Éviter une amende pour les cookies présents sur votre site

Les cookies sur votre site et le RGPD

Une lourde amende. L’Autorité de protection des données (APD), l’ancienne Commission de protection de la vie privée, a jugé qu’une entreprise violait les règles relatives aux cookies sur son site Internet et l’a condamnée à une amende de 15 000 €.

Le risquez-vous aussi ? Le RGPD européen met des règles strictes à l’utilisation sur un site de cookies qui ne sont pas strictement nécessaires. D’où cet avis dans les médias que bien des entreprises risquent d’écoper d’une telle amende. Voyons donc comment vous pourriez l’éviter...

Soyez attentif aux points suivants !

Une autorisation de placer des cookies. Le RGPD requiert une autorisation pour traiter des données à caractère personnel, mais aussi pour placer des cookies sur un site Internet. Y compris si ces cookies ne collectent pas de données à caractère personnel.

Conseil.  La seule exception, ce sont les cookies strictement nécessaires au bon fonctionnement du site.

Attention !  Il n’est pas admis de mettre sur un site une autorisation des cookies qu’il faut cocher pour pouvoir y entrer. On considère en effet qu’une telle autorisation n’est pas libre.

Pour les cookies statistiques aussi ! Suivant l’APD, il faut aussi cette autorisation pour tous les cookies analytiques ou statistiques, dès lors que ceux-ci ne sont pas strictement nécessaires au fonctionnement du site. Une autorisation préalable au placement de ces cookies-là est bel et bien requise également.

Comment la demander correctement ? Si le visiteur d’un site Internet doit consentir au placement de cookies, cela ne peut se faire au moyen de cases préalablement cochées («opt-out»). Le visiteur doit activement donner son consentement en cochant lui-même les cases ad hoc.

Bon à savoir. Il ne suffit pas de donner au visiteur le choix d’accepter tout ou rien. D’un autre côté, il ne faut pas non plus qu’il donne son consentement cookie par cookie. Non, il doit pouvoir donner son consentement par catégorie de cookies (p.ex. les cookies marketing ou statistiques).

La langue utilisée. Il faut que les règles de protection de la vie privée soient disponibles dans la langue du groupe cible du site. Si vous vous adressez aux clients francophones et néerlandophones, le règlement «vie privée» et «cookies doit être disponible en français et en néerlandais. Il ne suffit pas dans ce cas d’une version en anglais, selon l’APD.

Comment retirer le consentement ? Cela doit pouvoir se faire facilement. Prévoyez dès lors des données de contact (adresse de messagerie électronique p.ex.) ou un lien fonctionnel sur lequel les intéressés peuvent cliquer pour exercer leurs droits, dont celui de retirer leur consentement.

Indiquer le responsable du traitement. Il faut mentionner l’identité et les données de contact du responsable du traitement des données, en indiquant explicitement qu’il est ce responsable. Il est p.ex. insuffisant d’indiquer que le site est «une initiative de X».