La loi colombienne 1581 : les règles cookies pour les visiteurs de Colombie

Qu’est-ce que la loi colombienne sur la protection des données ?

La loi 1581 de 2012 est une loi statutaire (ley estatutaria) qui met en œuvre le droit constitutionnel d’habeas data de l’article 15 de la Constitution colombienne. Elle s’applique aux données personnelles contenues dans toute base de données que des entités publiques ou privées peuvent traiter. Le Decreto 1377 de 2013, aujourd’hui intégré au décret réglementaire unique du secteur du commerce (Decreto 1074 de 2015), précise comment l’autorisation est obtenue et prouvée, le contenu des politiques de confidentialité et les obligations des responsables de traitement. La Superintendencia de Industria y Comercio (SIC) supervise la loi par sa Délégation à la protection des données personnelles.

À qui s’applique la loi ?

L’article 2 applique la loi aux traitements réalisés sur le territoire colombien, et aux responsables de traitement ou sous-traitants non établis en Colombie lorsque le droit colombien leur est applicable en vertu de règles et de traités internationaux. Une donnée personnelle est toute information liée ou pouvant être associée à une ou plusieurs personnes physiques identifiées ou identifiables.

La SIC lit largement la règle territoriale. Dans sa résolution 29826 de mai 2021, elle a ordonné à WhatsApp LLC de mettre ses politiques en conformité avec le droit colombien après avoir constaté que la société utilisait des cookies pour collecter et traiter les données personnelles d’utilisateurs colombiens. Comme les cookies étaient installés sur des appareils mobiles et des ordinateurs situés en Colombie, la SIC a estimé que les données étaient collectées sur le territoire colombien et que la loi 1581 s’appliquait. Elle a ordonné une politique conforme, des demandes d’autorisation dans un espagnol clair et simple, et l’inscription des bases de données au registre national des bases de données. Tout site étranger qui dépose des cookies sur les appareils de visiteurs colombiens devrait considérer que le même raisonnement lui est applicable.

La loi exclut les bases de données personnelles et domestiques, les fichiers de sécurité nationale et de lutte contre le blanchiment, les fichiers de renseignement, le journalisme et les contenus éditoriaux, et certaines bases régies par des lois spéciales.

Qu’exige la loi pour les cookies ?

Les cookies peuvent être des données personnelles. Dans son concept 16-172268 du 9 août 2016, la SIC a expliqué que les cookies sont des fichiers qui collectent sur un site des informations sur les habitudes de navigation d’un utilisateur ou de son appareil, et qu’ils peuvent constituer une base de données au sens de la loi 1581 lorsque les données se rapportent à une personne physique et peuvent l’identifier, seules ou combinées à d’autres données. Dans ce cas, le responsable de traitement doit appliquer tous les principes de l’article 4 : légalité, finalité, liberté, exactitude, transparence, accès et circulation restreints, sécurité et confidentialité.

L’autorisation d’abord. L’article 3 définit l’autorisation comme le consentement préalable, exprès et éclairé de la personne concernée, et l’article 9 l’exige avant tout traitement, obtenue par tout moyen pouvant être consulté ultérieurement. Le Decreto 1377 de 2013 précise qu’elle peut être donnée par écrit, oralement ou par un comportement non équivoque qui permet de conclure raisonnablement que le consentement a été donné, et que le silence ne peut jamais être assimilé à un comportement non équivoque. Poursuivre la navigation après un avis est donc une preuve faible ; un clic sur un bouton Accepter qui suit une information claire est plus solide. L’article 10 liste les cas où l’autorisation n’est pas nécessaire, comme les données publiques, les demandes des autorités publiques ou les urgences médicales ; aucun ne couvre les cookies publicitaires.

Données sensibles. Les données qui touchent à l’intimité de la personne ou dont l’usage abusif pourrait entraîner une discrimination, comme l’origine raciale ou ethnique, l’orientation politique, les convictions religieuses ou philosophiques, l’appartenance à un syndicat ou à une organisation de défense des droits humains, la santé, la vie sexuelle et les données biométriques, ne peuvent être traitées qu’avec une autorisation explicite ou dans le cadre d’une exception étroite (articles 5 et 6). L’article 7 impose le respect des droits prévalents des enfants et des adolescents et, dans son texte, interdit le traitement de leurs données, sauf celles de nature publique.

Information et preuve. L’article 12 impose au responsable de traitement, lorsqu’il demande l’autorisation, d’indiquer clairement le traitement et sa finalité, le caractère facultatif des réponses portant sur des données sensibles ou des données d’enfants, les droits de la personne concernée, ainsi que son identité, son adresse et son numéro de téléphone, et de conserver la preuve qu’il l’a fait.

Un bandeau destiné aux visiteurs colombiens qui nomme les finalités, laisse les cookies de mesure d’audience et de publicité désactivés jusqu’à ce que le visiteur clique pour accepter, propose un refus et conserve le choix comme preuve répond à ces règles.

Quelles sont les sanctions ?

L’article 23 permet à la SIC d’infliger aux responsables de traitement et sous-traitants privés :

• des amendes jusqu’à 2 000 salaires minimums mensuels légaux (salarios mínimos mensuales legales vigentes) au moment de la sanction, renouvelables tant que le manquement persiste ;
• la suspension des activités de traitement pour une durée maximale de six mois, avec les corrections à adopter ;
• la fermeture temporaire des opérations de traitement si les corrections ne sont pas faites à l’issue de la suspension ;
• la fermeture immédiate et définitive des opérations portant sur des données sensibles.

L’article 24 gradue les sanctions selon le dommage ou le risque causé, le bénéfice économique obtenu, la récidive, l’entrave à l’enquête, le refus de suivre les ordres de la SIC, et la reconnaissance expresse de l’infraction avant la sanction. Les organismes publics relèvent plutôt de la Procuraduría General de la Nación.

Outre des ordres comme celui adressé à WhatsApp, la SIC publie des lignes directrices, dont un guide sur le traitement des données personnelles dans le commerce électronique.

Comment Cookiequiet gère la Colombie

La Colombie ne figure pas dans la liste par défaut des pays réglementés de Cookiequiet : ajoutez-la à une liste personnalisée avec le ciblage géographique, gratuit dans chaque offre, et les visiteurs colombiens verront le bandeau de consentement, avec « Tout accepter » et « Tout refuser » de même poids, des catégories désactivées par défaut, et un texte en espagnol choisi selon le navigateur et modifiable. Les scripts et contenus embarqués attendent le consentement, et le registre des consentements garde la preuve de l’autorisation que demande le Decreto 1377 de 2013. Le scanner de cookies liste ce qu’il faut décrire dans votre politique. Pour les règles voisines, voir le Pérou, le Mexique et la LGPD brésilienne.