Cookies : collecte invisible des données à caractère personnel

Recenser une clientèle nécessite parfois une diffusion et une élaboration minutieuses d’une publicité qui lui est destinée. Cependant, l’Internet permet d’aller plus loin en offrant la possibilité de procéder à une collecte d’informations « agressive » au moyen d’outils dénommés « Cookies ».

Certains sites commerciaux comme ceux qui sont spécialisés dans l’e-commerce poussent l’internaute à remplir un questionnaire pour pouvoir accéder à d’autres parties du site. C’est ainsi qu’il se trouve dans l’obligation de fournir certaines informations personnelles comme le nom, le prénom, l’adresse, l’adresse mail, etc. C’est à ce stade du processus qu’interviennent les Cookies.
Ces fichiers s’installent sur le disque dur de l’utilisateur et commencent à enregistrer des informations en rapport avec les sites qu’il a visités. Autrement dit, les Cookies permettent d’enregistrer les traces de passages de l’utilisateur sur un forum ou un site web. Ensuite, ces traces sont stockées via l’ordinateur de l’internaute pour établir ainsi des informations sur ses habitudes de navigation. Enfin, le serveur ayant mis en place la récolte de ces informations procède à la récupération des données pour les réutiliser lors de la prochaine visite du site par l’internaute. Ainsi, celui-ci n’aura pas à refaire tout le processus en remplissant le même questionnaire à chaque fois qu’il visite ledit site.
Ces données peuvent également être exploitées pour constituer le profil de navigation de l’internaute à partir de ses préférences. Cependant une fois celles-ci modifiées, l’empreinte stockée au moyen des Cookies permettra de modeler le nouveau profil commercial, politique, économique, social et culturel de l’internaute en fonction de ses nouvelles préférences.
Avant la modification [1] de la loi Informatique et Libertés, la collecte de données était un dispositif mis en œuvre à l’insu de l’internaute. Certains sites allaient plus loin en utilisant les Cookies pour stocker automatiquement des adresses électroniques sans que leurs propriétaires n’en soient au courant, ce qui a donné lieu à plusieurs débats judiciaires [2]. Une collecte d’informations à l’insu de leurs propriétaires est une « collecte déloyale » [3].
La Cour de cassation s’est basée sur l’article 226 du Code pénal pour définir la collecte déloyale dans un arrêt du 3 novembre 1987 : « caractérise des moyens frauduleux, déloyaux et illicites la collecte auprès de tiers à l’insu des intéressés et sans déclaration de traitement ». En France, toute collecte déloyale est sanctionnée pénalement (5 ans d’emprisonnement et 300 000 euros d’amende pouvant atteindre jusqu’à 1.500.000 euros si le fautif est une personne morale [4]). Des précisions ont été également apportées par la Haute juridiction concernant cette notion, en attestant que le fait de recueillir des adresses électroniques personnelles de personnes physiques sur un espace public d’Internet est déloyal, empêchant ainsi les titulaires desdites adresses de faire opposition.
Dans le but de protéger les données à caractère personnel et ainsi la vie privée des internautes, la commission nationale de l’informatique et des libertés (la CNIL) a recommandé aux sites émetteurs d’informer les internautes sur la finalité des Cookies, de leur durée de validité s’ils ne sont pas supprimés par l’internaute ainsi que des conséquences de la désactivation de ces procédés. Selon la CNIL, une information préalable et claire est la solution efficace pouvant mettre fin aux problèmes liés aux cookies [5].
L’Union européenne a émis une directive suite à laquelle le consentement préalable de l’utilisateur avant le stockage d’informations sur son appareil est devenu obligatoire. Celle-ci a réagi suite à la légalisation des cookies en 2001. Leur utilisation a été autorisée par la CNIL et les parlementaires européens, « à condition que les utilisateurs disposent d’informations claires et précises, conformément à la directive européenne sur la finalité des dispositifs en question de manière à être au courant des informations placées sur l’équipement terminal qu’ils utilisent » [6].
En effet, il est prévu dans la loi informatique et libertés [7], depuis sa modification en 2011, que chaque utilisateur a le droit d’être informé préalablement de toute collecte de données, et qu’il jouira des moyens lui permettant d’autoriser cette dernière ou de s’y opposer, et par conséquent a soutenu la position prise par l’Union européenne vis-à-vis de ces mouchards informatiques [8].

Ahmed BENATTOU

[1] Modifications issues de l’ordonnance du 24 aout 2011 qui transpose le Paquet Télécom issue elle-même de la directive européenne de 2009.
[2] Directive 2002/58/CE du Parlement et du Conseil, 12 Juillet 2002, concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, JOUE L 203, 31 Juill. 2002, p. 37
[3] FERAL-SCHUHL Christiane, Cyberdroit : Le droit à l’épreuve de l’Internet, Dalloz, 6éme édition 2011/2012, p. 127.
[4] Article 226-18 du code civil.
[5] FERAL-SCHUHL Christiane, op. cit, p. 126.
[6] Dir. 2002/58/CE, op. cit.
[7] Article 32-II de la loi informatique et libertés du 6 Janvier 1978.
[8] www.internetsanscrainte.fr, « La collecte de données à mon insu par les cookies, ça marche comment ? ».