L'institut Digital CGI FINANCE vous propose son Livre Blanc sur le "Réglement Général sur la protection des données". Ce guide explique les conséquences du dispositif sur un site internet et montre les impacts sur la gestion des cookies sur un site grand public comme vivacar.fr

1. GENERAL DATA
PROTECTION
REGULATION
(RÈGLEMENT GÉNÉRAL
SUR LA PROTECTION DES DONNÉES)
CONSÉQUENCES SUR
LES SITES INTERNET
ET LA GESTION DES COOKIES
DOCUMENT D’INFORMATION
À L’ATTENTION DES PARTENAIRES DU CGI
INSTITUT DU DIGITAL CGI

2. P2 11/2017 INSTITUT DU DIGITAL CGI
SOMMAIRE
DÉFINITION ET CADRE LÉGAL
Le GDPR, c’est quoi ?
A qui s’appliquera-t’il ?
Les obligations pour les entreprises
Les sanctions
LES COOKIES
GDPR et les cookies
Un cookie c’est quoi ?
Comment fonctionne les cookies ?
Cas d’utilisation des cookies : le retargeting
La règlementation des cookies
Information des visiteurs
L’obtention du consentement via le bandeau
Les cookies exempts de consentement
Page 4
Page 4
Page 5
Page 6
Page 8
Page 9
Page 10
Page 11
Page 12
Page 13
Page 14
Page 15
Les cookies de tracing déposés par des tiers
Les impacts et les solutions ?
Page 16
Page 17
Que devez-vous faire ? Page 18

3. DÉFINITION ET
CADRE LÉGAL
P3 11/2017 INSTITUT DU DIGITAL CGI

4. Le GDPR, c’est quoi ?
Le GDPR, est le nouveau règlement européen voté en avril 2016 qui s’appliquera
dès mai 2018 à toute entreprise qui collecte, traite et stocke des données
personnelles permettant d’identifier une personne physique directement ou
indirectement.
Il repose sur le droit fondamental inaliénable que constitue, pour chaque citoyen,
la protection de sa vie privée et de ses données personnelles.
La notion d’identification indirecte a son importance. La combinaison de plusieurs
éléments d’identification indirecte peut conduire à une identification directe
d’une personne. Par ailleurs, si une entreprise ne peut déterminer directement
l’identité d’un individu à partir des données collectées, un tiers pourrait
potentiellement le faire.
A qui s’appliquera-t-il ?
A tous les acteurs économiques, voire sociaux : les entreprises bien sûr, mais
également les associations, administrations, collectivités locales et syndicats
entreprises.
En effet, lorsque l’on parle de données personnelles, on inclut les informations
de ses clients et prospects, de ses salariés et le cas échéant des salariés de
ses partenaires ou prestataires que celles-ci se trouvent sur des ordinateurs,
des terminaux mobiles ou des serveurs, dans des échanges emails ou dans la
consignation des logs et du traçage, même non identifié, des visiteurs du site
Internet de l’entreprise. Les archives papier comportent également bien souvent
des données personnelles.
Entre le caractère omniprésent des données numériques et la notion
d’identification directe et indirecte, aucune société ne pourra y échapper.
P4 11/2017 INSTITUT DU DIGITAL CGI

5. Les obligations pour les entreprises
En reposant sur le droit de chacun à la protection de ses données personnelles,
le nouveau règlement impose des devoirs qui sont autant d’obligations aux
entreprises. Celles-ci seront notamment tenues en principe de s’assurer du
consentement éclairé et informé des individus quant à la collecte et au
traitement de leurs données, consentement qu’elles devront pouvoir recueillir et
prouver.
Elles veilleront à ce que seules les données nécessaires à la finalité (c’est-
à-dire les objectifs) du traitement de données personnelles mis en place, et
seulement pour celles-ci, soient collectées et exploitées. Ces données ne
devront être conservées que pendant une durée de conservation limitée et
nécessaire à la réalisation de la finalité poursuivie. Elles devront être effacées
ou «anonymisées» à l’issue de la durée de conservation ainsi définie. Par ailleurs,
les entreprises devront garantir aux personnes dont les données sont collectées
le respect des droits qui leur sont accordés par le GDPR : droit d’accès, droit de
rectification, droit d’opposition, droit à la limitation du traitement, portabilité,…
L’entreprise veillera également à ce que ces données soient à tout moment et
en tous lieux sécurisées contre les risques de perte, de vol, de divulgation ou
contre toute autre compromission. Si, malgré tout, un tel événement se produisait,
alors l’entreprise en question devrait le notifier rapidement (idéalement sous
72 heures) à l’autorité compétente, la Cnil en France, et informer les personnes
concernées en cas de risque réel d’atteinte à la protection de leur vie privée.
L’entreprise devra en outre documenter toutes les mesures et procédures utiles
pour assurer à tout moment cette protection. Elle ne pourra transférer en dehors
de l’Union Européenne ces données que selon un cadre strictement défini par le
règlement et n’engager pour le traitement de ces données que des entreprises
tierces offrant toutes les garanties nécessaires pour répondre à ces obligations.
Enfin, à tout moment, elle devra pouvoir prouver aux autorités compétentes que
tout est bien mis en oeuvre pour répondre à ces obligations.
P5 11/2017 INSTITUT DU DIGITAL CGI

6. Les sanctions
Celles-ci peuvent aller jusqu’à 4 % du chiffre d’affaires annuel mondial ou 20
millions d’euros; la somme la plus élevée étant retenue. Et c’est également
l’entreprise qui devra indemniser toute personne lésée matériellement ou
moralement par un traitement non-conforme de ses données, sans plafonnement.
Les obligations du GDPR supposent qu’une entreprise doit à tout moment savoir
de quelles données elle dispose, leur localisation, l’objectif de leur collecte et
leurs modes de gestion, stockage, sécurisation, transfert et effacement.
Au-delà de cette quasi omniscience, elle doit être en mesure de déceler si leur
intégrité a été compromise et y remédier promptement, tout en consignant et
notifiant l’événement.
P6 11/2017 INSTITUT DU DIGITAL CGI

7. LES COOKIES
P7 11/2017 INSTITUT DU DIGITAL CGI

8. GDPR et les cookies
Les entreprises doivent assurer la conformité de leurs sites web avec la
réglementation informatique et libertés, issue notamment de :
• l’article 32-II de la loi informatique et libertés (créé par l’ordonnance n°2011-
10123 relative aux communications électroniques du 24/08/2011) ;
• la délibération de la CNIL n°2013-378 portant adoption d’une
recommandation relative aux cookies et aux autres traceurs.
Objectif de la conformité avec la réglementation informatique et libertés:
Développer la confiance des internautes dans les sites web et favoriser le
développement des activités sur le web.
Pour rappel :
• 100 sites internet contrôlés par la CNIL par an ;
• en mai et juin 2017, mise en demeure PUBLIQUE de CDISCOUNT, ADOPTAGUY
et MICROSOFT de mettre leurs sites en conformité avec la réglementation ;
• manquements constatés : manquements en matière d’information des
internautes sur les cookies, absence de collecte du consentement sur les
cookies, non respect des obligations en matière de durée de conservation
des cookies de traçage (cookies).
P8 11/2017 INSTITUT DU DIGITAL CGI

9. Un cookie c’est quoi ?
• Un Cookie est un fichier texte déposé sur le disque dur d’un internaute par le
serveur du site qu’il visite.
• Il contient plusieurs données dont le nom du serveur qui l’a déposé, un
identifiant sous forme de numéro unique, une date d’expiration,…
• Il est stocké sur le terminal utilisé : ordinateur, smartphone, liseuse numérique
ou console de jeux vidéos connectée à Internet.
• La plupart des sites Web utilisent des cookies. Les cookies indiquent la
fréquentation des pages visitées, ce qui aide à connaître les informations qui
intéressent les internautes.
• Les cookies peuvent aussi aider les internautes à être plus efficaces. C’est le
cas des cookies qui sont utilisés dans les « paniers virtuels ».
• Les cookies permettent de stocker des préférences et les noms des
utilisateurs, enregistrer des produits et des services et personnaliser des
pages.
• cookies techniques ou de « fonctionnement »
• cookies de tracing :
• cookies liés aux opérations relatives à la publicité ciblée,
• cookies des réseaux sociaux générés par les « boutons de partage
de réseaux sociaux « (si collecte de données personnelles sans le
consentement des personnes concernées),
• certains cookies de mesure d’audience : Google Analytics,
Universal Analytics...
• format : cookies HTTP, flash, « fingerprinting », « web bugs », emails.
2 types de cookies
P9 11/2017 INSTITUT DU DIGITAL CGI

10. Comment fonctionnent les cookies ?
P10 11/2017 INSTITUT DU DIGITAL CGI
PREMIÈRE VISITE SUR LE SITE VISITES SUIVANTES
L’nternaute rentre l’URL du site
dans le navigateur de son PC.
Lors d’une nouvelle session,
l’internaute consulte à nouveau le
même site depuis le navigateur de
son PC.
VISITE DU SITE
1 NOUVELLE VISITE SUR LE SITE
La requête HTML est envoyée
au serveur du site qui traite la
demande pour afficher la page
web demandée.
La requête HTML est envoyée
au serveur du site qui traite la
demande pour afficher la page
web demandée.
Si l’internaute donne son accord,
un cookie est déposé sur son PC.
Détection du cookie déposé sur
le PC de l’internaute lors de sa
première visite.
DÉPÔT DU COOKIE DÉTECTION DU COOKIE
Les informations telles que les
pages consultées, le login, les
articles du panier sont alors
recuillies par le cookie.
Le seveur renvoie une page
personnalisée à l’internaute :
login renseigné automatiquement,
panier contenant les articles déjà
sélectionnés...
RECUEIL DES INFORMATIONS
4 PAGE PERSONNALISÉE
1
2TRAITEMENT SERVEUR TRAITEMENT SERVEUR
3

11. Cas d’utilisation des cookies : le retargeting
Le retargeting est une pratique publicitaire qui permet de diffuser sur différents
sites visités par un internaute des annonces ciblées relatives à un site marchand
qu’il a visité précédemment sans faire d’achat. L’objectif est d’inciter cet
internaute à revenir sur le site et déclencher l’acte d’achat.
Cette pratique repose sur l’utilisation d’un cookie déposé sur le navigateur de
l’internaute lors de sa première visite. Cookie qui permettra ensuite de suivre la
navigation de l’internaute lors de sessions ultérieures.
Exemple de
retargeting avec
des annonces
vivacar.fr sur le
site eurosport.fr
P11 11/2017 INSTITUT DU DIGITAL CGI
Mr X cherche une nouvelle
voiture d’occasion.
1
Il se rend sur vivacar.fr.
Un cookie est déposé
sur son navigateur après
accord de sa part.
2
Quelques jours plus tard, M.
X ouvre une nouvelle session
de navigation. Le cookie
vivacar est détecté.
4
M. X consulte plusieurs
véhicules mais n’achète pas
sa voiture de suite.
3
Grâce au cookie, des
publicités vivacar.fr sont
affichées sur les sites que
M. X consulte.
5
Ces annonces suscitent son
intérêt et M. X retourne sur
vivacar.fr commander sa
nouvelle voiture.
6

12. La règlementation des cookies
Depuis fin 2013, la réglementation prévoit que,
dès son arrivée sur un site internet, l’internaute doit :
des finalités de tous les
cookies (techniques et
racing) déposés et lus.
d’un moyen de refuser
les cookies de tracing.
au dépôt de cookies de
tracing, préalablement
à leur dépôt.
PAR AILLEURS :
• La durée de validité des cookies de tracing est de 13 mois maximum à comp-
ter de leur date de dépôt,
• La durée du consentement éventuellement donné au dépôt de cookies de tra-
cing est donc de 13 mois maximum,
• Les cookies de tracing acceptés par l’internaute doivent cesser de fonction-
ner à la fin de ce délai de 13 mois,
• Le consentement doit à nouveau être obtenu pour déposer de nouveaux
cookies de tracing à la fin des 13 mois,
• Toute visite sur le site au cours des 13 mois ne remet pas les compteurs à zéro.
Ces obligations s’appliquent que les cookies de tracing collectent des données
à caractère personnel (adresse IP) ou non.
ÊTRE INFORMÉ CONSENTIR POUVOIR DISPOSER
P12 11/2017 INSTITUT DU DIGITAL CGI

13. Informations des visiteurs
Obligation d’ajouter à tout site comportant un dépôt de cookies de tracing :
• un bandeau d’information présent à l’arrivée sur toute première page d’accès
au site (homepage ou autre page) des seuls internautes « inconnus » qui les
informe :
Des finalités des cookies de tracing :
• « vous proposer des services et des offres adaptés à vos centres d’intérêts »
• « réaliser des statistiques de visite »
1
De la façon de consentir au dépôt des cookies :
• soit en poursuivant la navigation
• soit en cliquant sur « OK »
2
De la façon de s’opposer en paramétrant les cookies :
• « Pour en savoir plus et paramétrer les cookies, cliquez ici ».3
12 3
Exemple du bandeau
«cookies» vivacar.fr
• Une rubrique sur les données personnelles et cookies dans le footer (bas de
page) du site.
Exemple du footer
vivacar.fr
P13 11/2017 INSTITUT DU DIGITAL CGI

14. L’obtention du consentement
• Consentement au dépôt de cookies de tracing donné par un visiteur
« inconnu » par une poursuite de la navigation :
• en cliquant sur tout lien de la première page visitée (autre que le lien
vers la page d’information sur les cookies),
• ou en cliquant sur « OK ».
• Sauf consentement préalable et antérieur de l’internaute, pas de dépôt et de
lecture de cookies de tracing si l’internaute se rend sur le site (page d’accueil
ou autre page depuis un moteur de recherche par exemple) et ne poursuit
pas sa navigation et/ou ne clique pas sur le bouton « OK ».
• Le scroll ne constitue pas une poursuite de navigation.
• Une absence d’action ne peut être assimilée à une manifestation de
consentement.
• Consentement non ambigu : le bandeau doit rester visible tant que la
personne n’a pas poursuivi sa navigation ou n’a pas cliqué sur le bouton
« OK», c’est-à-dire tant qu’elle ne s’est pas rendue sur une autre page du site
en cliquant sur un élément de la page du site (image, lien, …).
Le bandeau doit
rester visible tant que
le consentement de
l’internaute n’a pas été
recueilli.
P14 11/2017 INSTITUT DU DIGITAL CGI

15. Les cookies exempts de consentement
Certains cookies peuvent être déposés ou lus sans recueillir le consentement
préalable de l’internaute.
Ce sont les cookies techniques, à savoir :
• les cookies ayant pour finalité exclusive de permettre ou de faciliter la
communication par voie électronique,
• les cookies strictement nécessaires à la fourniture d’un service expressément
demandé par l’utilisateur.
Par exemple :
• cookies de « panier d’achat » pour un site marchand,
• cookies de session, pour la durée d’une session, ou les traceurs persistants
limités à quelques heures dans certains cas,
• cookies d’authentification de l’internaute,
• cookies de session créés par un lecteur multimédia,
• cookies de session d’équilibrage de charge (« load balancing »),
• cookies persistants de personnalisation de l’interface utilisateur,
Certains cookies de tracing peuvent, à condition de faire l’objet d’un léger
paramétrage, être déposés dès la première page visitée sans poursuite de
navigation et sans consentement préalable de l’internaute : AT Internet Xiti ou
Piwik.
P15 11/2017 INSTITUT DU DIGITAL CGI

16. Les cookies de tracing déposés sur votre site
Des cookies peuvent provenir d’autres sociétés qui les déposent sur votre site.
Exemple : CRITEO, DOUBLECLICK…
Votre site permet le dépôt de
cookies tiers, afin de traiter des
données uniquement pour son
compte.
Vous = responsable du traitement
Tiers = votre sous-traitant
=> Vous devez obtenir le
consentement de l’internaute
et respecter la durée de vie du
cookie.
CAS N°1
Les données collectées par les
cookies tiers sont exploitées, non
pas par votre site sur lequel ils sont
déposés, mais par leur émetteur.
Tiers émetteur du cookie =
responsable du traitement
=> ce tiers doit appliquer la loi :
c’est-à-dire installer les cookies de
tracing qu’avec le consentement
et respecter la durée de vie de 13
mois maximum du cookie.
CAS N°2
Deux cas de figure. Dans les deux cas : obligation d’information sur les
finalités des cookies à votre charge.
P16 11/2017 INSTITUT DU DIGITAL CGI

17. Les impacts et les solutions ?
La mise en place du bandeau d’acceptation des cookies a des impacts sur les
statistiques du site, le tracking et les principaux indicateurs de fonctionnement
du site :
• les visites à une seule page ne sont plus comptabilisées,
• la perte du referer et l’augmentation du nombre de visite en « direct » (sous
Analytics),
• le Taux de rebond aura tendance à diminuer, c’est une bonne chose !
• le taux de transformation (lead/visite…) lui connaitra une augmentation.
Il existe des solutions :
• utilisation d’un outil d’Analytics du type Piwik ou AT Internet Xiti (voir le site
www.cnil.fr),
• la mise en place d’un gestionnaire de tag permettant d’anonymiser les
données et de les ré-injecter dans l’outil d’analytics même si l’internaute
n’accepte pas les cookies.
P17 11/2017 INSTITUT DU DIGITAL CGI

18. Que devez-vous faire ?
Certains cookies peuvent être déposés ou lus sans recueillir le consentement
préalable de l’internaute.
Ce sont les cookies techniques, à savoir :
• les cookies ayant pour finalité exclusive de permettre ou de faciliter la
communication par voie électronique,
• les cookies strictement nécessaires à la fourniture d’un service expressément
demandé par l’utilisateur.
Par exemple :
• cookies de « panier d’achat » pour un site marchand,
• cookies de session, pour la durée d’une session, ou les traceurs persistants
limités à quelques heures dans certains cas,
• cookies d’authentification de l’internaute,
• cookies de session créés par un lecteur multimédia,
• cookies de session d’équilibrage de charge (« load balancing »),
• cookies persistants de personnalisation de l’interface utilisateur,
Certains cookies de tracing peuvent, à condition de faire l’objet d’un léger
paramétrage, être déposés dès la première page visitée sans poursuite de
navigation et sans consentement préalable de l’internaute : AT Internet Xiti ou
Piwik.
P18 11/2017 INSTITUT DU DIGITAL CGI

19. CGL, COMPAGNIE GÉNÉRALE DE LOCATION D’EQUIPEMENTS - SA AU CAPITAL DE 58 606 156 €
69 AVENUE DE FLANDRE 59700 MARCQ-EN-BAROEUL - SIREN 303 236 186 RCS LILLE MÉTROPOLE.
CGI FINANCE EST UNE MARQUE DE LA SOCIÉTÉ GÉNÉRALE MISE À DISPOSITION DE CGL.
11/2017-ESF-MJ.DOCUMENTÀUSAGEDESPARTENAIRESCGIFINANCE
INSTITUT DU DIGITAL CGI