La géolocalisation à des fins publicitaires

3. LES COOKIES ASSIMILABLES A UN TRAITEMENT DE DONNEES A CARACTERE PERSONNEL

50. Définition du traitement de données à caractère personnel par la loi n°78-17 - L'article 2 de la loi pose une définition très large de ce qu'est un traitement de données à caractère personnel en disposant que « constitue un traitement de données à caractère personnel toute opération ou tout ensemble d'opérations portant sur de telles données, quel que soit le procédé utilisé, et notamment la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, ainsi que le verrouillage, l'effacement ou la destruction ». Le champ de la protection est d'autant plus vaste que le législateur a fait le choix d'une législation « technologiquement neutre » puisque l'appréciation du moyen de traitement employé ne doit pas dépendre des techniques utilisées. La CNIL^27(*) retient que même si un cookie ne constitue pas en lui-même un traitement, la lecture et l'écriture sur le terminal de l'utilisateur s'effectuent par l'intermédiaire de ce dernier dans le but de collecter des informations. En ce sens, les cookies, ou autres outils similaires, constituent bel et bien un traitement au visa de cet article.

51. Un raisonnement confirmé - Sur son site, la CNIL énonce les obligations des responsables traitement. Dans l'un de ses articles^28(*) elle dispose que « les moyens de traitement peuvent être automatisés ou non. Ils permettent de réaliser toutes les opérations de traitements telles que définies par la loi et la directive européenne. Cette notion doit s'entendre de manière large. Elle regroupe, par exemple, les logiciels de collecte, les formulaires, les serveurs informatiques, les cookies, les bannières Javascript, etc. ».

52. Les cookies : des données à caractère personnel - De plus, le cookie peut lui-même être considéré comme étant une donnée à caractère personnel comme l'énonce le G29^29(*). Dans son avis, du 4 avril 2008, il énonce que « dans la plupart des cas, les cookies doivent être considérés comme des données à caractère personnel », en effet, « lorsqu'un "cookie" contient un identifiant d'utilisateur unique, celui-ci est clairement une donnée à caractère personnel ».

Les cookies recueillant les données de géolocalisation sont bel et bien des traitements de données à caractère personnel au sens de la directive et de la loi n°78-17 mais pour que la législation soit applicable encore faut-il déterminer quels acteurs peuvent être qualifiés de « responsable de traitement » et si la loi leur est applicable.

* ²⁷ Délibération 2013-420 de la formation restreinte prononçant une sanction pécuniaire à l'encontre de la société Google Inc., 3 janvier 2014

* ²⁸ Article de la CNIL, « Vous êtes établis hors de France », version de juin 2014

* ²⁹ Avis du G29 1/2008 sur les aspects de la protection des données liés aux moteurs de recherche, 4 avril 2008 p. 7