Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Juillet 2017 - n°426 - 274

Doctrine

Données personnelles
« Cookies tiers » :
pour une clarification
des responsabilités entre
éditeur de site et tiers
Le dépôt de cookies tiers soulève des questions de
qualification de chaque entité impliquée au regard de la
protection des données à caractère personnel. Quelle est
l'entité qui a la qualité de responsable du traitement ? Quelle
est l'entité qui a la qualité de sous-traitant ?

es cookies et autres traceurs,
moyens de traitement de
données à caractère personnel, partie de l'écosystème
numérique, font l'actualité tant européenne que nationale.
A l'échelle européenne, la Commission
a initié la révision de la directive
2002/58/CE du 12 juillet 20021 laquelle
régit notamment les traitements des
données relatives aux communications
électroniques. A ce titre, une proposition de règlement européen a été
publiée en janvier dernier2. Ce texte
soumettrait « l'utilisation des capacités
de traitement et de stockage des équipements terminaux et la collecte d'informations provenant des équipements
terminaux des utilisateurs finaux, y
compris sur les logiciels et le matériel (...) » notamment au consentement
des utilisateurs. L'enjeu réside dans
le fait que le consentement exigé est
défini par la proposition de règlement
par référence aux articles 4§11 et 7 du
Règlement général sur la protection
des données (RGPD)3.
A l'échelle nationale, la Commission
nationale de l'Informatique et des
libertés4 a clarifié, le 23 mai dernier
la responsabilité des éditeurs de sites
Internet et des sociétés tierces émettrices de cookies. Rappelons que le
27 juillet 20165, la Cnil avait annoncé

274

procéder à des contrôles auprès des
émetteurs de publicité en ligne, tiers
aux éditeurs de sites Internet. Ces
contrôles avaient pour but de permettre
d'identifier la qualité tant des éditeurs
de sites Internet que des émetteurs
tiers dans le cadre des traitements de
données à caractère personnel mis en
oeuvre lors de publicité ciblée notamment au moyen de cookies. La Cnil
souhaitait ainsi identifier les obligations et la responsabilité de chacun des
acteurs de ce domaine d'activité. Ce
positionnement était souhaité et attendu par ces derniers afin d'avoir une
pratique juridique conforme au regard
des enjeux relatifs au traitement des
données à caractère personnel.
Après un bref rappel de la définition
des cookies tiers, les enjeux afférents
à la responsabilité seront analysés à
l'aune de la protection des données à
caractère personnel avec leurs conséquences opérationnelles.

COOKIES TIERS :
DE QUOI S'AGIT-IL ?
Dans un avis du 7 juin 2012 sur l'exemption de l'obligation de consentement
pour certains cookies, le Groupe de
l'article 29 a défini la notion de cookies
tiers autrement appelés cookies third
party.

EXPERTISES JUILLET/AOÛT 2017

A partir de la définition du « tiers » au
sens de la directive 95/46/CE, le Groupe
de l'article 29 donne les deux acceptions des cookies tiers. Dans une
première acception, il peut s'agir de
cookies déposés par un responsable de
traitements distinct de celui qui édite et
exploite le site Internet à partir duquel
ils sont déposés. Dans une seconde
acception, il peut s'agir de cookies
déposés par des sites Internet appartenant à un domaine distinct de celui
du site à partir duquel ils sont déposés.
Dans cette dernière acception, l'existence de responsables de traitements
différents importe peu.
Il semblerait qu'en pratique, la
Commission nationale de l'informatique et des libertés opte pour la
seconde acception. A titre d'illustration, la récente délibération de la Cnil
prononçant une sanction pécuniaire
contre un célèbre réseau social américain fait référence aux cookies tiers
comme ceux « issus de domaine tiers
au site facebook.com »6.
Cela étant précisé, le dépôt de cookies
tiers soulève des questions de qualification de chaque entité impliquée au
regard de la protection des données
à caractère personnel. Quelle est l'entité qui a la qualité de responsable du
traitement ? Quelle est l'entité qui a la
qualité de sous-traitant ?

http://www.facebook.com

Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Juillet 2017 - n°426