GRDP: Les évolutions récentes de l’utilisation des cookies

Avec l’évolution des besoins dans l’usage de l’Internet, le cookie, l’indispensable partie de la communication, a vu ses usages étendus : en plus d’un simple rôle technique, il est de plus en plus utilisé comme support d’informations utiles à la transaction elle-même. On est passé d’un rôle « syntaxique » à un rôle « sémantique » : le cookie est un mini-fichier stockant par exemple la date du dernier achat, le montant total d’un panier d’achat ou la liste des derniers fichiers téléchargés.
De par cette extension, il y a de nouveaux dangers au regard de la protection de la vie privée : les informations du cookie peuvent être complétées par des informations issues des applications créant la communication et ensuite être réutilisables par elles, tant du côté du serveur que du côté de l’usager. Ces besoins d’informations nécessitent aussi plus de caractères à transmettre, parfois des centaines de milliers. Comme les cookies ont des limites, d’autres techniques sont de plus en plus mises en oeuvre, pour des usages très diversifiés. Ainsi, les rôles des cookies sont pris en charge par d’autres groupes d’informations généralement stockés avec le contenu du message lui-même et gérés par des compléments logiciels spécifiques (modules, addons, plugins, contrôles ActiveX, …). Ces modules complémentaires sont intégrés au navigateur ou à des logiciels d’accès à Internet, souvent à l’insu de l’usager, par exemple lors d’une mise à jour ou dynamiquement lors de l’accès à certains médias (vidéos « Flash », …).

Citons l’exemple des accès aux différents médias (vidéos, musiques, …) nécessitant l’acquisition d’un module permettant le décodage du format du média, module qui effectue aussi un certain traitement des cookies. Ainsi l’usage du principe du cookie a été étendu au stockage en albums de la liste des médias consultés ou téléchargés.

Cet exemple montre que l’objet « cookie » peut être utilisé à de multiples fins bien différentes de la finalité technique initiale et que le mode de traitement du cookie se diversifie en sortant du cadre strict des normes des protocoles de communication.

La diversité et la complexité des usages incitent à généraliser l’approche du principe des cookies afin de recréer une cohérence et de simplifier le débat sur le plan juridique. Ce sera aussi une approche permettant aux personnes concernées non techniciennes de mieux contrôler leurs données personnelles.

Catégories de cookies

Les cookies sont qualifiés de différentes façons selon leurs usages et la terminologie n’est pas stabilisée5 ; un même cookie peut servir pour plusieurs finalités distinctes. Afin de faciliter le rapprochement des concepts juridiques avec les implémentations techniques, nous distinguerons ci-dessous certaines catégories de cookies, selon les possibilités qu’ils offrent.

Cookies de connexion
Ce sont les cookies et méta-fichiers qui supportent la communication sur le réseau (routage des messages, informations de chiffrement en SSL, …).

Cookies essentiels
Ce sont les cookies qui sont nécessaires à la bonne communication et facilitent la navigation : permettre le retour à la page précédente, etc.
Les cookies de connexion définis ci-dessus sont des cookies essentiels.

Cookies de fonctionnalité de navigation ou de convivialité
Certains cookies permettent de mémoriser la langue du dialogue, de personnaliser la page en tenant compte des consultations ou des dialogues précédents. Ces cookies ont pour première finalité de contribuer à la convivialité des dialogues.
Ils peuvent aussi contenir des informations utiles, comme les achats en cours (paniers d’achat), la liste des documents mémorisés dans un espace personnel, etc. Ces cookies sont effacés en fin de navigation ou au contraire ils sont préservés pour être complétés ou rafraîchis lors de visites ultérieures.

Cookies provisoires (éphémères) et cookies persistants
Les cookies peuvent n’exister que la durée de l’échange ou de la conversation avec le site (maximum quelques heures) et sont effacés lorsque l’internaute quitte le navigateur ; ils sont appelés cookies éphémères.
Les autres cookies peuvent avoir une durée de vie fixée plus longue ou être assortis d’une date de péremption ; ce sont des cookies persistants. Ils ne sont alors effacés que par un nouveau cookie venant du serveur créateur, le cas échéant avec de nouveaux attributs de péremption. Ils peuvent aussi être effacés par une action explicite de l’utilisateur, en effaçant l’historique de navigation ou par un logiciel surveillant les cookies. Ces actions du côté de l’utilisateur n’effacent pas nécessairement tous les cookies et méta-fichiers stockés sur le poste de travail.

Cookies propres au site et cookies tiers
Les cookies mémorisés lors du dialogue peuvent être gérés par le site consulté, ce sont les cookies propres du site consulté.
Un cookie peut aussi être défini par un site web différent du site visité. Par exemple, le bouton Facebook « I like », sur une page d’un site visité génère un cookie identifié par Facebook ; il peut être lu ultérieurement et modifié par Facebook. Ces cookies sont appelés cookies tiers ; ils peuvent contenir des informations sur l’échange en cours, comme l’adresse IP de l’internaute, l’adresse de la page visitée ou toute autre information.
Certains sites utilisent des cookies tiers pour la fonctionnalité même des échanges, par exemple les messageries en ligne Hotmail, MSN et Windows Live Mail. La désactivation des cookies tiers en les refusant dans les paramètres du navigateur peut causer des problèmes de communication avec ces sites.

Les cookies tiers permettent donc le transfert à des tiers de données à caractère personnel, soit directement (ex. : par un agent actif associé à une bannière ou à un pixel espion), soit indirectement en plaçant des cookies rendus accessibles à d’autres sites que celui du publicitaire annonceur. Ces transferts de données sont implicites durant le chargement de la page et se font donc à l’insu de l’internaute.

Cookies de « convivialité de clavier »
Les textes rédigés au clavier pour remplir des formulaires sont conservés dans des cookies ou dans d’autres méta-fichiers conservés sur l’ordinateur : ils permettent les suggestions automatiques de textes (identifiant, adresse, mots de passe, …). Ces informations restent disponibles aux sites visités ultérieurement. Il existe diverses options dans les navigateurs pour maîtriser le stockage de ces informations, la plus sûre étant d’utiliser un clavier virtuel.

Cookies statistiques ou analytiques
Ces cookies collectent des informations sur des données techniques de l’échange ou sur l’utilisation du site web (pages visitées, durées moyennes des consultations, …) afin de pouvoir améliorer son fonctionnement.
Les données collectées ainsi par le site sont en principe agrégées et traitées anonymement, mais peuvent aussi être utilisées à d’autres fins.

Cookies de performance du site
Ces cookies sont des cookies analytiques qui véhiculent des informations techniques de l’échange, utiles par exemple pour le bon routage des pages dans le réseau ou pour mémoriser les incidents ou erreurs dans la communication (notamment pour le comptage d’erreurs d’authentification).
Sont aussi dans cette catégorie, les cookies d’équilibrage de charge qui permettent de répartir les requêtes en fonction de l’utilisation du site web (pages visitées, …).
Les données collectées ainsi par le site sont en principe agrégées et analysées anonymement, mais peuvent aussi être utilisées à d’autres fins.

Cookies d’origine de visite
Par les cookies renvoyés par l’utilisateur, un site sait si le visiteur vient d’un autre site (en-tête de requête avec un cookies tiers) ou s’il poursuit sa visite sur le même site (en-tête avec le cookie propre du site) ce qui lui permet donc de compter le nombre de pages lues par visite. Ceci permet aussi au gestionnaire de site de connaître les origines de la visite, par exemple les visites générées par une recherche sur un moteur de recherche. C’est donc aussi une manière de mesurer l’efficacité des référencements par les moteurs de recherche. Ces cookies sont aussi journalisés par la plupart des hébergeurs pour fournir des statistiques à leurs clients.

Cookies de visite ou de suivi
Les cookies de visite sont des cookies propres qui permettent de suivre l’itinéraire de navigation au sein du site. Ils sont utiles pour la conception du site, pour compter les clics ou pour d’autres fonctions activées par le visiteur.

Cookies d’audience
Les cookies échangés avec un site contiennent l’adresse IP de l’utilisateur et donc une information de localisation géographique, mais aussi d’autres informations. La consolidation des informations permet ainsi de catégoriser les visiteurs et d’analyser l’audience de son site. C’est aussi un moyen de réaliser des profilages des visiteurs, par catégories ou par adresses IP. Ces profilages ne sont autorisés que dans les limites de la LVP. Les cookies d’origine de visite peuvent aussi servir à affiner les statistiques d’audience.

Cookies de pistage ou de traçage (tracking)
Les cookies tiers de pistage sont utilisés pour le suivi de la navigation par les annonceurs et autres parties tierces. Ils peuvent s’accumuler sur le poste de travail de l’internaute et être ensuite collationnés par un site. C’est un pistage de la navigation de l’internaute. Ce sont des informations qui sont utilisées par des annonceurs pour cibler leurs publicités sur la base des habitudes de l’internaute. Ces informations sont évidemment recherchées par les spammeurs pour optimiser les envois de messages non sollicités. L’option « Ne pas me pister » de certains navigateurs ou sites indique une volonté de refus de pistage de l’internaute, mais ne l’empêche pas : les sites visités peuvent la respecter ou non.

Cookies publicitaires
Beaucoup de sites commerciaux comportent des annonces publicitaires, généralement sous la forme de « bannières » qui stockent des cookies sur le poste de travail de l’internaute. Ces cookies peuvent être générés par la page elle-même, lors de l’affichage de la bannière, par le survol d’une zone de l’écran ou par un clic plus explicite.
Ces cookies renferment des informations sur les habitudes de navigation des utilisateurs dans le but de leur fournir une publicité ciblée selon leurs centres d’intérêt.

Cookies de référence
Les sites commerciaux peuvent aussi collaborer avec des tierces parties pour fournir des services complémentaires. Ces tierces parties fournissent leurs propres cookies à gérer comme des cookies tiers par les sites partenaires. Les annonceurs tiers et les autres organisations utilisent ainsi le site visité pour créer leurs propres cookies pour recueillir des informations au sujet des activités sur le site visité : par les publicités affichées, par les boutons sélectionnés par un clic ou par toutes autres informations disponibles sur la page visitée.
Ces informations sont ensuite utilisées par l’annonceur tiers pour diffuser des publicités, toujours sur le site visité ou sur d’autres sites avec lesquels ce tiers a conclu des accords : d’autres partenaires qu’il juge susceptible de vous correspondre, en fonction du contenu que vous avez consulté. Les annonceurs tiers peuvent également utiliser ces informations pour mesurer l’efficacité de leurs publicités et étendre leur champ de surveillance par des accords en cascade.
A titre d’exemple, un site d’achats en ligne présentant sur sa page les boutons des réseaux sociaux peut rendre accessible à ces réseaux la liste de vos achats par l’utilisation des cookies de référence.

Cookies du support multimédia
La reproduction multimédia compréhensible pour l’utilisateur nécessite la connaissance de paramètres sur le multimédia : type de fichier à télécharger, mode de compression utilisé, durée de reproduction, dimensions de la fenêtre d’affichage, mode de protection de la propriété intellectuelle, etc. Ces informations sont en principe anonymes. Ces informations sont stockées provisoirement sur le poste de l’utilisateur, sans données à caractère personnel.

Cookies d’utilisation multimédia
La plupart des agents permettant la reproduction multimédia disposent de fonctionnalités pour la convivialité de l’utilisateur : mémorisation des médias récemment visionnés ou écoutés, classement en albums selon les auteurs, etc. Ces informations peuvent être mémorisées sous forme de cookies, dans des méta-fichiers ou gérées de manière plus intelligente au sein de bases de données créées sur le poste de l’utilisateur. Ces informations ne sont pas en soi des données à caractère personnel, mais peuvent être réutilisées à d’autres fins, par exemple pour le profilage de l’utilisateur (notamment définir ses goûts et son type de comportement sur la base des médias accédés).

Cookies « Flash » ou « LSO »
De nombreux sites utilisent l’extension « Adobe Flash Player » pour l’affichage d’animations ou de contenus vidéo. Cette extension génère des cookies particuliers (Local Shared Objects). Ce sont des cookies de support multimédia mais qui proposent aussi certaines fonctions des cookies d’utilisation multimédia.
Ces cookies ne sont pas gérés par les options des navigateurs.

Cookies de partage de contenu
Les réseaux sociaux sont nombreux et variés, par exemple : Facebook, Google+, Twitter, Tumblr, Myspace, LinkedIn, Viadeo, Xing. Ils mettent généralement à disposition des boutons de partage de contenu (de type « J’aime », « g+1 », « Tweeter », « YouTube », …) et utilisent les cookies pour réaliser leurs services. Ces cookies sont gérés par des modules logiciels, notamment des plugins, qu’ils mettent eux-mêmes à disposition ou qui sont proposés gratuitement ou non par des développeurs sous formes de composants ou d’extensions. Ces modules sont proposés en version propriétaire ou open source et n’offrent pas nécessairement les garanties élémentaires de conformité légale.
Le simple affichage de ces boutons génère implicitement plusieurs requêtes sur les sites des réseaux sociaux et un échange d’informations, souvent à l’insu de l’utilisateur. Ce dialogue muet pour l’utilisateur génère évidemment des cookies standards de la communication, propres au site du réseau social mais tiers au site affiché, celui visité par l’internaute.
De plus, le clic sur le bouton entraîne une suite de communications avec le réseau social et l’utilisation des cookies associés. Or, si ce clic explicite exprime un consentement pour la fonction connue du bouton, ce n’est pas nécessairement le cas pour tous les traitements sous-jacents.
Le rôle de ces boutons et cookies est donc particulier et une appréciation juridique nécessite une analyse plus globale du fonctionnement des réseaux sociaux. Ceci sort du cadre du présent projet de recommandation ; ils ne seront donc pas examinés dans le présent document.
La Commission fait aussi remarquer que le bouton est souvent assorti d’un compteur (clics, votes, nombre de lectures, …). Cette information ne pose en soi pas de problème. Toutefois, l’augmentation artificielle du compteur (par l’administrateur du site ou par des robots) peut influencer la perception ou le jugement de la page lue et relèverait alors de la tromperie.

Le pixel espion porte divers noms : balise web, pixel invisible, pixel tag, pixel de suivi. C’est une petite image de 1 pixel, transparente et donc invisible sur la page. Il couvre du code logiciel cumulant les fonctions de cookie tiers, cookie de partage de contenu et de cookie de référence.