Publicité en ligne : la CNIL précise les rôles et responsabilités pour utiliser des cookies

Dans le secteur de la publicité en ligne, réussir une campagne publicitaire implique souvent d'utiliser des cookies (petits fichiers stockés sur les ordinateurs ou terminaux mobiles, contenant des données de navigation de l'utilisateur). Les cookies augmentent en effet l'efficacité de la campagne en permettant typiquement le suivi de l'activité de l'internaute ainsi que des actions de reciblage ou de profilage.

Le recours aux cookies impliquant souvent non seulement l'éditeur du site internet mais aussi des prestataires de services tiers, l'identification des responsabilités respectives des parties est essentielle pour leur permettre de se conformer au cadre réglementaire applicable.

Le principe général est que les parties qui déterminent les finalités et les moyens d'un traitement de données à caractère personnel sont considérées comme responsables de ce traitement, tandis que celles qui traitent uniquement les données pour le compte d'un responsable de traitement seront considérées comme sous-traitants. La réglementation européenne exige que le responsable de traitement obtienne le consentement des internautes préalablement à la mise en œuvre de cookies, sauf dans un nombre limité d'exceptions.

Après avoir conduit une campagne d'analyse des pratiques en ligne, la Commission nationale de l'informatique et des libertés a conclu à l'existence de deux situations:

• Les éditeurs de sites internet qui traitent des données personnelles à travers leurs propres cookies – ou grâce à des cookies que des tiers gèrent pour le compte de ces éditeurs – doivent être considérés comme des responsables de traitement. Cela inclut les éditeurs qui utilisent des outils d'analyse tels que pour la mesure d'audience ou le suivi des investissements publicitaires. Dans ce cas, les prestataires tiers fournisseurs de cookies seront considérés comme des sous-traitants.
• Les tiers fournisseurs de cookies qui traitent, pour leur propre compte, des données personnelles qu'ils collectent à travers leurs propres cookies, seront considérés comme responsables de traitement. Cela s'applique notamment dans les cas suivants : (i) régie publicitaire suivant les utilisateurs sur plusieurs sites web pour déterminer leurs profils, (ii) plateforme d'enchères en temps réel, (iii) tout fournisseur tiers collectant des données personnelles pour alimenter sa propre base de données.
  
  

Les entreprises actives sur le marché français évaluer sans attendre leur conformité aux règles sur l'usage des cookies, notamment en cas de recours à des prestataires tiers pour la gestion de leurs cookies. Cela est désormais d'autant plus urgent que le plafond de l'amende potentielle en cas de non-conformité a été accru (3 millions d'euros) et sera très probablement augmenté à nouveau (jusqu'à 20 millions d'euros et 4% du chiffre d'affaires mondial) en 2018, lorsque le projet de règlement ePrivacy, une fois finalisé, sera applicable.

Pour plus d'information sur le projet de règlement e-Privacy, consultez notre Commentaire sur ce thème: "e-Privacy: la Commission essaye de se mettre à jour de l'évolution des technologies de la communication."

Lawyer Contacts

For further information, please contact your principal Firm representative or one of the lawyers listed below. General email messages may be sent using our "Contact Us" form, which can be found at www.jonesday.com/contactus/.

Daniel J. McLoon
Los Angeles
+1.213.243.2580
djmcloon@jonesday.com

Mauricio F. Paez
New York
+1.212.326.7889
mfpaez@jonesday.com

Olivier Haas
Paris
+33.1.56.59.38.84
ohaas@jonesday.com

Undine von Diemar
Munich
+49.89.20.60.42.200
uvondiemar@jonesday.com

Hatziri Minaudier, collaboratrice du bureau de Paris, a contribué à la rédaction de cette Alerte.  

Jones Day publications should not be construed as legal advice on any specific facts or circumstances. The contents are intended for general information purposes only and may not be quoted or referred to in any other publication or proceeding without the prior written consent of the Firm, to be given or withheld at our discretion. To request reprint permission for any of our publications, please use our "Contact Us" form, which can be found on our web site at www.jonesday.com. The mailing of this publication is not intended to create, and receipt of it does not constitute, an attorney-client relationship. The views set forth herein are the personal views of the authors and do not necessarily reflect those of the Firm.