Données personnelles : Comment informer les visiteurs de votre site?

Les internautes ont le droit de savoir quel sort est réservé à leurs données privées, lorsqu’ils naviguent sur votre site Internet.

Cette obligation d’information à votre charge en tant qu’éditeur est générale, mais aussi plus spécifique s’agissant des « cookies ».

1) La politique de protection des données

La politique des protection des données est généralement une page ou une partie de la page « mentions légales » ou « conditions générales / CGU / CGV », ce texte étant également appelée « politique vie privée » ou « politique de confidentialité » selon les sites.

Elle doit comporter un certain nombre de mentions requises, dans tous les cas, par les articles 13 et 14 du règlement général européen sur la protection des données dit « RGPD »:

a) L’identité du responsable de traitement, à savoir la personne physique ou morale qui définit le but du traitement des données, mais également les moyens d’y parvenir qu’ils soient techniques, humains, informatiques, au niveau de la structure ou de l’organisation de l’entreprise, de sa prise de décisions par ses différents représentants,…

b) Les coordonnées du DPO (délégué à la protection des données) qu’il soit interne à la structure (un salarié ou un cadre, par exemple) ou bien externe (par exemple, un cabinet d’avocats spécialisé)

c) Les buts du traitement: Par exemple, un e-commerçant collecte les adresses de ses clients pour assurer la livraison de la marchandise

d) L’une ou l’autre des 6 bases légales prévues par les articles 6 et 7 du RGPD, à savoir le consentement de l’internaute, la prise de mesures avant la conclusion d’un contrat ou l’exécution de ce dernier, le respect d’une obligation légale, la sauvegarde des intérêts vitaux de la personne concernée, une mission d’intérêt général ou de service public dont est investi le responsable de traitement, ainsi que la catégorie « fourre-tout » de l’intérêt légitime. Dans ce dernier cas, l’intérêt légitime doit être précisément déterminé. Pour les données sensibles, telles que l’origine raciale ou ethnique, les opinions politiques ou syndicales, les convictions religieuses ou philosophiques, les données de santé, les informations ayant trait à la vie sexuelle,… l’une ou l’autre des 10 situations prévues par l’article 9.2 du RGPD devra également être mise en avant.

e) Les destinataires des données

f) L’existence d’un transfert de données international en dehors de l’union européenne, voire de l’espace économique européen (EEE), l’existence d’une décision d’adéquation par la commission par laquelle cette dernière a agréé le pays destinataire, ainsi que les garanties apportées par l’entreprise pour sécuriser ce transfert

g) La durée de conservation des données, au sens de l’article 5. e) du RGPD, qui doit être strictement limitée dans le temps et nécessaire.

h) Les droits de l’internaute: Droit d’accès, rectification, effacement (« droit à l’oubli »), limitation, opposition et portabilité.

e) Le droit pour la personne concernée de saisir la CNIL

Pour finir, sachez que ces informations doivent être fournies de « façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant » (article 12.1 du RGPD).

Tout verbiage ou tout jargon trop technique ou juridique doit être évité.

Ces informations doivent être aisément compréhensibles pour un consommateur ou un internaute lambda, non spécialiste du sujet.

2) Les cookies

Parlons brièvement des « cookies » ou « traceurs », ces programmes informatiques qui collectent des informations depuis les terminaux des internautes, qu’il s’agisse d’un ordinateur, d’un smartphone, d’une tablette,… ou bien qui en implémentent sur ces appareils.

Les règles en la matière sont posées par l’article 5(3) de la directive communautaire « e-privacy » du 12 juillet 2002 transposée à l’article 82 de la Loi informatique et libertés du 6 janvier 1978.

A ce titre, il faut distinguer 2 situations:

a) Les « cookies » à vocation purement technique ou liés aux fonctionnalités essentielles du site, telles que l’authentification, le panier d’achat, la langue, l’ergonomie, la partie gratuite d’un site payant,… sans oublier certains traceurs de mesure d’audience.

Ces cookies ne requièrent ni information, ni accord préalables du public.

b) Les cookies à des fins publicitaires ou marketing.

Ces cookies doivent être acceptés préalablement par l’internaute, ce qui suppose que l’éditeur du site lui fournisse une information de qualité à ce sujet. Elle prendra le plus souvent la forme d’un « bandeau cookies ».

Par information « de qualité », nous entendons information « claire et complète », au sens des textes précités, là encore sans termes trop juridiques ou techniques pour le consommateur.

Doivent ainsi être mentionnés les buts poursuivis par l’implémentation de chaque traceur sur l’ordinateur de l’internaute, mais également le droit pour ce dernier de s’y opposer, ainsi que les modalités de cette opposition.

Le consentement de l’internaute, pour accepter les cookies, doit être, selon les propres termes du considérant 42, ainsi que des articles 7 et 4.11 du RGDP:

a) Libre: La navigation sur le site ne doit, par exemple, pas être conditionnée à l’acceptation ou au refus des « cookies »

b)Spécifique: L’acceptation ou le refus ne doit pas être global, mais « cookie » par « cookie »

c) Eclairé: avant de donner son accord, l’internaute doit avoir, comme nous l’avons déjà dit, reçu une information claire et complète à ce sujet

d) Univoque: L’acceptation de l’internaute doit être claire, nette et précise, et dépourvue d’ambiguité, d’équivoque.

L’acceptation doit être matérialisée par un « acte positif clair », à savoir cocher le bouton « accepter ».

3) Les sanctions

Les sanctions prononcées par la CNIL, en la matière, peuvent aller jusqu’à 20 millions d’euros d’amende ou 4% du chiffre d’affaires mondial de l’entité concernée (article 83.5 du RGPD).

A cela, s’ajoutent des sanctions pénales, s’agissant d’une contravention de 5ème classe punie de 1.500 Euros d’amence et de 3.000 Euros en cas de récidive (article R.625-10 du Code pénal).