Le RGPD et les Cookies
Le Règlement Général sur la Protection des Données (RGPD - Règlement UE 2016/679) est la réglementation européenne régissant le traitement des données personnelles. En vigueur depuis le 25 mai 2018, le RGPD a révolutionné la manière dont les entreprises doivent gérer les données des utilisateurs en ligne.
En ce qui concerne les cookies et les technologies de suivi, le RGPD établit que le consentement de l'utilisateur doit être libre, spécifique, éclairé et univoque. Cela signifie que tout site web utilisant des cookies non essentiels doit obtenir le consentement explicite avant de les installer.
Important : Le RGPD s'applique à tous les sites web qui traitent les données d'utilisateurs résidant dans l'Union européenne, indépendamment du siège de l'entreprise.
À qui s'applique le RGPD ?
- Sites web et e-commerce qui collectent les données d'utilisateurs de l'UE
- Applications web et mobiles utilisant des cookies ou des technologies de suivi
- Plateformes offrant des services aux utilisateurs de l'Union européenne
- Toute activité en ligne traitant des données personnelles de citoyens européens
Bannière de Cookies : Obligations et Exigences
La bannière de cookies est l'outil principal par lequel un site web informe les utilisateurs de l'utilisation des cookies et recueille leur consentement. Selon la réglementation en vigueur, la bannière doit apparaître lors de la première visite de l'utilisateur et doit respecter des exigences techniques et légales spécifiques.
Éléments obligatoires de la Bannière de Cookies
- Information claire : Explication simple et compréhensible des cookies utilisés et de leur finalité
- Bouton d'acceptation : Un bouton clair pour accepter tous les cookies
- Bouton de refus : Un bouton tout aussi visible pour refuser les cookies non essentiels
- Gestion granulaire : La possibilité de choisir quelles catégories de cookies accepter
Attention : Continuer la navigation ou faire défiler la page NE PEUT PAS être considéré comme un consentement valide. L'Autorité de Protection des Données a précisé que le consentement doit être une action explicite et positive.
Lignes Directrices de l'Autorité de Protection des Données 2022
Avec la disposition du 10 juin 2021 (entrée en vigueur le 9 janvier 2022), l'Autorité de Protection des Données a publié les nouvelles « Lignes directrices sur les cookies et autres outils de suivi ». Ces lignes directrices ont introduit d'importants changements que chaque site web doit respecter.
Principales nouveautés
Blocage préventif
Les cookies non essentiels doivent être bloqués jusqu'à ce que l'utilisateur fournisse son consentement explicite.
Bouton de refus
La bannière doit comporter un bouton de refus avec la même visibilité que le bouton d'acceptation.
Consentement granulaire
L'utilisateur doit pouvoir choisir individuellement les catégories de cookies à accepter.
Pas de cookie wall
Il n'est pas permis de conditionner l'accès au site à l'acceptation des cookies (avec quelques exceptions).
Pas de scroll comme consentement
Le défilement de la page ne peut plus être considéré comme une forme de consentement valide.
Révocation du consentement
L'utilisateur doit pouvoir révoquer son consentement à tout moment de manière simple et rapide.
Validité du consentement
Le consentement aux cookies a une validité maximale de 6 mois, après quoi la bannière doit être représentée à l'utilisateur. De plus, le consentement doit être documenté et conservé pour démontrer la conformité en cas de contrôle.
Exigences Techniques pour la Conformité
Pour être conforme à la réglementation, votre site web doit satisfaire une série d'exigences techniques spécifiques. Voici une liste complète de ce qui doit être mis en œuvre :
Cookie Banner
- Doit apparaître lors de la première visite de l'utilisateur
- Doit contenir une information brève claire et compréhensible
- Doit avoir un bouton d'acceptation et un bouton de refus avec la même importance
- Doit permettre la gestion granulaire des catégories de cookies
- Doit être accessible à tout moment pour modifier les préférences
- Ne doit pas utiliser de pratiques trompeuses (dark patterns)
Blocage préventif des scripts
- Tous les cookies non essentiels doivent être bloqués avant le consentement
- Les scripts tiers (Google Analytics, Facebook Pixel, etc.) ne doivent être chargés qu'après le consentement
- Le blocage doit être mis en œuvre côté serveur ou via un tag manager
- Les cookies techniques nécessaires au fonctionnement du site sont exemptés du blocage
Registre des consentements
- Chaque consentement doit être enregistré avec un horodatage
- Il doit être possible d'identifier l'utilisateur qui a donné son consentement
- Les préférences exprimées doivent être conservées
- Le registre doit être accessible pour d'éventuels contrôles de l'Autorité
Documentation nécessaire
- Politique de confidentialité mise à jour et détaillée
- Politique de cookies avec la liste complète des cookies utilisés
- Registre des activités de traitement (pour les entreprises de plus de 250 employés)
L'Archive des Consentements
L'archive des consentements (ou registre des consentements) est une obligation introduite par le RGPD qui exige que les responsables du traitement puissent démontrer que le consentement a été effectivement obtenu. Cela s'applique non seulement aux cookies, mais à toute forme de consentement collecté en ligne.
Art. 7 RGPD : « Lorsque le traitement repose sur le consentement, le responsable du traitement doit être en mesure de démontrer que la personne concernée a donné son consentement au traitement de ses données à caractère personnel. »
Que signifie cela en pratique ?
Chaque fois qu'un utilisateur interagit avec un mécanisme de consentement sur votre site (bannière de cookies, formulaire de contact, inscription à la newsletter, etc.), vous devez conserver une preuve de ce consentement. Cette preuve doit inclure qui a donné le consentement, quand, à quoi et comment.
Quels consentements archiver ?
Tous les consentements collectés via votre site web doivent être archivés et conservés. Voici les principaux :
Consentement aux Cookies
Chaque interaction avec la bannière de cookies doit être enregistrée avec les préférences exprimées.
Formulaire de Contact
Le consentement au traitement des données exprimé via les formulaires de contact.
Newsletter
L'inscription à la newsletter avec preuve de consentement (double opt-in).
E-commerce
Consentements relatifs aux conditions de service, au marketing et au profilage.
Inscription Utilisateur
Le consentement exprimé lors de la création d'un compte.
Marketing et Profilage
Consentements spécifiques pour les activités de marketing direct et de profilage.
Contenu du registre
Chaque enregistrement du registre des consentements doit contenir les informations suivantes :
- Identifiant de l'utilisateur : E-mail, identifiant utilisateur ou autre identifiant unique
- Horodatage : Date et heure exactes auxquelles le consentement a été donné
- Type de consentement : Cookies, politique de confidentialité, marketing, etc.
- Version de l'information : À quelle version de la politique de confidentialité/cookies l'utilisateur a consenti
- Méthode : Comment le consentement a été recueilli (bannière, formulaire, case à cocher, etc.)
Attention : Le défaut de conservation des consentements peut entraîner des sanctions significatives. En cas d'inspection, vous devez être en mesure de démontrer que chaque consentement a été légitimement obtenu.
Consentio automatise la collecte et l'archivage de tous les consentements, générant un registre complet et à l'épreuve des audits, toujours disponible pour les inspections.
Sanctions pour Non-Conformité
Le non-respect de la réglementation RGPD et des lignes directrices de l'Autorité de Protection des Données peut entraîner des sanctions administratives très sévères. Les amendes peuvent atteindre jusqu'à 4 % du chiffre d'affaires annuel mondial de l'entreprise ou jusqu'à 20 millions d'euros, selon le montant le plus élevé.
Sanction maximale : Jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé.
Exemples de sanctions en Italie
- Absence de bannière de cookies : Sanctions de 10 000 € à 120 000 €
- Cookies installés sans consentement : Sanctions de 6 000 € à 36 000 € par infraction
- Avis de confidentialité inadéquat : Sanctions de 6 000 € à 36 000 €
- Défaut d'enregistrement des consentements : Sanctions jusqu'à 20 000 000 € ou 4 % du chiffre d'affaires
- Transfert de données hors UE non conforme : Sanctions jusqu'à 20 000 000 € ou 4 % du chiffre d'affaires
Ne risquez pas des sanctions qui pourraient mettre votre entreprise en difficulté. La conformité au RGPD n'est pas facultative, c'est une obligation légale. Consentio vous aide à vous mettre en conformité en quelques minutes.
Google Consent Mode v2
À partir de mars 2024, Google exige que tous les sites web utilisant des services Google (Analytics, Ads, Tag Manager) implémentent le Consent Mode v2. Sans cette implémentation, les données de conversion et d'analyse pourraient être perdues.
Qu'est-ce que le Consent Mode ?
Google Consent Mode est une API qui permet de communiquer à Google l'état du consentement des utilisateurs. En fonction du consentement obtenu, Google adapte le comportement de ses balises et services, garantissant le respect de la vie privée des utilisateurs.
À partir de mars 2024 : Google exige l'implémentation du Consent Mode v2 pour continuer à collecter les données de conversion et de remarketing dans l'Espace économique européen (EEE) et au Royaume-Uni.
Paramètres du Consent Mode v2
- ad_storage : Contrôle l'utilisation des cookies pour la publicité
- analytics_storage : Contrôle l'utilisation des cookies pour les analyses
- ad_user_data : Contrôle l'envoi des données utilisateur à Google pour la publicité
- ad_personalization : Contrôle la personnalisation des annonces