etracker analytics – Sans consentement, conformément à la TTDSG et au RGPD

von Olaf Brandt

Les exigences actuelles des autorités de contrôle

Afin de pouvoir utiliser des services d’analyse Web conformément à la législation en vigueur, sans obligation de consentement, conformément aux lignes directrices actuelles des autorités de contrôle allemandes destinées aux fournisseurs de télémédias, la TTDSG et le RGPD exigent de se passer de cookies analytiques et de garantir un traitement respectueux de la protection des données, fondé sur l’intérêt légitime prépondérant de l’exploitant du site web.

1. Sans consentement, conformément à la TTDSG (sans cookies)

La loi allemande sur les télécommunications, les télémédias et la protection des données (TTDSG) contient des dispositions relatives à l’accès aux terminaux de l’utilisateur. Par défaut, etracker analytics utilise exclusivement des cookies fonctionnels ou strictement nécessaires. Il n’y a pas d’accès actif au terminal de l’utilisateur. Selon les autorités de contrôle, le traitement des informations relatives au navigateur et aux en-têtes, tel qu’il est pratiqué par etracker, ne nécessite pas de consentement :

Pour le suivi des sessions, etracker analytics n’enregistre aucune donnée sur le terminal des utilisateurs, mais attribue les interactions aux visites correspondantes exclusivement côté serveur, à l’aide de jetons de session hachés de manière sécurisée :

Les accès aux équipements terminaux suivants, nécessaires d’un point de vue technique, peuvent être effectués conformément à l’article 25, paragraphe 2, point 2, de la TTDSG :

(a) Si des utilisateurs s’opposent au traitement des données à des fins d’analyse via la note d’information sur la protection des données figurant sur le site web, cette opposition est enregistrée dans un cookie (_et_oi_v2). Si ce cookie est activé et contient la valeur « NO », aucune donnée n’est collectée pour cet utilisateur.

(b) L’exploitant du site web peut à tout moment obtenir le consentement à l’installation de cookies à des fins d’analyse par le biais d’un opt-in. À cette fin, etracker met à disposition une bannière de consentement ainsi que des appels de fonction pouvant être reliés à des plateformes externes de gestion du consentement. Vous trouverez les instructions correspondantes à l’adresse https://www.etracker.com/docs/integration-setup/consent-management-tools/. En cas de consentement, un cookie est installé pour indiquer qu’etracker est autorisé à installer des cookies. En cas de retrait du consentement, le cookie est supprimé.

(c) Les mesures de profondeur de défilement destinées au rapport Scrollmap sont temporairement mises en cache dans le stockage de session, afin d’éviter que chaque mouvement de défilement n’entraîne un transfert de données ; les données de profondeur de défilement sont ainsi « regroupées » et envoyées à etracker toutes les quelques secondes. L’utilisation du « Session Storage » pour la mesure de la profondeur de défilement entraîne un retard de transmission purement technique, afin de ne pas nuire à l’expérience utilisateur en allongeant les temps de chargement. La mesure de la profondeur de défilement peut également être désactivée ou configurée de manière à ce que le suivi du défilement n’ait lieu qu’après obtention du consentement.

2. Sans consentement au titre du RGPD (intérêt légitime prépondérant)

Le règlement général sur la protection des données (RGPD) régit le traitement des données à caractère personnel. Le reporting dans etracker analytics s’appuie sur des données anonymisées et principalement agrégées. Toutefois, l’anonymisation constitue en soi un traitement au sens du RGPD, tout comme la troncature automatique et la plus précoce possible de l’adresse IP dans la mémoire vive du serveur de collecte des données, qui est effectuée par défaut.

Deux bases juridiques peuvent s’appliquer à ce traitement (d’anonymisation) : le consentement et l’intérêt légitime prépondérant. Les lignes directrices actuelles confirment que, du point de vue de la protection des données, la base juridique du consentement n’est pas préférable à celle de l’intérêt légitime, c’est-à-dire qu’elle n’est pas plus respectueuse de la protection des données :

« Le traitement des données à caractère personnel n’est licite que si au moins l’une des conditions prévues à l’article 6, paragraphe 1, du RGPD est remplie. Toutes les bases juridiques mentionnées dans cette disposition ont le même rang et la même valeur. Pour le traitement de données à caractère personnel par des responsables du traitement non publics dans le cadre de la fourniture de services de télémédias, il est en principe possible de se fonder sur le consentement conformément à l’article 6, paragraphe 1, point a), du RGPD, sur des obligations contractuelles au titre de l’article 6, paragraphe 1, point b), RGPD ou à des intérêts légitimes prépondérants conformément à l’article 6, paragraphe 1, point f) du RGPD. »

La base juridique de l’intérêt légitime prépondérant impose des exigences élevées en matière de traitement en termes de respect de la protection des données et nécessite une mise en balance des intérêts selon les critères déjà énoncés en 2019 par la Conférence sur la protection des données. Ces critères ont servi de base à l’audit indépendant d’etracker analytics réalisé par ePrivacy Consult et sont consignés dans ce modèle de mise en balance des intérêts.

Le résultat de l’audit est le suivant :

ePrivacy Consult certifie notamment qu’etracker analytics :

• Conclusion du contrat AV lors de la création du compte, voir https://www.etracker.com/av-vertrag/.
• L’adresse IP est tronquée dès que possible et de manière automatique (dans le cache du serveur) et n’est donc conservée que sous forme anonymisée.
• Les rapports sont établis à partir de données anonymisées et presque exclusivement agrégées, ne permettant en aucun cas d’identifier l’utilisateur.
• Les identifiants de session permettant de relier des interactions individuelles à des visites sont limités à 24 heures au maximum, car un horodatage quotidien est intégré à la valeur de hachage générée automatiquement côté serveur. Cela exclut toute reconnaissance à long terme, à moins que des cookies ne soient activés après obtention du consentement. Il n’y a donc pas d’empreinte digitale du navigateur au sens de la loi allemande sur les télémédias (OH Telemedien) ou du Groupe de travail « Article 29 » sur la protection des données.
• Les données sont traitées exclusivement pour le compte d’etracker et ne sont ni utilisées à des fins propres à etracker, ni associées aux données d’autres clients d’etracker.
• Aucune donnée à caractère personnel n’est transmise à des tiers (Google, Facebook, etc.).
• Aucun enregistrement détaillé des mouvements de la souris n’est effectué.
• Une fonctionnalité permettant de s’opposer à l’utilisation des données est mise à disposition dans la politique de confidentialité.

Si un exploitant de site web parvient à la conclusion, en raison de sa situation particulière (telle que l’enrichissement éventuel des données d’analyse web ou leur traitement ultérieur dans des systèmes tiers), que ses intérêts légitimes ne prévalent pas, il peut recourir à l’option de consentement explicite au suivi.

Le document complet contenant des informations sur le suivi de session sans cookies est également disponible en téléchargement ici.

---

Cet article ne constitue pas un conseil juridique et ne saurait se substituer à un conseil juridique personnalisé. Nous travaillons en étroite collaboration avec des avocats spécialisés dans la protection des données et nous nous ferons un plaisir de vous mettre directement en relation avec eux pour des consultations personnalisées.