Les cookies sont de petits fichiers texte stockés sur des appareils tels que les ordinateurs portables, les téléphones mobiles ou tout autre appareil capable de stocker des informations. Lorsqu'un utilisateur visite un service web, tel qu'un site web, des cookies sont téléchargés sur son appareil. Ces cookies permettent au site web d'identifier l'appareil de l'utilisateur et de conserver des détails sur ses préférences ou ses activités précédentes.

Les cookies peuvent, par exemple, être utilisés pour

• Remplir automatiquement les informations dans les formulaires.
• Mémoriser certains paramètres (par exemple, la langue préférée).
• Garder les utilisateurs connectés entre les sessions.
• Faire des recommandations de contenu personnalisées.

Compte tenu de la quantité de données que les cookies peuvent contenir, ils peuvent être considérés comme des données à caractère personnel dans certaines circonstances. Par exemple, un cookie d'authentification de l'utilisateur impliquerait le traitement de données à caractère personnel, car il est utilisé pour permettre à l'utilisateur de se connecter à son compte sur un service en ligne. Par conséquent, le traitement des cookies est soumis à la Circulaire Opérationnelle no. 11 "Traitement des données à caractère personnel au CERN" (CO 11) .

L'objectif de ce guide est d'assister les propriétaires et développeurs de sites web dans la compréhension et la mise en œuvre de l'utilisation des cookies, en tenant compte des exigences de la CO 11 et des meilleures pratiques internationales.

Les cookies peuvent être différenciés en fonction de leur durée de vie, de leur origine et de leur finalité.

Durée de vie des cookies

• Les cookies de session sont temporaires et expirent à la fin d'une session de navigation (normalement lorsque l'utilisateur quitte son navigateur). Ils permettent aux sites web de mémoriser et de relier les activités d'un utilisateur au cours d'une seule session de navigation. Ces cookies peuvent être utilisés à diverses fins, par exemple pour garder une trace des articles dans un panier d'achat ou pour se souvenir des préférences linguistiques lorsqu'un utilisateur navigue sur le site web.

• Les cookies persistants sont stockés sur l'appareil de l'utilisateur entre deux sessions, c'est-à-dire qu'ils restent sur l'appareil de l'utilisateur même après la fermeture du navigateur web. Ils peuvent permettre de mémoriser les préférences ou les actions de l'utilisateur sur un site (ou différents sites web). Ces cookies peuvent être utilisés à diverses fins, comme le stockage des paramètres et des choix de l'utilisateur ou le ciblage des publicités. La durée de conservation de ces cookies sur les appareils des utilisateurs dépend des paramètres de l'opérateur du site web. En général, les utilisateurs peuvent supprimer manuellement ces cookies ou régler les paramètres de leur navigateur pour qu'il les efface automatiquement à des intervalles déterminés.

Origine des cookies

• Les cookies internes sont créés et utilisés par le site web que l'utilisateur consulte. Il s'agit des cookies de session et des cookies persistants décrits ci-dessus qui suivent la navigation sur le site, les informations de connexion et les préférences. Ils sont généralement considérés comme sûrs et utiles.

• Les cookies tiers : Contrairement aux cookies internes qui proviennent du site web visité par l'utilisateur, les cookies de tierce partie proviennent d'autres domaines. Il s'agit souvent d'annonceurs ou de fournisseurs de services d'analyse qui cherchent à connaître le comportement en ligne des utilisateurs sur différents sites. Parmi les autres cas d'utilisation des cookies de tiers, on peut citer:

  • Partage des préférences de l'utilisateur ou des informations thématiques sur plusieurs sites.
  • Collecte d'informations analytiques sur plusieurs sites.

  
  En général, les cookies tiers sont persistants.

Finalités des cookies

• Cookies techniques - Également connus sous le nom de « cookies strictement nécessaires ou essentiels » : Ils permettent à l'utilisateur de naviguer sur un site web et d'utiliser les différentes options ou services qui y sont proposés, et d'améliorer ses fonctions et services, par exemple en contrôlant le trafic et la communication des données.

  Ces cookies sont généralement des cookies de session internes. Bien qu'il ne soit pas nécessaire d'obtenir le consentement pour ces cookies, il convient d'expliquer à l'utilisateur ce qu'ils font et pourquoi ils sont nécessaires.

• Cookies de préférences - Également connus sous le nom de « cookies de fonctionnalité » : Ils permettent de mémoriser des informations permettant à l'utilisateur d'accéder au service avec certaines caractéristiques qui peuvent différencier son expérience de celle des autres utilisateurs. C'est l'utilisateur qui choisit ces caractéristiques (par exemple en sélectionnant la palette de couleurs d'un site web).

• Cookies analytiques ou de mesure - Également connus sous le nom de « cookies de performance » : Ils permettent à l'entité qui en est responsable de suivre et d'analyser le comportement des utilisateurs des sites web auxquels ils sont liés, en mesurant, par exemple, l'efficacité des publicités. Les informations collectées par ce type de cookies sont utilisées pour évaluer l'activité des sites web, des applications ou des plateformes, afin d'introduire des améliorations basées sur l'analyse des données d'utilisation.

• Cookies de publicité comportementale - Également connus sous le nom de « cookies de marketing » : Ils stockent des informations sur le comportement des utilisateurs obtenues grâce à l'observation continue de leurs habitudes de navigation, ce qui permet de développer un profil spécifique pour afficher de la publicité. Ces cookies peuvent partager les informations collectées avec d'autres organisations ou annonceurs. Il s'agit de cookies persistants et presque toujours de provenance tierce.

Les propriétaires de sites web du CERN doivent examiner attentivement l'utilisation des cookies sur leurs sites web. Cela implique tout d'abord qu'ils connaissent et documentent les cookies que leur site utilise et les caractéristiques de ces cookies. Il est fortement recommandé de renoncer à l'utilisation de cookies de tiers à des fins de marketing en raison de leur caractère intrusif pour la vie privée.

Les propriétaires de sites web doivent être transparents quant à l'utilisation de cookies sur leur site web, recueillir le consentement pour les cookies lorsque cela est nécessaire et utiliser une bannière de cookies.

 

Cookies de tiers à des fins de marketing

Les cookies de tiers posent des problèmes de protection de la vie privée car les transactions impliquent généralement des tiers inconnus et sont souvent effectuées sans le consentement éclairé de l'utilisateur. À moins que les utilisateurs ne prêtent attention à une série d'options souvent déroutantes dans leur navigateur web, ces cookies sont créés et utilisés à leur insu. En outre, les informations recueillies peuvent être stockées pour toujours.

En outre, la plupart des cookies tiers suivent les utilisateurs pour leur proposer des publicités ciblées et comportementales sans leur consentement. Ils fournissent aux annonceurs de nombreuses données sur les comportements des utilisateurs, leurs caractéristiques démographiques, leurs centres d'intérêt, etc.

Ces objectifs ne sont pas conformes au cadre de protection des données personnelles du CERN. Par conséquent, l'utilisation de cookies tiers à des fins de marketing est fortement déconseillée.

Collecte du consentement

Les utilisateurs doivent donner leur accord pour que des cookies non techniques soient placés ou utilisés sur leurs appareils. Cela signifie que le consentement doit être recueilli pour les cookies de préférences, les cookies analytiques ou de mesure et les cookies de publicité comportementale.

• Exceptions : cookies ne nécessitant pas le consentement de l'utilisateur

Les cookies techniques ne nécessitent pas le consentement de l'utilisateur. Ils peuvent être installés sans accord préalable, dès le chargement de la page web. Les cookies techniques peuvent être différenciés comme suit :

• Communication : Le cookie a pour seul but d'effectuer la transmission d'une communication sur un réseau de communication électronique, tel qu'un cookie d'équilibrage de charge.
• Strictement nécessaire pour fournir un « service de la société de l'information » (par exemple un service sur l'internet) demandé par l'utilisateur: Le cookie n'est pas simplement utile mais critique ; sans lui, le service ne peut pas fonctionner. Par exemple, les cookies strictement nécessaires comprennent ceux qui sécurisent la connexion d'un utilisateur lorsqu'il accède à une page web, ou encore des cookies de préférence linguistique qui sont utilisés pour mémoriser la langue sélectionnée par un utilisateur sur un site web multilingue (par exemple en cliquant sur un « drapeau »).

• Conditions du consentement

Pour être valable, le consentement doit être spécifique, éclairé, univoque et accordé librement.

• Spécifique signifie que lorsqu'un site web utilise différents cookies à des fins différentes, un consentement distinct est recueilli pour chaque finalité de traitement.

• Eclairé signifie que le visiteur du site web doit être informé, dans un langage simple et compréhensible, de l'utilisation de chaque cookie (finalité), de la durée de stockage du cookie (durée de vie) et du nom du cookie.

• Univoque signifie que le consentement est de type « opt-in » et non « opt-out », afin qu'il n'y ait pas de malentendu sur le fait que le visiteur du site web a consenti à l'enregistrement du cookie. En pratique, cela signifie que les cases de consentement aux cookies pré-cochées ne sont pas considérées comme un consentement valide et que tout système de gestion du consentement utilisé ne doit pas comporter d'options présélectionnées ou activées par défaut.

• Librement accordé signifie que l'accès au site web et aux fonctionnalités ne doit pas être subordonné au consentement d'un visiteur au stockage d'informations ou à l'obtention d'un accès à des informations déjà stockées sur son appareil final.

En outre, pour que le consentement soit valable, il doit être aussi facile à retirer qu'à donner, sans utiliser de tactiques de manipulation ou de schémas obscurs pour influencer la décision du visiteur du site web.

Les propriétaires de sites web devraient veiller à ne pas restreindre l'accès à d'autres fonctions du site web, à l'exception de celles pour lesquelles l'utilisateur a refusé son consentement.

• A quelle fréquence le consentement doit-il être collecté ?

Le consentement doit être recueilli chaque fois qu'un utilisateur accède pour la première fois au service web. Il peut également y avoir des situations où les utilisateurs devront renouveler leur consentement à l'installation de cookies. Plusieurs facteurs, tels que la fréquence des visites, l'expiration de certains cookies ou les mises à jour du contenu et des fonctionnalités, influenceront cette nécessité. Par exemple, un « nouveau » consentement est nécessaire lorsque des cookies non techniques d'un nouveau fournisseur tiers sont introduits, car le consentement initial ne couvre que les tiers spécifiés au initialement.

En tout état de cause, il est généralement recommandé que le consentement de l'utilisateur pour des cookies spécifiques ne soit pas valable plus de 24 mois. Pendant cette période, les préférences de l'utilisateur doivent être conservées afin d'éviter les demandes de consentement répétitives à chaque visite de la page concernée.

Information sur les cookies

Les données personnelles doivent être traitées de manière transparente, et les personnes concernées ont le droit d'être informées sur la protection des données au CERN. Les cookies pouvant être considérés comme des données à caractère personnel, des informations pertinentes doivent être fournies aux utilisateurs lorsque ces technologies sont utilisées. Par exemple, les finalités pour lesquelles les cookies sont utilisées, des informations sur les tiers susceptibles de traiter les informations stockées sur l'appareil de l'utilisateur ou y accéder, et la durée de vie des cookies.

Sur la base de ces exigences, tout site web doit informer les utilisateurs de son utilisation de cookies, quelles que soient les caractéristiques de ces derniers.

Dans la pratique, il est courant de veiller à ce que les informations relatives aux cookies soient affichées de manière visible pour les utilisateurs lors de leur première visite sur un service web, généralement par le biais d'une bannière de cookies. Cette bannière peut afficher directement les détails susmentionnés ou fournir un lien vers un avis de confidentialité qui documente le traitement des données personnelles par les cookies.

Une bannière de cookies est une fenêtre contextuelle qui apparaît lorsque les utilisateurs visitent un site web pour la première fois, les informant de l'utilisation de cookies, leur demandant leur consentement, ou les deux. Par conséquent, une bannière de cookies doit comporter des fonctionnalités permettant à l'utilisateur d'un site web :

• de donner ou de retirer son consentement à l'utilisation de cookies non techniques
• de consulter ses préférences en matière de consentement actif, et
• d'obtenir des informations sur les cookies utilisés par le site web.

Il est recommandé d'adopter une approche à plusieurs niveaux pour présenter et recueillir le consentement à l'utilisation de cookies en offrant aux utilisateurs les options suivantes

1. d'accepter ou de rejeter tous les cookies non techniques, par exemple en affichant des boutons « Accepter tous les cookies » ou « Refuser tous les cookies », et
2. pour un choix plus granulaire, en acceptant ou en refusant les cookies en fonction de leur finalité (technique, préférence, analyse, marketing). Ce choix peut être effectué par le biais d'un bouton ou d'un lien « Paramètres/Personnalisation/Préférences » sur la bannière des cookies.

L'utilisation de « motifs sombres » pour inciter les utilisateurs à donner leur consentement ne constitue pas un consentement valable. Les utilisateurs doivent avoir la possibilité d'accepter, de refuser ou de modifier les paramètres des cookies sur la bannière en un seul clic. Il doit être facile pour les utilisateurs de faire la distinction entre un « oui » et un « non » aux cookies. Concrètement, cela signifie qu'à côté d'un bouton « Accepter tous les cookies » sur la bannière de cookies, il doit toujours y avoir un bouton comparable « Refuser tous les cookies » ou « Accepter uniquement ce qui est nécessaire ». Ces boutons doivent être identiques en termes de taille, de couleur et de police afin de garantir l'équité et la clarté du choix de l'utilisateur. Les boutons de sélection de tous les cookies (à l'exception des cookies techniques) doivent être désactivés par défaut ; les cases pré-cochées ou les boutons/glissoirs activés ne sont pas conformes !

Le traitement des cookies non techniques ne peut commencer qu'après que l'utilisateur a donné son consentement. Le fait de fermer la bannière ou de faire défiler le site sans répondre à la bannière n'implique pas le consentement de l'utilisateur.

Dans les cas où seuls des cookies techniques sont utilisés, la bannière de cookies ne doit pas demander le consentement de l'utilisateur, mais doit néanmoins l'informer de l'utilisation de ces cookies techniques.

La bannière de cookies doit apparaître automatiquement lors de la première visite d'un site web et rester ensuite facilement accessible, idéalement par le biais d'un lien dans le pied de page du site web.

Le choix de l'utilisateur en matière de cookies doit être enregistré, ainsi que l'horodatage de la décision, et être mis à la disposition de l'utilisateur de manière transparente, par exemple en affichant le choix dans la bannière de cookies, de sorte que tout retrait de l'autorisation de l'utilisateur soit possible.

 

Le site web de Zenodo offre un bel exemple de bannière de cookies conforme et d'informations fournies sur les cookies concernés.