La CNIL a décidé d’organiser une série de réunions avec d'un côté les professionnels de la publicité et de l'autre des représentants de la société civile. L’objectif ? Définir la façon dont sera recueilli le consentement des internautes en amont du dépôt des cookies et autres traceurs. Des positions parfois aux antipodes.
Ces rendez-vous sont programmés par les lignes directrices de la commission du 4 juillet dernier. Sujet principal, le dépôt des cookies, désormais soumis au recueil du consentement explicite et à l'information préalable de l’internaute. En contraste, la législation antérieure au RGPD se satisfaisait d’une poursuite de la navigation pour déduire son accord.
Plutôt qu’une application franche de cette contrainte puisée dans le RGPD, la CNIL a décidé de laisser un répit d’une année aux professionnels pour se mettre d’aplomb. Cette délibération est certes attaquée de toute part au Conseil d'État, mais la CNIL espère pouvoir coconstruire cette future réglementation avec les différentes parties prenantes, auditionnées au fil de réunions.
Les professionnels songent à « l'homme de la rue »
Ce 16 septembre avait lieu la première d'entre elles. Syntec Informatique, TECH IN France, l’ARPP, la FEVAD, le GESTE, l’IAB France, ou encore l’Union des Marques avaient rendez-vous avec la commission. Les discussions, techniques, visaient à définir des points très précis soulevés par ces problématiques.
A leurs yeux, si le RGPD exige un consentement exprès, de multiples finalités se rangent en pratique derrière un objectif commun : la publicité. Dans ce tiroir unique mais multicolore, on trouve « l’affichage publicitaire stricto sensu, la lutte contre la fraude au clic, la facturation de la prestation d’affichage, la mesure des cibles ayant plus d’appétences à la publicité pour mieux comprendre l’audience, etc. »
Pour ces professionnels, « proposer aux utilisateurs de consentir de manière distincte à ces opérations reviendrait à tromper ces derniers, dans la mesure où le fonctionnement de la chaine publicitaire suppose que l’ensemble des sous-finalités ou des opérations soit mis en œuvre ». Autant donc prévoir qu’un clic unique engage le consentement de l’internaute sur ces multiples traitements.
Des remarques similaires ont été adressées s’agissant de la liste des entreprises implantant des cookies. La commission a pour sa part rétorqué « que l’obligation de fournir, aux personnes concernées, l’identité des entités ayant recours à un traceur découle de la nécessité de collecter un consentement éclairé » (article 4(11) et considérant 42 du RGPD). Pour éclairer le consentement de « l’homme de la rue », les acteurs préféreraient là encore présenter à l’internaute une liste de catégorie, plutôt qu’une longue liste de noms.
Lutter contre les connotations trop positives
Le 25 septembre une réunion similaire était organisée, mais cette fois avec les organisations représentants de la société civile, à savoir la Quadrature du Net et l’UFC-Que Choisir. Sans surprise, les idées ont été à l’inverse de ceux tenus une dizaine de jours plus tôt.
Par exemple, « certains membres de la société civile ont soulevé la nécessité d’uniformisation des termes utilisés lors du recueil du consentement » et surtout d’éviter les connotations trop positives. « Ils considèrent ainsi qu’ "améliorer votre expérience de navigation" pour expliquer le ciblage publicitaire ne paraît pas assez explicite ».
Pour faire gagner du temps et surtout éviter les acceptations trop rapides à l’installation des traceurs, « l’utilisation d’icônes normalisées permettrait (…) d’apporter des éléments de réponse à une telle problématique ».
Sur les écrans des internautes, certains des membres entendus se contenteraient bien de « 4 à 5 finalités au maximum », histoire de ne pas noyer l’utilisateur. Ils ont à ce titre suggéré deux niveaux d’informations, le second détaillant la liste des finalités et des sociétés déposant les cookies. Autre suggestion : un classement de ces objectifs avec en tête, les plus intrusifs.
Surtout, pour les deux associations, la finalité commune décrite par les professionnels n’a pas vraiment d’unicité. Ainsi, elle ne permet pas de faire le tri par exemple entre la publicité contextuelle et celle ciblée.
Quatre réunions de travail sont prévues par la CNIL. La prochaine portera sur le consentement explicite et aura lieu le 3 octobre.
