Preuve acceptation cookies.

[ortolojf]

Bonjour

En attendant les indications de la CNIL sur les modalités techniques de l'enregistrement de la preuve d'acceptation/refus des cookies.

Une preuve que tel internaute a bien refusé ( ou accepté ) un service/cookie, ne nécessite-t-elle pas l'identification de l'internaute ?

Si oui, comment l'identifier ?

Avec quels procédés techniques ?

Cookie-bot, d'après sa documentation, utilise une clé secrète.

Est-il possible de traduire des données fiables d'identification ( et lesquelles ), en une clé qui ne pourrait être que bidirectionnelle, pour présenter la preuve en cas de contrôle ?

Si la clé est bidirectionnelle, et si les données d'identification sont des données personnelles, que faire ?

Sinon, si la clé est à sens unique, quelle preuve pourrait-on fournir dans ce cas ?

C'est un problème technique.

En espérant que la CNIL donnera au moins des exemples d'implémentation.

Merci beaucoup de vos réponses.

Amicalement.

 

[Philippe Batreau]

Il n'est pas nécessaire d'identifier l'internaute.
Si la navigation est anonyme, il n'y a pas lieu de procéder au recueil d'informations nominatives pour procéder à la preuve du consentement d'un simple cookie. Si on parle de recueil de données personnelles, c'est autre chose.
Il y a tellement de paramètres techniques (navigateur, IP, ...) qui rentrent en ligne de compte que d'aller chercher une preuve individuelle de consentement au cookie semble une vue de l'esprit.
En revanche, il faut bien avoir mis en place un système de consentement éclairé au cookie.
Il est sage d'attendre les recommandations officielles.

 

[yule]

Hello,
Effectivement, tout ce complique. Vouloir être transparent pénalise souvent plus qu'être menteur (à moyen terme bien sur).

Fait intéressant, la Cour reconnait qu'il est pratiquement impossible de déterminer de manière objective si l’utilisateur d’un site web a effectivement donné son consentement au traitement de ses données personnelles en ne décochant pas une case cochée par défaut ainsi que, en tout état de cause, si ce consentement a été donné de manière informée. Il ne peut être exclu que ledit utilisateur n’ait pas lu l'information accompagnant la case cochée par défaut, voire qu’il n’ait pas aperçu cette case avant de poursuivre son activité sur le site web qu’il visite.

Pour un peu de lecture : https://francoischarlet.ch/2019/cjue-placement-cookies-requiert-consentement-actif-internautes/

Le droit à l'oubli ne devrait pas nous obliger à identifier nos visiteurs. Perso, je pars du principe que "Le placement des cookies requiert le consentement actif des internautes" pour autant d'avoir des cookies depuis son site... Comme le mien en à pas, je mets rien, bien plus simple !

Bonne bonne et courage pour ta quête
Yule

 

[ortolojf]

Bonjour Philippe Batreau

Je ne comprend pas :

"Si la navigation est anonyme, il n'y a pas lieu de procéder au recueil d'informations nominatives pour procéder à la preuve du consentement d'un simple cookie. "

La CNIL veut que l'on apporte la preuve que le visiteur a donné son consentement.

Elle le demande même par catégories de cookies.

Et... La CNIL recommande d'enregistrer les conditions de ces consentements : Heure serveur, heure client, plus d'autres choses que j'ai oubliées.

La CNIL veut des preuves, non seulement que le système de gestion de cookies soit conforme à l'instant t, mais que tel ou tel visiteur a donné son consentement.

C'est logique, le problème étant d'opposer à un internaute récalcitrant, la preuve que sa réclamation n'est pas valable.

Je reconnais que ce n'est pas possible de tenir compte/enregistrer quoi que ce soit pouvant identifier le visiteur.

Sauf... S'il a donné son consentement pour celà.

La CNIL... pourrait envisager de permettre ces enregistrements pour preuve, à la seule condition de non refus global de cookies.

C'est-à-dire, si le visiteur a accepté au moins une catégorie des cookies.

Un fingerprinting simple serait inopérant car non reproductible en cas de litige.

Donc :

1) Hash code unidirectionnel de l'adresse IP ( V4 ou V6 normée ),

2) Autres caractéristiques de la connexion pour différencier les adresses ip identiques.

Qu'en pensez-vous ?

Merci beaucoup pour vos réponses.

Amicalement.