Cookies tiers / Coresponsabilité : Note d’analyse du GESTE

De nombreux sites internet comportent des fonctionnalités nécessitant lintégration de technologies fournies par des prestataires tiers (boutons de partage de réseaux sociaux, plugin daffichage de tweets, lecteurs vidéo...). Les éditeurs les utilisent tant pour enrichir les contenus éditoriaux (par exemple via le suivi de conversations sur 

Twitter autour dun thème donné ou laffichage de vidéos) que pour analyser le trafic de leurs sites et/ou diffuser de la publicité.

Il convient en premier lieu dobserver que les cookies sont indispensables au fonctionnement même du service mis en ligne par léditeur dans ses diverses composantes. Les solutions dintégration de fonctionnalités (affichage de publicité sur les pages et intégration de modules de réseaux sociaux au sein même de certains articles) ne permettent en effet pas dafficher du contenu sans déposer de cookies. Privée de ce type de fonctionnalités, la page daccueil dun site média sen trouverait dès lors fortement appauvrie

Larticle 5.3 de la Directive 2002/58/CE du 12 juillet 2002 conditionne le dépôt et la lecture de cookies à une information claire et complète de lutilisateur et la mise à disposition dun dispositif dopposition. Le G29 applique cette disposition à ceux qui placent des cookies et/ou récupèrent des informations à partir des cookies déjà stockés dans léquipement terminal de la personne concernée*. Dans de nombreux cas, les cookies sont déposés par des acteurs autres que léditeur qui nen maîtrise pas la gestion. Ces acteurs peuvent être des partenaires liés à léditeur via des conditions générales et/ou un contrat spécifique (fournisseur de réseau publicitaire, rés aux sociaux, agences média, fournisseur de liens commerciaux...)

Les acteurs de la publicité, en particulier ceux centrés sur le ciblage, utilisent une plateforme de RTB pour monétiser leurs espaces publicitaires. En revanche, lorsquun éditeur commercialise des espaces publicitaires via une plateforme de Real Time Bidding (RTB), laffichage de publicités nentraîne pas la signature dun contrat spécifique avec chaque annonceur acquéreur. Seule lacceptation des Conditions Générales de la plateforme lie les différents acteurs de lécosystème du RTB entre eux. De surcroit, dautres intermédiaires peuvent intervenir dans la chaine de valeur, par exemple des régies pratiquant lachat pour revente. Dans la majorité des cas, léditeur na pas la connaissance préalable de lidentité de lannonceur, dont les publicités seront diffusées, et ne maîtrise pas non plus les conditions de diffusion de la campagne sagissant des cookies déposés. En cas de manquement, léditeur ne peut dès lors que réagir a posteriori en interrompant la diffusion dune campagne

Dès lors que plusieurs acteurs sont susceptibles dintervenir dans le processus de dépôt/lecture dun cookie, le G29 analyse les faits selon une méthode inspirée de celle exprimée dans un avis 1/2010 sur les notions de responsable du traitement et de soustraitant. Le G29 estime en particulier que la qualification de responsable du traitement « dépend de la discrétion dont bénéficie le responsable pour déterminer les finalités et de sa latitude dans la prise de décisions ». Le G29 estime en particulier que « des degrés différents de contrôle peuvent donner lieu à divers degrés de responsabilité, et la responsabilité «solidaire» ne peut certainement pas être présumée dans tous les cas »

Vers une coresponsabilité distributive 

La CNIL considère** que « lorsque plusieurs acteurs interviennent dans le dépôt et la lecture de cookies (...), chacun dentre eux doit être considéré comme coresponsable (...)». Cependant, « dans la mesure les éditeurs de site constituent souvent lunique point de contact des internautes et que le dépôt de Cookies de tiers est tributaire de la navigation sur leur site, il leur appartient de procéder, seuls ou conjointement avec leurs partenaires, à l’information préalable et au recueil du consentement »

Dans le cas de cookies tiers déposés à loccasion du lancement dun lecteur vidéo, de laffichage de publicités par une régie, de lintégration dun module de partage ou de conversation sociale, léditeur na pas la maîtrise préalable des finalités dexploitation des cookies ni de leur gestion. Ceci vaut également pour les cookies de mesure daudience

A titre dexemple, léditeur nest potentiellement pas en mesure de supprimer lensemble des cookies tiers passé un délai de 13 mois à compter de laccord préalable de lutilisateur. Chaque tiers fixe luimême la « durée de vie » des cookies quil dépose. De la même manière, si lutilisateur exprime son opposition à recevoir de nouveaux cookies, léditeur ne peut exécuter ce choix directement. Il ne peut que renvoyer vers des dispositifs dopposition développés par les partenaires à lorigine de la dépose des cookies

Nous considérons par conséquent que léditeur na pas dautre choix que dorganiser, par voie contractuelle avec ses prestataires, les modalités de respect des obligations légales dont chaque partie est tributaire

Le G29 a interprété à plusieurs reprises larticle 5.3 dans le sens dune coresponsabilité distributive. Sagissant de cookies publicitaires, il a estimé que v lobligation de fournir les informations nécessaires et dobtenir le consentement des personnes concernées incombe en dernier ressort à la partie qui envoie et lit le cookie***. Dans la plupart des cas, il sagit du fournisseur de seau publicitaire ». En 2012, le G29 a considéré que cest lexploitant du réseau social qui est tenu de demander laccord préalable de lutilisateur pour lutilisation de modules sociaux de pistage entraînant le dépôt de cookies ****

Des difficultés opérationnelles fortes et la nécessité de prendre en compte un principe de bonne foi de léditeur 

Léditeur peut en effet être dans lincapacité dempêcher la dépose et lexploitation de cookies dans des conditions non conformes. Cest pourquoi nous souhaitons quil soit tenu compte de sa bonne foi dans ses efforts pour répartir par contrat la mise en oeuvre des obligations liées aux cookies

Léditeur dépend en pratique des informations transmises par le prestataire concernant le fonctionnement de la technologie déployée, la typologie des cookies déposés, les finalités dexploitation. Sa relation avec les prestataires est par ailleurs souvent encadrée par des conditions générales standardisées sans pouvoir de négociation réel en raison dun rapport de force souvent déséquilibré. Léditeur est très rarement en position de force pour contraindre ses prestataires à signer une nouvelle répartition des obligations mettant en place une coresponsabilité

Dans certains cas, les cookies permettant laffichage et la gestion des publicités ne sont pas directement déposés par les régies, avec lesquelles léditeur a contractualisé, mais par des prestataires techniques. Ces acteurs proposent aux régies des plateformes techniques de gestion des campagnes publicitaires sur les sites de leurs éditeurs. Les éditeurs se retrouvent dès lors tributaires des pratiques des sous traitants de leurs régies avec des capacités de contrôle très limitées

Les annonceurs peuvent en outre confier à des prestataires techniques lhébergement, la distribution, parfois le comptage des visualisations, des campagnes publicitaires. Ces prestataires peuvent être amenés à déposer des cookies publicitaires, sans que léditeur ou même la régie naient de contrôle dessus

Sagissant du cloud computing, la CNIL a précédemment tenu compte de ce type de situation. Elle a estimé dans une recommandation du 25 juin 2012 que « les clients ne peuvent pas réellement leur donner dinstructions et ne sont pas en mesure de contrôler leffectivité des garanties de sécurité et de confidentialité apportées par les prestataires. Cette absence dinstruction et de moyens de contrôle est due notamment à des offres standardisées, non modifiables par les clients, et à des 

contrats dadhésion qui ne leur laissent aucune possibilité de négociation ». Sur cette base, elle a déterminé une grille de répartition des obligations des parties en présence

Nous proposons les observations suivantes

Dans le cas de cookies tiers, léditeur ne saurait être considéré comme seul responsable dès lors que les conditions dexploitation des cookies sont principalement voire exclusivement définies par les prestataires déposants

Nous déduisons de la position de la CNIL que constituant le principal point de contact des internautes, il appartient à léditeur dorganiser une répartition par contrat de la mise en oeuvre des obligations liées au dépôt et à la lecture de cookies. Il est à noter que de nombreux contrats existants, en particulier avec des fournisseurs de solutions technologiques et de partenaires de monétisation, ne comportent pas de clauses spécifiques à ce sujet. Nous demandons dans ce cadre de prendre en compte le fait que laudit de lensemble des contrats liant léditeur aux partenaires et lajustement de ces textes nécessitent un temps dinvestigation et un coût significatif pour les éditeurs. A titre dexemple, un éditeur américain (Evidon) proposant un outil de surveillance des cookies tiers, basur la récolte de données de navigation dun panel dinternaute, facture laccès aux données permettant didentifier les tiers déposant des cookies sur le site dun éditeur

Nous demandons à la CNIL de préciser les contours de la notion de coresponsabilité dans le sens dun régime de responsabilité distributive, limité au seul périmètre des obligations que chacun des acteurs a la charge de respecter. A titre dexemple, léditeur devrait logiquement être tenu dinformer lutilisateur de lexploitation de cookies sur son site et, concernant les cookies tiers, des moyens dopposition à sa disposition, notamment ceux que les prestataires devraient développer. Il est à noter que toutes les agences et les prestataires dadserving ne proposent à date pas ce type de dispositif

Nous recommandons également de tenir compte de la bonne foi de léditeur, et notamment des conditions de contractualisation de ses relations avec ses prestataires dans la mise en oeuvre du régime de responsabilité conjointe en particulier en labsence de contrats ou dans lhypothèse léditeur ne serait pas en mesure de négocier, avec ses prestataires une répartition de la mise en oeuvre des obligations précitées (cas des contrats ou offres dadhésion)excluant toute responsabilité solidaire). En pareil cas, nous demandons au régulateur dévaluer en pratique le rôle joué par chaque intervenant dans la lecture et lexploitation des cookies, et dorienter le marché dans la détermination du périmètre des responsabilités de chacun des acteurs

Nous proposons quil soit tenu compte de la bonne foi de léditeur dans les situations suivantes

Le prestataire est dans lincapacité dinformer léditeur des caractéristiques 

okies déposés. Par exemple, lexploitant dune plateforme RTB jouant le rôle dun intermédiaire technique, les éditeurs se rendent compte quil ne maîtrise pas nécessairement les conditions de dépose et dexploitation de cookies par 

les annonceurs

Le prestataire refuse dinformer léditeur sagissant tant des conditions techniques que des finalités dexploitation des cookies déposés

Le prestataire refuse linsertion de clauses organisant une répartition contractuelle et impose ses conditions aux éditeurs via des conditions générales. Nous préconisons en pareil hypothèse que le périmètre des obligations et responsabilités de chaque partie soit déterminée à partir dune analyse des conditions réelles dexploitation des cookies

* fG29, Avis 2/2010 sur la publicité comportementale en ligne, 22 juin 2010 ** Délibération no 2013378 du 5 décembre 2013 portant adoptio recommandation relative aux Cookies et aux autres traceurs visés par larticle 3211 de la loi du 6 janvier 1978 *** Avis 2/2010 précité. **** Avis 04/2012 sur lexemption de lobligation de consentement pour certains cookies, 07 juin 2012 



X