Nouvelles recommandations de la CNIL : quel impact pour les acteurs du digital ?

La CNIL a récemment publié ses nouvelles recommandations quant à l'utilisation des données personnelles des internautes. Ces nouvelles lignes directrices viennent confirmer et renforcer les directives RGPD.

La CNIL laisse jusqu'à la fin du mois de mars aux acteurs du digital pour se mettre en conformité avec les nouvelles recommandations, et bien qu'il s'agisse pour la plupart de critères déjà acquis, certaines mesures font naître des inquiétudes chez les acteurs du digital quant à leur capacité à continuer de mettre en œuvre leur roadmap d’expérimentation et de personnalisation de l’expérience client.

Quelles sont donc ces nouvelles recommandations et comment s’y conformer tout en préservant vos ambitions en matière d’optimisation de vos performances sur le digital ?

1. Cookies & consentement : les dernières recommandations de la CNIL

Les cookies et autres éléments de tracking sont réglementés par l’article 82 de la loi Informatique et Libertés (ou « ePrivacy »). Cet article prévoit notamment l’obligation, sauf exception, de recueillir le consentement des internautes avant toute opération d’écriture ou de lecture de cookies et autres traceurs.

En 2018, le RGPD est venu renforcer les réglementations en termes de consentement. Alors qu'auparavant, il suffisait à l'internaute de poursuivre sa navigation pour accepter l'utilisation de ses données, il est désormais indispensable de recueillir son consentement explicite et de lui permettre de le retirer à tout moment.

En septembre 2020, la CNIL a adopté de nouvelles lignes directrices en accord avec le RGPD, ainsi que de nouvelles recommandations destinées à donner des exemples concrets aux acteurs du digital pour recueillir le consentement des internautes dans les bonnes conditions.

Que retenir des recommandations de la CNIL ?

La CNIL vient confirmer plusieurs grands principes :

• Le consentement des internautes doit être recueilli de manière explicite, via un clic sur un bouton "j'accepte" dans une bannière dédiée aux cookies par exemple. 
• Les utilisateurs doivent pouvoir refuser ou de retirer leur consentement à tout moment et avec la même facilité que pour le donner. 
• Les internautes doivent être clairement informés de l'utilisation qui est faite de leurs données avant toute demande de consentement. 
• Les acteurs du digital doivent pouvoir fournir la preuve du recueil du consentement explicite et éclairé des utilisateurs.

Certains cookies sont cependant exemptés par ces recommandations, notamment les cookies destinés au fonctionnement du site ou à l'analyse statistique :

• pour conserver le choix du visiteur concernant son consentement,
• pour l'authentification sur le site, 
• pour garder en mémoire le contenu d'un panier sur un site E-commerce, 
• pour générer des statistiques de trafic, 
• pour limiter l'accès gratuit au contenu sur le site.

Concernant les cookies de mesure statistique, les conditions sont strictes :

• la collecte doit être limitée à un seul site ou application,
• les cookies doivent être utilisés uniquement pour l'analyse des performances du site, détecter des anomalies de chargement ou améliorer l'ergonomie du site, etc.
• l'utilisation de ces cookies doit se limiter à la production de statistiques anonymes,
• toute donnée collectée ne peut être utilisée pour un autre but ou être combinée à d'autres opérations. 

La CNIL suggère également de nouvelles recommandations :

• Ajouter un bouton "tout refuser" (et pas seulement "tout accepter") à l'interface de recueil du consentement 
• Conserver le refus des internautes afin de ne pas les réinterroger à chaque visite. 
• Lorsque les cookies permettent un suivi sur d'autres sites, recueillir le consentement sur tous les sites concernés.

2. Quelles conséquences pour les acteurs du digital ?

Les nouvelles recommandations de la CNIL viennent renforcer des règles déjà en place depuis plusieurs années. Les pop-ins de consentement à l'arrivée sur le site sont déjà largement adoptées mais ces nouvelles directives suggèrent une organisation plus flexible et une gestion agile du consentement.

L'ajout d'un bouton "Tout refuser" lors du recueil du consentement préoccupe notamment les marques qui craignent de ne plus pouvoir afficher leurs tests A/B et expériences personnalisées tant que le consentement n'aura pas été accordé.

Gestion flexible du consentement avec Kameleoon

Avec les options de gestion flexible du consentement de Kameleoon, il est possible de dissocier la collecte de données de l'affichage d'une variante d'un test à un visiteur. En effet, l'affichage d'un test A/B ne demande aucune collecte de données puisque les variantes de votre test sont attribuées aléatoirement aux visiteurs du site par notre solution. Une fois le consentement accepté par le visiteur, Kameleoon stocke les données d'affectation de la variante sur son appareil. Dans le cas contraire, les données ne seront tout simplement pas collectées et Kameleoon n'exposera plus le visiteur à aucun A/B test.

Collecte et analyse des données avec Kameleoon

Par ailleurs, chez Kameleoon, nous accordons une grande importance à ce que nos process de collecte et d'analyse soient 100 % conformes avec le RGPD et les réglementations de la CNIL :

• la plateforme Kameleoon ne collecte et n’analyse aucune données personnelles telles que définies par la CNIL. Les données collectées pour l'analyse des performances des expériences (tests A/B ou personnalisations) se limitent à des données anonymes de navigation, qui ne permettent pas d’identifier le visiteur.
• les données comportementales liées à la navigation qui servent pour leur ciblage prédictif (lien page perso IA) sont sauvegardées dans le Local Storage du navigateur de chaque visiteur et ne sont jamais transmises aux serveurs Kameleoon.

Kameleoon s'engage à garantir à ses clients une conformité totale avec les dernières réglementations. Notre plateforme est notamment enregistrée à l'IAB TCF version 2.0, un ensemble de règles communes au niveau européen destinées à aider toutes les parties prenantes à garantir leur conformité avec le RGPD et à proposer plus de visibilité sur les objectifs de la collecte et l'analyse des données.

Les dernières recommandations de la CNIL viennent donc simplement renforcer des dispositions déjà prises par les marques. Toutefois, pour offrir une expérience optimale aux visiteurs tout en respectant ces recommandations, les acteurs du digital doivent s’efforcer de collaborer avec des partenaires technologiques qui garantissent une approche toujours plus agile et flexible du consentement.