Le Parlement européen va-t-il mettre les cookies hors-la-loi ?
Publié le 19/11/2001 par
Etienne Wery 
Récemment, le Parlement européen se penchait sur la proposition de directive concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (voir le texte en ligne sur notre site). Le Parlement a été particulièrement critique – c’est un euphémisme. Parmi les amendements adoptés figure…
Récemment, le Parlement européen se penchait sur la proposition de directive concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (voir le texte en ligne sur notre site).
Le Parlement a été particulièrement critique – c’est un euphémisme.
Parmi les amendements adoptés figure une disposition qui vise au premier chef les cookies. L’amendement 29 propose en effet d’introduire un article 2bis libellé comme suit :
Article 2 bis. Les États membres interdisent l’utilisation des réseaux de communications électroniques pour stocker des informations ou pour obtenir un accès à des informations stockées dans l’équipement terminal d’un abonné ou d’un utilisateur sans le consentement préalable explicite de l’abonné ou de l’utilisateur concerné. Cette disposition ne fait pas obstacle à un stockage technique ou à un accès visant exclusivement à assurer ou faciliter la transmission d’une communication par la voie d’un réseau de communications électroniques.
Selon le rapporteur, la justification est la suivante :
L’équipement terminal des utilisateurs de réseaux de communications électroniques de même que toute information stockée sur un tel équipement relèvent de la sphère privée des utilisateurs nécessitant une protection conformément à la Convention européenne des droits de l’homme et des libertés fondamentales. Ce qu’on appelle les « cookies », les « spyware », les « web bugs », les identificateurs cachés et autres processus semblables qui pénètrent dans l’équipement terminal des utilisateurs sans qu’ils en soient explicitement informés ou sans qu’ils aient donné leur consentement explicite afin de pouvoir accéder aux informations, stocker des informations cachées ou suivre les activités des utilisateurs, peuvent porter gravement atteinte à la vie privée de ces derniers. Le recours à de tels processus devrait par conséquent être interdit, à moins que l’utilisateur concerné n’ait donné explicitement et librement son accord en toute connaissance de cause.
Il est difficile de viser plus explicitement les cookies.
Le texte appelle au moins deux observations :
- Consentement explicite et libre ?
La lisibilité — ou pour être précis l’absence de lisibilité — des cookies est souvent montrée du doigt. Elle résulte de trois phénomènes.
D’une part, les concepteurs de logiciels de navigation réalisent leurs produits d’une manière telle que le contrôle sur les cookies est rendu très difficile. Ces logiciels sont livrés avec une configuration par défaut qui accepte les cookies de manière automatique et invisible. En outre, le système de gestion qui permet de désactiver les cookies ou de les contrôler est tellement difficile d’accès et de compréhension pour un utilisateur profane que la possibilité de modification est quasiment virtuelle.
D’autre part, à supposer que ce contrôle soit activé, la compréhension des informations récoltées n’est pas aisée.
Enfin, certains sites refusent l’accès aux navigateurs qui n’acceptent pas les cookies.
- Les cookies de session sont-ils visés ?
Un cookie est un enregistrement d’informations par un serveur web dans un fichier situé sur l’ordinateur client (celui du visiteur), informations que ce même serveur peut aller relire et modifier ultérieurement. La technique des cookies repose sur le protocole HTTP. Il ne faut donc pas en voir partout : seul un serveur web peut en envoyer.
Au départ, l’objectif est de faciliter la consultation. Dans un certain nombre de cas, le serveur a besoin de savoir qui est le visiteur. Ainsi, dans le cas d’un site multilingue, il peut être intéressant de retenir qu’une personne est francophone pour afficher directement les pages en français lorsqu’elle visite le site. A cette fin, le serveur va déposer sur le disque dur de la personne concernée un cookie qui indiquera cette particularité ; lors des consultations ultérieures, le serveur ira d’abord lire le cookie et déduira la langue d’affichage. Une épicerie virtuelle peut, elle aussi, souhaiter déposer sur le disque dur de son client un cookie reprenant le contenu de la dernière commande passée, dans le but de proposer, lors d’une commande future, de partir d’un panier vide ou au contraire du panier précédent auquel on peut plus rapidement ajouter ou retrancher des éléments.
Les cookies sont de deux types : de session ou rémanents. Les premiers s’autodétruisent lorsque le visiteur quitte le site concerné ; les seconds ont une durée de vie plus longue, fixée unilatéralement par la personne qui l’a programmé. Les cookies rémanents sont indépendants de l’adresse IP : ils « marquent » une machine et non une connexion, de sorte que même si l’adresse IP change entre deux connexions, le cookie fait le lien de l’une à l’autre, sauf s’il est physiquement détruit par l’utilisateur . le cookie de session est incapable de créer ce lien permanent.
L’amendement n’affirme pas clairement que les cookies rémanents sont les seuls visés mais cela semble ressortir du texte qui « ne fait pas obstacle à un stockage technique ou à un accès visant exclusivement à assurer ou faciliter la transmission d’une communication par la voie d’un réseau de communications électroniques.