Transposition de la « directive sur les cookies » en Grande-Bretagne

Le 25 mai, le délai de transposition de la « directive sur les cookies » de l’UE expirait. Le 26 mai 2011, la Grande-Bretagne a édicté le nouveau règlement relatif à la vie privée et aux communications électroniques : « Privacy and Electronic Communications Regulations 2003 » . Les sociétés concernées n’ont plus qu’une année pour adapter leurs pages Internet aux nouvelles réglementations.

Comment la Grande-Bretagne a transposé la directive sur les cookies ?

Pour le moment, seulement huit des 27 états membres de l’Union européenne ont transposé les directives sur les Cookies, bien que le délai ait déjà expiré depuis le 25 mai 2011. Ces pays sont le Danemark, l’Estonie, la Finlande, la France, l’Irlande, Malte, la Suède et la Grande-Bretagne.

Transposition en Grande-Bretagne

Andreas Thürauf a publié un essai intéressant dans la revue juridique « Zeitschrift für Datenschutz » n°2012, 24 : « Cookie Opt-in en Grande-Bretagne – l’avenir des cookies ? Vue d’ensemble sur les modifications et les répercussions ».

L’article s’intéresse à la transposition de la directive 2009/136/EG en droit britannique, aux méthodes de l’Information Commissioner’s Officer (ICO) ainsi qu’aux répercussions possibles de la nouvelle loi sur la publicité comportementale.

D’abord, l’auteur présente la règlementation britannique en vigueur jusqu’au 26 mai 2011. Il précise que jusqu’au 26/05/2011 en Grande-Bretagne, l’art. 6 du Privacy and Electronic Communications (EC-Directive) Regulations 2003 (PECR 2003) prévoyait que l’utilisateur d’un site Internet reçoive des informations claires et complètes sur l’objectif, le type et l’étendue de l’utilisation des cookies et que la possibilité lui soit donnée de refuser la sauvegarde des cookies sur son terminal. Il ajoute que dans la pratique, ces informations se trouvaient souvent dans les mentions légales du site Internet.

L’article 6 du Règlement PECR 2003 a été modifié par la transposition de la directive sur les cookies. En même temps, les termes de la directive ont été acceptés en grande partie.

Accord pour la fixation des cookies

Andreas Thürauf indique que l’utilisateur doit dorénavant donner son accord de principe pour la fixation des cookies, à moins que ceux-ci ne soient absolument nécessaires pour que le prestataire d’un service de la société d’informations puisse mettre ce service, qui a expressément été demandé par le participant ou par l’utilisateur, à disposition.

L’impératif d’obtenir des informations claires et complètes de l’ancien règlement a été maintenu.

Quand un cookie est-il absolument nécessaire ?

L’Information Commissioner’s Officer (ICO) – commissaire à la protection des données nommé par le roi et indépendant du gouvernement au Royaume-Uni – a proposé des solutions pour obtenir l’accord efficacement.

Celles-ci peuvent également avoir une importance pour les autres États membres selon Thürauf car la Grande-Bretagne aimerait occuper une position de leader dans la question du Cookie Opt-in.

L’ICO donne comme exemple de cookies qui ne nécessitent aucun consentement préalable les « cookies-panier ».
Selon l’auteur, l’ICO voit ici comme cas d’application l’entrée d’un cookie dans une boutique en ligne dans laquelle le client marque des articles qu’il aimerait ajouter à son panier d’achats ; ici, le cookie qui ne nécessite pas de consentement permet aux articles qui ont été marqués sur une page précédente de rester « en mémoire » de la page et d’apparaître comme déjà sélectionnés lorsque la page est rouverte.

Thürauf considère aussi des cookies qui sont installés pour que le gérant du site puisse reconnaître que l’utilisateur n’a pas consenti au placement des Cookies, ainsi que des Cookies qui ne sont pas soumis à l’obligation de consentement.

Date de l’accord

Ensuite, Thürauf aborde le thème de la date de l’accord et présente les différents avis, par exemple celui du « Departments for Culture Media and Sport » (DCMS) et celui du groupe de travail Article 29 sur la protection de données.

L’ICO ne s’est pas encore exprimé au sujet de la date de l’accord.

Paramètres du navigateur comme consentement ?

En Allemagne, on se demande souvent si les paramètres du navigateur doivent suffire à empêcher les cookies. L’ICO voit cela différemment en Grande-Bretagne.

Thürauf écrit à ce propos que comme les paramètres du navigateur ne peuvent pas être considérés, ou seulement dans des cas précis, comme consentement à la mise en place de cookies, l’ICO prépare un catalogue de mesures pour l’obtention du consentement de l’utilisateur de manière efficace.

Enfin, Thürauf présente plusieurs solutions possibles.

1. Demander le consentement à l’aide d’un pop-up
   Selon l’ICO, cette possibilité serait certes la plus claire mais pas la plus élégante
2. Accord dans les conditions d’utilisation
3. Paramètre individuel du site
4. Mise en place de cookies analytiques

L’utilisateur doit donner son consentement quant à la mise en place de cookies en en-tête ou en note de bas de page du site. L’ICO utilise lui-même cette solution sur son site et la prend comme exemple type.

Conclusion

Dans la conclusion de son essai, Thürauf considère la conception du ICO comme la plus grande initiative prise jusqu’à présent dans l’Union européenne pour résoudre le problème du Cookie Opt-in.

De plus, il pense que les remarques de l’ICO concernant la mise en application de l’obligation de consentement conviendraient également pour les autres États membres. On devrait cependant attendre que les autres États transposent la directive.

Thürauf annonce que selon le législateur britannique, la transposition et l’admissibilité du consentement à l’aide des paramètres du navigateur dépendraient de l’évolution technique du navigateur.