La CNIL applique ses conseils sur les cookies jusqu'à l'absurde

Désormais, lorsqu'un internaute se rend sur le site internet de la CNIL, un message lui demande l'autorisation de stocker un cookie sur son navigateur. "Afin de réaliser des statistiques d'audience anonymes, la CNIL souhaite implanter un cookie sur votre ordinateur", dit le message affiché en haut de page. L'internaute est alors invité à cliquer sur le bouton "accepter", ou à refuser la création du petit fichier qui permet à la CNIL de savoir lorsqu'un même visiteur revient sur son site internet.

En soit, le fait de demander à un visiteur la permission de stocker un cookie pour la réalisation de statistiques anonymes est déjà incohérent avec l'objectif. On ne peut avoir de mesure d'audience précise en permettant aux visiteurs de "fausser" l'instrument de mesure. Mais là où les choses deviennent amusante, c'est lorsque la CNIL prévient que pour mémoriser le fait que l'internaute a refusé la création d'un cookie... elle crée un cookie.

"Utiliser un cookie pour mémoriser le refus d’un internaute à recevoir des cookies est légal", défend la CNIL sur Twitter, en réponse à des internautes circonspects. Elle renvoie pour explications au point 7 de sa fiche pratique sur le Paquet Télécom, qui a renforcé l'obligation d'information des internautes en matière de cookies. "Si l’utilisateur refuse le cookie, il est utile de mémoriser ce refus pour ne pas le solliciter de nouveau inutilement lors des visites suivantes", explique l'autorité administrative. "'L'utilisateur peut à la fois refuser de donner son accord pour recevoir un cookie qui enregistrera, par exemple, les derniers articles qu’il a consultés sur un site marchand (mais) accepter de donner son accord pour recevoir un cookie qui matérialisera son refus de recevoir le cookie précédemment décrit".

Dans sa pratique, la CNIL va plus loin que ce que le gouvernement français a prévu pour la transposition du Paquet Télécom. Cette dernière exigeait l'accord de l'utilisateur avant toute création de cookie dans le navigateur. Mais l'article 37 de l'ordonnance de transposition adoptée en France disposait que l'accord de l'utilisateur "peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle". Concrètement, la France considère qu'il suffit que l'internaute accepte les cookies dans les paramètres de son navigateur pour que toute création de cookies soit légale. 

C'est un avis que n'avaient pas partagé les CNIL européennes. Le G29, qui regroupe les gendarmes de la vie privée en Europe, estime qu'il faut un accord expresse qui permette de vérifier que l'abonné est informé des finalités de la création du cookie. Ce qui semble très (trop) lourd à mettre en oeuvre en pratique.