocine, Jeuxvideo.com ou encore Aufeminin ont mis en place des « cookie walls » ou « mur de traceurs ». Le principe est plutôt controversé. Les visiteurs doivent s’acquitter d’une somme mensuelle pour pouvoir accéder au contenu sans cookies publicitaires. Dans le cas contraire, ils peuvent naviguer gratuitement sur le site, mais acceptent automatiquement des traceurs de pubs. Ce fonctionnement inédit n’est bien sûr pas passé inaperçu et est source de nombreux débats. La mesure découle directement de la nouvelle réglementation de la Commission nationale de l’informatique et des libertés (CNIL), mais est-elle vraiment légale ? Peut-on s’attendre à devoir payer pour surfer sur les sites internet ? Des éléments de réponse dans cet article.

Vos droits avec la réglementation CNIL Cookie 2021

Une information claire sur la finalité des cookies

Le premier objectif de la nouvelle réglementation concerne l’information des personnes. Les visiteurs d’un site doivent pouvoir consulter facilement et clairement les finalités des cookies avant de donner (ou non) leur consentement. Les conséquences liées à l’acceptation ou au refus des cookies doivent aussi être précisément décrites.

Concrètement, cela peut se traduire sur les sites web par l’ajout d’une notice ou d’une rubrique dans la politique de confidentialité qui listent tous les cookies susceptibles d'être installés dans le navigateur, leur nom, leur(s) but(s) et s’ils sont indispensables au fonctionnement.

La commission précise cependant que certains de ces cookies, indispensables au fonctionnement justement, peuvent être dispensés de consentement explicite. Il s’agit :

des traceurs permettant l’authentification auprès d’un service ;
de certains cookies qui ont pour objectif de créer des statistiques d’audience complètement anonymisées ;
les traceurs ayant un but limité à la seule mesure des éventuels problèmes d’un site pour l’information exclusive de son éditeur (détection de problèmes de navigation, optimisation des performances techniques, amélioration ergonomique, estimation des ressources matérielles nécessaires, etc.) ;
des cookies qui permettent de gérer les paniers d’achats sur les boutiques en ligne (conservation des articles dans le panier jusqu’à la commande) ;
les marqueurs qui servent à distinguer les parties accessibles ou non aux internautes (par exemple dans le cas de plateforme avec inscription et espace membre).

La possibilité de refuser facilement les traceurs

Dès le 1er avril 2021, la CNIL impose aussi de nouvelles règles sur le consentement ou le refus des cookies. Désormais, le simple fait de surfer sur un site n’est plus considéré comme un accord de la part de l’internaute.

Les bandeaux informatifs que l’on retrouve très souvent sur les pages d’accueil comme : « En poursuivant votre navigation sur votre site, vous acceptez l’utilisation de cookies sont donc illégaux.»

On passe de l’opt-out où les cookies sont mis en place dès le début avec une possibilité ultérieure pour les visiteurs de refuser l’enregistrement à l’opt-in où les traceurs ne sont installés que lorsque l’usager donne explicitement son accord.

Les bandeaux, pages ou popups de recueil du consentement doivent comprendre un bouton « tout accepter » ainsi qu’un bouton « tout refuser ». Les deux doivent être situés au même niveau sans différence de visibilité.

Un réglage pour le paramétrage des cookies et préférences est aussi autorisé. Enfin, après l’approbation ou le refus, un autre lien donnant la possibilité de « modifier le consentement » doit être accessible durant toute la session de l’internaute.

Les plateformes web peuvent conserver le consentement ou le refus des traceurs pendant un certain laps de temps (limité au strict nécessaire) afin notamment de ne pas avoir à réinterroger l’internaute à chacune de ses visites. En revanche, lorsque les cookies permettent le suivi sur plusieurs sites, l’accord doit être demandé sur chaque nom de domaine concerné par le suivi de navigation.

Enfin, les plateformes doivent également mettre en place des outils pour prouver, en cas de contrôle, que le consentement a bien été clairement recueilli.

Payer pour surfer sans pub, une pratique légale ?

Une mesure en attente de législation

Devant cette nouvelle réglementation et au vu du risque important de refus des traceurs qu’elles pouvaient engendrer, de nombreux sites ont donc décidé de mettre en place des cookies walls.

Selon le Conseil européen de la protection des données (CEPD), ces mesures ne sont pas considérées comme un moyen conforme pour les sites web d’obtenir le consentement de leurs utilisateurs. En effet, pour être valide l’accord doit être libre. Or, avec les murs de cookie, les internautes sont informés qu’ils doivent accepter les marqueurs ou quitter le site. Pas vraiment le choix donc.

Avec la nouvelle réglementation, certains sites vont même jusqu’à indiquer aux visiteurs qu’ils doivent consentir aux cookies ou souscrire à un abonnement payant pour pouvoir naviguer avec une version sans traceurs. On est encore plus loin d’une décision libre !

Pour leur défense (et leur réputation), les éditeurs de ces sites se justifient en indiquant que les publicités représentent une source de revenus souvent importante et nécessaire au fonctionnement et à la diffusion du site.

La CNIL considère les cookies walls comme illicites. Mais ce n’est pas l’avis du Conseil d’État qui, en juin 2020, a jugé que « la CNIL ne pouvait interdire de manière générale et absolue le fait de conditionner l’accès à un site web à la possibilité d’exploiter des données à des fins de ciblage publicitaire.»

Néanmoins, le CEPD a émis une déclaration relative à un projet de futur règlement baptisé « e-privacy ». Selon ce texte, les usagers devraient toujours avoir la faculté d’utiliser des solutions équitables. Ces alternatives doivent être indépendantes du secteur d’activité et du modèle économique de l’éditeur. Concrètement, le fait qu’un site se base sur des publicités ciblées pour couvrir ses frais de fonctionnement ne devrait donc en aucun cas impacter l’internaute et surtout son acceptation des cookies.

Le règlement e-privacy 2021

Le règlement e-privacy 2021 est un projet du Conseil de l’UE qui devrait porter sur toutes les communications au travers de services électroniques et réseaux accessibles aux citoyens de l’Union européenne. Le texte mentionne aussi les cookies présents sur les sites web. Celui-ci prévoit déjà que les utilisateurs doivent expressément autoriser les traceurs avant qu’ils soient activés.

De plus, le CEPD souhaite que le futur règlement mentionne que les traceurs doivent être limités à des pratiques non intrusives. Le comité considère que la mesure d’audience ne doit pas permettre de collecter d’informations de navigation relatives aux internautes. Quid dans ce cas de Google Analytics ? Enfin, il insiste pour que le texte inclut des dispositions qui laissent la possibilité aux utilisateurs d’accepter ou de refuser le suivi publicitaire sans alternative payante.

Lorsque le règlement entrera en vigueur, les cookies walls seront donc sanctionnables. Enfin, s’il est publié… Pour l’instant, aucune date de parution n’est prévue pour le e-privacy. Celui-ci est, en fait, en négociation entre les États depuis plusieurs années (2017). En attendant, il faudra se résoudre à payer, approuver les marqueurs ou plus simplement aller chercher d’autres sites qui n’imposent pas de murs de traceurs. Github avait montré l’exemple, début 2021, en supprimant tous les cookies non-essentiels de sa plateforme.

En tout cas, l’apparition des cookies walls relance d’importants débats aussi au niveau européen.