CNIL : des mises en demeure visant notamment RED by SFR ou OVH pour leurs bannières cookies obtenues par l’Association PURR

L’Association Pour Un RGPD Respecté (PURR) a saisi la Commission nationale de l’informatique et des libertés (CNIL) à plusieurs reprises concernant des bannières cookies déployées sur plusieurs sites web.

Des procédés qui ne respectent pas la loi

La Commission a adressé des mises en demeure à plusieurs de ces acteurs selon Aeris qui préside l’association afin de rappeler à ces sociétés leurs devoirs en tant que responsable du traitement des cookies. On retrouve pêle-mêle, Developpez.com, La Banque Postale, Ouest-France, Aliexpress mais aussi d’autres acteurs à l’image d’OVH ou de RED by SFR.

Dans le cas d’OVH, la CNIL a demandé à la société de se conformer dans un délai de deux mois aux dispositions de l’article 82 de la loi n° 78-17 du 6 janvier 1978 modifiée. Elle devra tout mettre en œuvre afin « d’assurer le caractère effectif du retrait du consentement des utilisateurs aux opérations de lecture et/ou d’écriture d’informations sur leur terminal » ainsi que de « procéder à l’effacement de ses systèmes d’information des données à caractère personnel qui auraient été collectées et traitées en l’absence de recueil de consentement valable ».

Dans le cas de RED by SFR, la CNIL a demandé à SFR les mêmes choses qu’à OVH en ajoutant l’obligation de « recueillir un consentement valable des personnes avant toute opération de lecture et/ou d’écriture d’informations sur le terminal, en mettant à leur disposition des interfaces non trompeuses avec des options de refus de ces opérations présentant le même degré de simplicité et d’accessibilité que celles prévues pour en accepter l’usage ».

Cette disposition doit permettre aux utilisateurs de pouvoir refuser le dépôt de cookies avec la même facilité qu’ils peuvent l’accepter. Parfois, le lien pour le refus est placé sciemment à un endroit peu visible afin de forcer les gens à accepter le dépôt malgré eux.

Dans les deux cas, et cela concerne également les autres entités mises en demeure, les cookies tiers sont de leur responsabilité. Les responsables doivent effectuer les vérifications nécessaires pour s’assurer que tout est respecté. Dans le cas contraire, ils doivent prendre les mesures adéquates pour faire cesser ces manquements.

Des bannières cookies illicites en France

Selon Aeris, les décisions de la CNIL confirmeraient un point soulevé par PURR concernant l’impossibilité technique du retrait du consentement. Dès lors, « l’ensemble des bannières cookies est mort en France » et l’association va à nouveau faire des centaines de signalement de bannières cookies illicites.