2022
Enquête «cookies sur les sites de presse» : le groupe Rossel mis à l’amende
L’APD annonce aujourd’hui qu’elle a imposé une amende de 50.000 euros au groupe de presse Rossel pour sa gestion des cookies sur les sites lesoir.be, sudinfo.be et sudpressedigital.be. L’amende vise principalement des manquements en termes de consentement nécessaire pour le placement de cookies non essentiels. Il s’agit de la seconde décision prise par l’APD dans le cadre de son enquête thématique sur la gestion des cookies sur les sites de presse belge les plus populaires.
Manquements en terme de consentement et pratique du « further browsing »
Les responsables de sites qui veulent placer ou lire des cookies doivent pour ce faire recueillir préalablement le consentement de l’utilisateur, sauf dans le cas où ces cookies sont strictement nécessaires (pour fournir à l’utilisateur un service qu’il a expressément demandé ou pour le bon fonctionnement technique d’un site web).
Or, l’APD a constaté lors de son enquête différents manquements à ce sujet sur les sites précités:
- Consentement préalable : plusieurs cookies étaient placés par ces sites web sur l’appareil du visiteur avant même que celui-ci n’y ait consenti (47 pour Sudinfo, 104 pour Le Soir, 23 pour Sudpresse éditions digitales) ;
- Absence de consentement pour les cookies d’audience et de réseaux sociaux : le groupe Rossel se basait sur l’intérêt légitime pour le placement des cookies d’audience et de réseaux sociaux, et ne les soumettait ainsi pas au consentement de l’utilisateur, or un consentement est en principe (et certainement dans le cas d’espèce) requis pour le placement de cookies non strictement nécessaires ;
- Information à l’utilisateur : la politique relative aux cookies était incomplète et difficilement accessible ;
- Further browsing : les sites du groupe Rossel considéraient la poursuite de la navigation (le « further browsing ») comme la marque d’un consentement de l’utilisateur, or le consentement ne peut être considéré comme valide que s’il résulte d’une action active claire et suffisamment spécifique pour marquer l’acceptation des cookies séparément de la volonté de poursuivre l’utilisation d’un service d’information; le consentement ne peut donc pas être déduit par le fait que l’utilisateur continue de naviguer sur le site ;
- Cases de consentement pré-cochées : les cases de consentement à l’installation de cookies par des partenaires tiers étaient pré-cochées, or le consentement doit être actif et ne peut donc pas être considéré comme donné « par défaut ».
De surcroit, quand un utilisateur retirait son consentement, ce retrait n’était pas effectif.
La Chambre Contentieuse de l’APD a donc décidé d’infliger au groupe Rossel une amende de 50.000 euros.
Rossel peut faire appel de cette décision.
Deuxième décision dans le cadre de l’enquête thématique « cookies sur les sites de presse »
Le 25 mai 2022, l’APD annonçait qu’elle avait passé à la loupe 20 sites web différents (une liste complète est disponible page 2 de la décision 103/2022) dans le cadre d’une enquête thématique sur les cookies placés par les sites de presse belge les plus populaires. La décision 103/2022 d'aujourd'hui est la seconde prise par l’APD à la suite de celle-ci, et ne reflète qu’une partie de l’enquête. D’autres dossiers sont ouverts auprès de la Chambre Contentieuse dans le cadre de cette inspection.
Hielke Hijmans, Président de la Chambre Contentieuse de l’APD, conclut: « Les atteintes que nous avons constatées sur les sites de Le Soir, Sudinfo et Sudpresse éditions digitales portent sur une méconnaissance des principes mêmes de la protection des données, or au moment de prendre notre décision, ces sites figuraient parmi les 10 sites de médias les plus visités en Belgique*. Il est essentiel que des sites de presse, de surcroît consultés par un nombre important d’utilisateurs, se conforment aux règles en matière de protection des données. »
[* Selon les chiffres du Centre d’information sur les médias (CIM)]
Rappel : les règles en matière de consentement
L’APD rappelle que pour être valable au sens du RGPD, un consentement doit répondre à certaines conditions strictes. Il doit être notamment: informé, univoque, libre (l’utilisateur ne doit pas subir de conséquences négatives s’il refuse de consentir), et spécifique (on consent à un traitement de données bien défini, ce qui signifie que l’utilisateur doit pouvoir consentir à certains types de cookies et pas à d’autres, et, plus largement : on marque son consentement pour une collecte de données par cookies séparément de la volonté de souscrire à un service).
Plus de détails sur le consentement dans le cadre du placement de cookies sont disponibles dans notre dossier thématique « cookies ».