Les éditeurs de sites internet pourront disposer d’un délai jusqu’à mi-2020 pour s’adapter aux nouvelles règles sur le consentement des internautes à la publicité ciblée, selon une décision du Conseil d’Etat publiée mercredi.
Cela concerne en particulier le consentement à l’utilisation de traceurs comme les «cookies»: beaucoup de sites se contentent aujourd’hui d’indiquer dans un bandeau que leur usage est présumé «accepté» si l’internaute poursuit la consultation de leurs pages, une pratique qui ne pourra pas perdurer.
Le Conseil d’État a rejeté la requête formée par l’association de défense des internautes La Quadrature du Net et l’association pour le développement d’une messagerie libre Caliopen, qui considéraient que les nouvelles règles de la Cnil, le gendarme des données personnelles, devaient s’appliquer sans attendre la période de transition voulue par le régulateur.
La Cnil a annoncé début juillet ses nouvelles «lignes directrices», interprétation de l’évolution des règles européennes, qui définissent comment recueillir le consentement des visiteurs de sites ou applications mobiles à être les destinataires d’une publicité ciblée. Généralement, le ciblage d’un internaute passe par le dépôt sur son navigateur d’un certain nombre de traceurs, dont des «cookies» publicitaires, mouchards numériques permettant d’identifier ses centres d’intérêt. Parmi les nouveautés, le consentement au dépôt de traceurs ne pourra plus être déduit de la simple poursuite de la navigation et tous les opérateurs techniques qui traquent et analysent les données de consultation devront être en mesure de prouver le consentement de l’internaute.
La Cnil doit publier au premier trimestre 2020 une «recommandation» qui dira comment appliquer ses «lignes directrices» puis laissera une période de six mois supplémentaires aux entreprises pour s’adapter. Ce n’est qu’après cette date (mi-2020) que la présidente de cette instance s’autorisera à saisir le collège restreint de la Cnil pour des infractions de ce type, c’est-à-dire à ouvrir des procédures de sanction. Ce délai de six mois «vise à permettre aux acteurs concernés de s’approprier ces nouvelles règles, dont la Cnil a correctement explicité la teneur, et ainsi de respecter pleinement les exigences fixées par le RGPD (règlement général sur la protection des données) à l’horizon de l’été 2020», a décidé le Conseil d’État.
Les nouvelles règles de la Cnil font par ailleurs l’objet d’un second recours déposé le 18 septembre devant le Conseil d’État de la part cette fois d’éditeurs et publicitaires. Pour neuf organisations dont notamment le Groupement des éditeurs de services en ligne (Geste), le Syndicat des régies internet (SRI), l’Union des entreprises de conseil et d’achat média (Udecam) et l’Union des marques, la Cnil «dépasse les limites normales d’interprétation» des directives européennes et porte un coup trop dur au modèle publicitaire sur internet qui repose sur les traçabilité des internautes pour augmenter la valeur des annonces.
