Cookies & Co. - des biscuits juridiquement toxiques ?

Les spécialistes du marketing sont affamés, affamés de données sur les clients et les utilisateurs. C'est dans la nature des choses. Depuis l'arrivée de l'informatique, ils bénéficient en outre sans cesse de nouveaux outils plus efficaces pour la collecte et l'analyse des données. Depuis l'avènement d'Internet, ceux-ci ont augmenté de manière exponentielle. Cela a également interpellé le monde politique qui, parallèlement, a introduit la loi sur la protection des données et l'a adaptée en permanence aux nouvelles possibilités techniques. La loi sur la protection des données constitue la base juridique essentielle pour le marketing en ligne avec des cookies et autres outils d'analyse du comportement des clients ou des utilisateurs sur Internet. Toutefois, seules les "données personnelles" sont concernées par la loi sur la protection des données. Il s'agit de données qui permettent d'identifier directement une personne physique ou morale. Selon le préposé fédéral à la protection des données, les adresses IP en font également partie, bien qu'elles ne permettent généralement d'identifier que le fournisseur d'accès correspondant, car les données utilisateur correspondantes ne peuvent être transmises par ce dernier qu'en cas de soupçon fondé de délit et uniquement aux autorités pénales. Ainsi, les spécialistes du marketing qui utilisent des cookies et des outils d'évaluation pour les sites web, comme Google Analytics, doivent également respecter les principes de la protection des données. Les principes de légalité, de transparence, de proportionnalité, de finalité et de sécurité sont particulièrement importants à cet égard.

Tant en ce qui concerne les cookies que les outils d'évaluation, cela signifie que l'exploitant d'un site web doit mentionner explicitement l'utilisation de ces moyens dans les conditions générales d'utilisation, en général dans le cadre d'une déclaration de traitement des données. Si le site web est également consulté dans l'Union européenne ou s'il est également orienté vers ce marché, la directive E-Privacy de l'UE exige en outre que l'utilisateur accepte explicitement le placement d'un cookie sur son ordinateur, par exemple en cliquant sur une case d'acceptation dans un pop-up. Cela correspond au principe de l'opt-in déjà connu dans le contexte des e-mails commerciaux. En ce qui concerne les outils d'analyse de fournisseurs tiers, il est important que ceux-ci n'utilisent pas les données fournies par l'exploitant du site web à des fins personnelles et qu'ils garantissent la sécurité des données. Si des outils de fournisseurs étrangers sont utilisés, les dispositions de la loi sur la protection des données concernant la livraison de données personnelles à l'étranger doivent également être respectées. La loi sur la protection des données exige à cet égard que le pays dans lequel les données sont livrées garantisse une "protection adéquate des données". Aux États-Unis, du point de vue de la Suisse ou du Préposé fédéral à la protection des données, le fournisseur doit avoir adhéré au "U.S.-Swiss Safe Harbor Framework", ce qu'a notamment fait Google. En outre, le préposé fédéral à la protection des données exige que l'exploitant du site web veille, par des réglages appropriés dans le code du programme, à ce que les derniers chiffres de l'adresse IP soient rendus méconnaissables, ce qui est facilement réalisable, notamment avec Google Analytics.

Si ces principes sont respectés, les cookies et les outils d'analyse peuvent contribuer à la simplification et à l'optimisation des offres web, tant pour l'exploitant du site que pour l'utilisateur, sans devenir des "biscuits juridiquement toxiques" pour l'exploitant du site. Plus d'informations sur www.edoeb.admin.ch et dans le livre "Kommunikationsrecht.ch".

Ueli Grüter