L'essentiel
- La limitation de la conservation (art. 5, paragraphe 1, point e), du RGPD) s'applique aux identifiants conservés dans les cookies.
- La CNIL recommande 13 mois au maximum pour les traceurs de mesure d'audience et publicitaires, un seuil largement utilisé comme référence.
- De nombreux outils déposent par défaut des identifiants valables deux ans : c'est un constat, et généralement un simple paramètre.
Le principe
Le principe de limitation de la conservation du RGPD (article 5, paragraphe 1, point e)) impose de ne pas conserver les données personnelles plus longtemps que nécessaire au regard de leur finalité. Un cookie porteur d'un identifiant constitue une telle donnée : sa durée de vie doit donc correspondre à sa finalité.
Le seuil de 13 mois
La CNIL, dans ses lignes directrices et sa recommandation de 2020 sur les cookies, recommande que les traceurs utilisés pour la mesure d'audience ou la publicité aient une durée de vie n'excédant pas 13 mois, et que le choix du visiteur soit sollicité de nouveau après une période raisonnable. Les autres autorités, notamment en Allemagne, apprécient les durées au cas par cas en application du même principe ; le seuil de 13 mois est largement utilisé comme référence.
session_id_hjSessionconsent_gaCe que nous signalons
Seqlense GDPR mesure la durée de vie de chaque cookie persistant déposé par une page et signale ceux conservés plus de 13 mois (400 jours). Les cookies de session, qui disparaissent à la fermeture du navigateur, font l'objet d'un rapport distinct.
Constats fréquents
- Des identifiants de mesure d'audience ou publicitaires déposés pour deux ans par défaut.
- Des cookies d'outil de gestion du consentement conservés bien plus longtemps que ne devrait l'être le choix qu'ils enregistrent.
- Des cookies persistants transmis sans l'attribut Secure.
Liste de contrôle
- Listez chaque cookie persistant avec sa durée de vie, sur chaque page importante.
- Pour les identifiants de mesure d'audience et publicitaires, une durée de vie de 13 mois au plus (vérifiez les paramètres de l'outil : beaucoup sont réglés sur deux ans par défaut).
- Le choix de consentement sollicité de nouveau après une période raisonnable.
- Les durées indiquées dans la politique cookies correspondent à ce que le navigateur reçoit réellement.
Sources
- Article 5, paragraphe 1, point e), du RGPD (limitation de la conservation).
- CNIL, délibérations n° 2020-091 (lignes directrices) et n° 2020-092 (recommandation) du 17 septembre 2020 relatives aux cookies et autres traceurs.
Information générale, ne constituant pas un conseil juridique. Faites examiner votre situation particulière par votre DPO ou votre conseil.