Objet

Un cookie, ou témoin de connexion, est un petit fichier informatique déposé dans un terminal numérique lors de la consultation d’un site internet, de l’installation ou de l’utilisation d’un logiciel ou d’une application. Un cookie contient plusieurs données, notamment le nom du serveur qui l’a déposé, un identifiant sous forme de numéro unique, les préférences de l’utilisateur (langue et/ou options d’affichage) et une date d’expiration.

Cette note permet de faire l’état des lieux sur le droit applicable en matière de cookies et de réactualiser les bonnes pratiques à mettre en oeuvre en matière de cookies et autres traceurs (ci-après les « cookies ») suite à la Délibération CNIL n° 2020-092 du 17 septembre 2020 portant adoption d’une recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux « cookies et autres traceurs ».

Ainsi, conformément au principe d’accountability et dans l’esprit des recommandations du CEPD (ex G29), la rédaction d’une procédure permet au responsable de traitement concerné, d’identifier les cookies utilisés et de préciser les modalités de recueil et de gestion du consentement au dépôt des cookies non essentiels par les personnes concernées.

Champ d’application

Cette procédure s’applique aux entités d’ENGIE Solutions – Axima Concept et ses filiales.
Documents de référence

• CEPD, avis 6/2017 sur la proposition de règlement relatif à la vie privée et aux communications électroniques (proposition de règlement vie privée et communications électroniques, « ePrivacy ») ;
• Règlement n°2016/679, dit règlement général sur la protection des données (RGPD) ;
• Lignes directrices du CEPD (ex G29) sur le consentement au sens du règlement 2016/679 ;
• CE, 6 juin 2018, req. no 412589 ;
• CJUE, Gd ch., 1er oct. 2019, aff. C-673/19
• Délibération n° 2019-093 du 4 juillet 2019 portant adoption de lignes directrices relatives à l'application de l'article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture ou écriture dans le terminal d'un utilisateur (notamment aux cookies et autres traceurs) ;
• CE, 16 oct. 2019, req. no 433069 ;
• Délibération n° 2020-092 du 17 septembre 2020 portant adoption d’une recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux « cookies et autres traceurs ».

Définitions

Accountability : désigne l’obligation pour les entreprises de mettre en oeuvre des mécanismes et des procédures internes permettant de démontrer le respect des règles relatives à la protection des données.

Autorité de contrôle : autorité publique indépendante instituée par un État membre européen. Elle est chargée de surveiller l'application de la règlementation en matière de protection des données, afin de protéger les libertés et droits fondamentaux des personnes physiques à l'égard du Traitement et de faciliter

le libre flux de ces données à caractère personnel au sein de l'Union Européenne. En France, il s’agit de la CNIL.

CNIL : Commission Nationale de l’informatique et des Libertés.

Cookies : ensemble d’informations déposées et lues par exemple lors de la consultation d'un site internet, de la lecture d'un courrier électronique, de l'installation ou de l'utilisation d'un logiciel ou d'une application mobile et ce, quel que soit le type de terminal utilisé. C’est un fichier qui contient notamment un identifiant sous forme de numéro, le nom du serveur qui l’a déposé et éventuellement une date d’expiration. Ces informations peuvent être chiffrées par l’émetteur du cookie pour ne pouvoir être lue que par ce dernier.

Donnée à caractère personnel (« DCP ») : toute information identifiant directement ou indirectement une personne physique (ex. nom, n° d’immatriculation, n° de téléphone, photographie, date de naissance, commune de résidence, empreinte digitale...).

Données sensibles : informations qui révèlent la prétendue origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique.

Data Privacy Manager (DPM) : personne désignée comme responsable des actions relatives à la protection des Données à caractère personnel au niveau de la Business Unit ou de l’Entité.

Personne concernée : personne physique dont les Données à caractère personnel font l’objet d’un Traitement.

Sous-traitant : la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement.

Traceur : ensemble de moyens techniques permettant de suivre la navigation ou les actions des terminaux connectés sur le web et ce, quel que soit le type de terminal utilisé. Ces techniques n’entrainent pas forcément de stockage systématique de données sur le terminal, mais accèdent à des données qui sont stockées du côté serveur. Elles sont donc considérées comme assez intrusives par les autorités de contrôle européennes et nécessitent le consentement de la personne concernée.

Traitement : opération, ou ensemble d’opérations, portant sur des données personnelles, quel que soit le procédé utilisé (collecte, enregistrement organisation, conservation adaptation, modification, extraction consultation, utilisation, communication par transmission ou diffusion ou toute autre forme de mise à disposition, rapprochement).