Publicité en ligne et cookies : la CNIL précise les règles

Par une communication du 23 mai 2017, la CNIL a apporté des précisions sur les rôles et obligations des acteurs intervenants dans la chaîne de valeur de la publicité en ligne. En juillet 2016, la CNIL avait annoncé étendre ses contrôles relatifs aux cookies au-delà des éditeurs de sites et notamment auprès des émetteurs tiers. 

Après des contrôles menés auprès de ces derniers, la CNIL a différencié deux cas relatifs aux données collectées par les cookies :

• celui où les données sont traitées uniquement par l’éditeur du site qui décide de déposer les cookies ou ceux de tiers. L’éditeur est donc responsable du traitement et doit recueillir le consentement de l’internaute et l’informer de ses droits. Le tiers un sous-traitant au sens de la loi Informatique et Libertés du 6 janvier 1978 et ne doit agir que sur instruction de l’éditeur sans pouvoir lui-même exploiter les données pour son propre compte ou celui d’un tiers.
• celui où les données sont exploitées, non pas par l’éditeur du site mais par leur émetteur. L’émetteur des cookies est ainsi responsable du traitement et l’éditeur sous-traitant.

Néanmoins cette dichotomie reste théorique et la CNIL reconnaît elle-même que, le plus souvent, les deux cas s’appliquent simultanément. Or les éditeurs des sites étant les seuls en mesure de fournir une information directe sur les cookies déposés, qu’ils soient responsables du traitement ou sous-traitants, il leur appartient dans tous les cas d’informer l’internaute des cookies et des moyens d’opposition. L’éditeur ne sera néanmoins pas responsable d’une information incomplète et erronée lorsqu’il est considéré comme sous-traitant.

La position actuelle de la CNIL sera sans doute amenée à évoluer dans le cadre du projet de règlement relatif à la vie privée dans les communications électroniques appelé à remplacer l’actuelle directive 2002/58/CE dès mai 2018.

Emmanuelle Behr
Avocat Associée