Consentement aux cookies en Irlande : le règlement 5 et les lignes directrices de la DPC

Que dit la loi irlandaise sur les cookies ?

L’Irlande a transposé l’article 5, paragraphe 3 de la directive ePrivacy au règlement 5 des European Communities (Electronic Communications Networks and Services) (Privacy and Electronic Communications) Regulations 2011, S.I. No. 336 of 2011, généralement appelées ePrivacy Regulations.

Le règlement 5(3) prévoit qu’une personne ne doit pas utiliser un réseau de communications électroniques pour stocker des informations dans l’équipement terminal d’un abonné ou d’un utilisateur, ou pour accéder à des informations qui y sont déjà stockées, sauf si cet abonné ou cet utilisateur a consenti et a reçu une information claire et complète, affichée de manière visible, facilement accessible et précisant les finalités du traitement. Le règlement 5(4) demande des méthodes d’information et de consentement aussi conviviales que possible et mentionne les paramètres du navigateur lorsque c’est techniquement possible et efficace. Le règlement 5(5) exempte le stockage ou l’accès technique dont la seule finalité est la transmission d’une communication, et ce qui est strictement nécessaire pour fournir un service de la société de l’information explicitement demandé par l’utilisateur.

Le consentement a le sens que lui donne le RGPD : libre, spécifique, éclairé et univoque, exprimé par un acte positif clair.

Qu’attend la DPC d’un bandeau cookies ?

La Data Protection Commission a publié en avril 2020 une note d’orientation sur les cookies et autres technologies de suivi, accompagnée d’un rapport sur un contrôle de 40 organismes mené entre août et décembre 2019. Ses points principaux :

• Pas d’incitation. Un bandeau ne doit pas pousser les utilisateurs à accepter plutôt qu’à refuser. Si le bandeau comporte un bouton « accepter », il doit donner la même visibilité à une option pour « refuser » les cookies, ou à une option qui mène à un autre niveau où l’on peut choisir par type de cookie et par finalité.
• « OK, compris » n’est pas un consentement. Un bandeau dont la seule option est d’accepter, avec des boutons comme « OK, got it » ou « I understand », ne respecte pas l’exigence. Les utilisateurs doivent au minimum pouvoir refuser les cookies non nécessaires ou obtenir plus d’informations.
• Pas de consentement implicite. Le silence, l’inaction ou la poursuite de la navigation ne valent pas consentement.
• Pas de cases précochées, ni de curseurs ou d’interrupteurs activés par défaut, y compris dans une plateforme de gestion du consentement.
• Pas de regroupement. Le consentement aux cookies ne peut pas être groupé avec d’autres finalités ou avec les conditions générales.
• Des politiques lisibles sans cookies. Le bandeau ne doit pas masquer la politique de confidentialité ou la politique cookies, et les utilisateurs doivent pouvoir lire ces politiques avant le dépôt de tout cookie non exempté.
• Un retrait simple. Retirer ou modifier son consentement doit être aussi simple que le donner.
• Une conception accessible. Les bandeaux et les curseurs ne devraient pas reposer sur des couleurs qui se fondent dans la page ou que les utilisateurs daltoniens ne peuvent pas distinguer.

Le standard de la DPC, « même visibilité pour refuser ou pour gérer », est un peu plus souple que la position française ou belge, qui exige Tout refuser à côté de Tout accepter. La task force « bandeaux cookies » du CEPD a rapporté en janvier 2023 que la plupart des autorités de l’UE considèrent qu’un bandeau sans option de refus au premier niveau constitue une infraction : un bouton Tout refuser dès le premier écran est donc la conception qui fonctionne en Irlande comme ailleurs.

Combien de temps dure le consentement en Irlande ?

La DPC considère que 6 mois constituent la limite maximale appropriée par défaut pour conserver l’état du consentement d’un utilisateur. Passé ce délai, il convient de lui demander de reconfirmer son choix. Un responsable de traitement qui conserve le consentement plus longtemps doit le justifier objectivement, au cas par cas. Les enregistrements du consentement doivent s’accompagner de mesures garantissant qu’un consentement ou un retrait est effectivement pris en compte.

Les cookies de mesure d’audience exigent-ils un consentement en Irlande ?

Oui. Les lignes directrices de la DPC répondent directement à la question : les cookies de mesure d’audience exigent un consentement. Elles ajoutent qu’une mesure d’audience interne strictement limitée à des statistiques agrégées, avec une information claire et un moyen simple de s’y opposer, a peu de chances d’être une priorité de contrôle. Il s’agit d’une priorité de contrôle, pas d’une exemption, et la mesure d’audience tierce réalisée pour les propres finalités du fournisseur est considérée comme présentant un risque plus élevé. Voir la mesure d’audience sans consentement pour les outils qui évitent les identifiants.

Comment la DPC fait-elle appliquer les règles sur les cookies ?

Un manquement au règlement 5 n’est pas en soi une infraction pénale. En vertu du règlement 17, la DPC peut enquêter, sur plainte ou de sa propre initiative, et délivrer une mise en demeure (enforcement notice) imposant des mesures précises dans un délai fixé. Une personne qui ne se conforme pas à une mise en demeure sans excuse raisonnable commet une infraction (règlement 17(10)), punie sur condamnation en procédure sommaire d’une amende de classe A (règlement 27(1)). Lorsque des cookies entraînent un traitement de données personnelles, la DPC peut aussi agir sur le fondement du RGPD, avec des amendes jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial.

Les lignes directrices de 2020 étaient assorties d’un délai de mise en conformité de six mois. Le rapport annuel 2020 de la DPC décrit la suite : le 27 novembre 2020, elle a écrit à 18 organismes, puis à deux autres le 14 décembre 2020, en les avertissant qu’elle délivrerait des mises en demeure si les manquements n’étaient pas corrigés dans un délai de 14 jours. Le 21 décembre 2020, elle a délivré des mises en demeure à sept organismes au titre du règlement 17(4) pour des manquements au règlement 5, notamment l’absence de consentement valable et d’information claire.

Comme les règles sur les cookies relèvent de la loi nationale ePrivacy, le guichet unique du RGPD ne les couvre pas : la CNIL française a sanctionné Google, Facebook et Microsoft, tous établis en Irlande, pour des cookies déposés chez des utilisateurs en France.

Comment Cookiequiet s’adapte aux règles irlandaises ?

L’installation de Cookiequiet tient en une balise script et environ cinq minutes : le scan remplit le tableau des cookies, Tout refuser et Tout accepter ont la même visibilité au premier niveau par défaut, et rien n’est précoché dans le centre de préférences. Chaque choix est enregistré dans un registre des consentements avec sa date et la version du bandeau, ce qui constitue l’enregistrement que la DPC vous demande de conserver. Le ciblage géographique est gratuit dans toutes les offres ; voir les tarifs.