Les 3 erreurs les plus fréquentes avec les bannières de cookies

von Olaf Brandt

Malgré les exigences clairement formulées par les autorités de surveillance, de nombreuses bannières de cookies ne sont pas conçues conformément à la loi. Les exploitants de sites web courent ainsi le risque d’être rappelés à l’ordre.

Les autorités de protection des données et les associations de consommateurs ont les bannières de cookies dans le collimateur, comme le montre par exemple une procédure de contrôle de la part de l’association de consommateurs de Rhénanie-Palatinat, qui a conduit entre autres à des avertissements à l’encontre de chefkoch.de ou de la société Deichmann.

Afin d’éviter des sanctions, il est essentiel de remédier à ces trois anomalies fréquemment rencontrées :

1. aucune possibilité de refus au premier niveau

Conformément à l’article 7 du RGPD, le retrait du consentement (refus) doit être aussi simple que le consentement lui-même. Le refus ne doit donc pas être rendu plus difficile que le consentement en nécessitant davantage de clics.

Exemple de bannière Consent illégale avec possibilité de refus aggravée :

2. mise en évidence du bouton de consentement

Si des différences dans la conception visuelle des boutons doivent ”inciter” les utilisateurs à donner leur consentement, il s’agit de ce que l’on appelle le ”nudging”. Les autorités de protection des données s’y opposent clairement :

”Dans le contexte de la couche de contenu des pages Web, le nudging est utilisé pour ”pousser” l’utilisateur à donner son consentement : Par exemple, dans les fenêtres de consentement, l’option ”Accepter” est souvent plus visible que l’option ”Refuser” – par la couleur, la police et d’autres éléments de mise en évidence. Par exemple, le bouton ”Accepter” est en vert ou en bleu avec des caractères gras blancs, tandis que le bouton ”Refuser” est en gris avec des caractères blancs standard”.
(Source : guide de l’autorité de protection des données de Basse-Saxe)

Ulrich Kühn, chef d’unité responsable des télémédias auprès du commissaire hambourgeois à la protection des données et à la liberté d’information, a précisé ce point sur demande :

”Il doit y avoir une équivalence visuelle et conceptuelle entre le bouton de consentement et le bouton de renonciation ; cela concerne aussi bien la possibilité de trouver/d’identifier les deux variantes que l’effort qui y est lié. Nous déduisons cela de l’idée juridique de l’équivalence du consentement et de la révocation dans l’article 7, paragraphe 3, phrase 4 du RGPD. Les critères d’évaluation sont, par exemple, la couleur, la police (en gras), la taille de la police, la reconnaissance en tant que bouton ou la disposition”.
(Source : extrait d’un e-mail du chef d’unité Ulrich Kühn du 19 mars 2021)

Exemple de bannière Consent illégale avec ”nudging” illégal :

3. informations insuffisantes et trompeuses

Ulrich Kühn, chef d’unité responsable des télémédias auprès du commissaire hambourgeois à la protection des données et à la liberté d’information, demande que les informations minimales suivantes soient fournies au premier niveau :

• les finalités concrètes du traitement et un lien vers des informations détaillées
• le profilage individuel et l’enrichissement de données provenant d’autres sites web pour créer des profils d’utilisation complets
• Traitement des données également en dehors de l’EEE
• le nombre de responsables de traitement auxquels les données sont divulguées
• Identité du responsable (CJCE sur planet49, point 75)

En ce qui concerne le transfert de données à caractère personnel vers les États-Unis, par exemple, un simple avertissement ne suffit pas. En effet, l’article 49 du RGPD exige que les utilisateurs soient informés, avant de donner leur consentement, ”des risques éventuels que présentent pour eux de tels transferts de données”. Cela peut être fait avec un avertissement de ce type si des outils américains, tels que Google Analytics, sont utilisés :

”Je suis conscient(e) que le traitement des données aux États-Unis peut limiter les droits garantis par le droit de l’Union européenne. Je sais notamment que les autorités américaines peuvent accéder aux données me concernant stockées par Google sans que cet accès ne me soit notifié. Cet accès peut avoir pour conséquence de m’interdire l’entrée aux États-Unis ou de m’exposer à d’autres sanctions ou à une surveillance plus poussée de la part des autorités américaines”.

Exemple de bannière Consent illégale avec des informations insuffisantes et un nudging illégal :

Conclusion

Il a fallu un certain temps pour que les propriétaires de sites Web abandonnent les bannières de cookies implicites, qui supposaient un consentement par l’utilisation du site Web. Les marketeurs devront également renoncer aux pratiques de nudging s’ils ne veulent pas s’exposer à des sanctions. Mais cela signifie inévitablement que les taux de consentement baisseront considérablement au fur et à mesure de la mise en conformité. Une stratégie de données durable comprend donc impérativement un tracking indépendant du consentement tout en respectant les exigences des autorités de surveillance en matière d’analyse web sans consentement. Vous découvrirez dans cet article comment etracker analytics répond à ces exigences.