L'essentiel
- Le consentement d'abord : rien de non essentiel ne peut être stocké ou lu avant l'accord du visiteur.
- Il ne s'agit pas seulement des cookies : le stockage local, les pixels et l'empreinte numérique (fingerprinting) sont également concernés.
- Les cases précochées et les bandeaux sur lesquels refuser est plus difficile qu'accepter ne permettent pas de recueillir un consentement valable.
La règle
L'article 25, paragraphe 1, de la loi allemande sur la protection des données dans les télécommunications et les services numériques (le TDDDG allemand, TTDSG jusqu'en mai 2024) impose de recueillir le consentement de l'utilisateur final avant de stocker des informations sur son équipement terminal ou d'accéder à des informations déjà stockées. Il transpose l'article 5, paragraphe 3, de la directive ePrivacy. Le consentement doit répondre aux exigences du RGPD : libre, spécifique, éclairé et univoque.
Ce qu'il couvre
Les cookies, mais pas uniquement : le stockage local, les pixels qui lisent des informations sur le terminal et les techniques d'empreinte numérique relèvent de la même règle, que des données personnelles soient en jeu ou non. Le Comité européen de la protection des données (CEPD) a précisé ce champ technique dans ses lignes directrices 2/2023.
Les exceptions
L'article 25, paragraphe 2, exempte le stockage ou l'accès nécessaire à la transmission d'une communication, ou strictement nécessaire à un service expressément demandé par l'utilisateur : un panier d'achat, une session de connexion, une fonction de sécurité. Selon la lecture des autorités, la mesure d'audience, la publicité et la plupart des contenus tiers intégrés ne relèvent pas de ces exceptions.
Ce qui n'est pas un consentement valable
- Une case précochée (CJUE, Planet49, C-673/17, 2019 ; Cour fédérale de justice allemande (BGH), Cookie-Einwilligung II, I ZR 7/16, 2020).
- Des cookies déposés avant que le visiteur ait répondu au bandeau.
- Un bandeau sur lequel refuser demande plus d'effort qu'accepter, ce que la Conférence des autorités allemandes (DSK) et le CEPD considèrent comme un obstacle au libre consentement.
Comment vérifier un site
Chargez la page comme un premier visiteur, sans toucher au bandeau, et observez ce qui a été déposé et ce qui a été appelé. Tout ce qui dépasse le strictement nécessaire constitue un constat. Refusez ensuite, rechargez, et vérifiez qu'aucun élément non essentiel n'apparaît.
Liste de contrôle
- Chargez chaque page importante (accueil, paiement, contact) sans répondre au bandeau : uniquement des cookies et requêtes strictement nécessaires.
- Refusez, rechargez : toujours aucun élément non essentiel, et le choix est mémorisé.
- Vérifiez que refuser est aussi simple et visible qu'accepter, dès le premier niveau.
- Aucune catégorie précochée dans le niveau des paramètres.
- Chaque finalité et chaque fournisseur nommés dans le bandeau et la politique cookies.
Sources
- § 25 du TDDDG allemand (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz), anciennement TTDSG.
- Article 5, paragraphe 3, de la directive 2002/58/CE (directive ePrivacy).
- CJUE, 1er octobre 2019, Planet49, C-673/17.
- BGH, 28 mai 2020, Cookie-Einwilligung II, I ZR 7/16.
- CEPD, lignes directrices 2/2023 sur le champ d'application technique de l'article 5, paragraphe 3, de la directive ePrivacy.
- CEPD, lignes directrices 05/2020 sur le consentement au sens du règlement 2016/679.
Information générale, ne constituant pas un conseil juridique. Faites examiner votre situation particulière par votre DPO ou votre conseil.