Depuis la modification de l’article 22 de la LSSI (avril 2012), tout prestataire de services utilisant un nom de domaine (ou « éditeur de domaine ») en Espagne et recourant à des cookies est tenu de :

1°) Ajouter dans le menu du site web une rubrique consacrée à sa « Politique en matière de cookies »

2°) Informer clairement l’utilisateur, dès son accès au site, de l’utilisation des cookies.

Le contenu de ces obligations a été modifié par la publication de la dernière version (juillet 2020) du « Guide sur l’utilisation des cookies » de l’Agence espagnole de protection des données. Ce guide intègre dans le contexte espagnol les nouvelles lignes directrices relatives au consentement (https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_202005_consent_en.pdf) pour le traitement des données à caractère personnel, adoptées par le Comité européen de la protection des données.

En résumé, les principales nouveautés introduites par la version de juillet 2020 du Guide de l’AEPD sur l’utilisation des cookies sont les suivantes :

• Le simple fait de continuer à naviguer ou de faire défiler une page web donnée ne saurait être considéré comme un consentement valable à l’installation de cookies, car il ne s’agit pas d’un acte affirmatif clair au sens du RGPD.
• Les clauses générales relatives aux cookies peuvent permettre à l’utilisateur de choisir entre leur acceptation et leur configuration. Si l’option « configurer les cookies » est sélectionnée, l’installation de ces derniers ne sera pas possible tant que l’utilisateur n’aura pas terminé la configuration.
• Les panneaux de configuration des cookies doivent garantir l’existence d’un consentement réel de la part de l’utilisateur. C’est pourquoi :
• Ils devront dans tous les cas prévoir la possibilité pour la personne concernée de refuser tous les cookies, comme cela était déjà indiqué dans la version précédente du Guide.
• Ils doivent être configurés de manière à ce que, par défaut, les cookies ne soient PAS installés.
• L’utilisateur doit toujours avoir la possibilité d’enregistrer ses paramètres, qui devront être respectés lors de ses prochaines connexions.
• Si l’utilisateur enregistre ses paramètres sans avoir sélectionné aucun cookie, tous les cookies doivent être considérés comme refusés.
• Cuando pretenda llevarse a cabo un perfilado del usuario en virtud de la información recabada a través de una cookie que pueda afectar a categorías especiales de datos, será necesario incluir una cláusula adicional con una casilla específica que deberá ser marcada por el interesado. Si no se marca esa casilla no será posible el perfilado sobre esos datos, aun cuando se hubieran aceptado las cookies con carácter general.
• L’utilisation de « barrières anti-cookies » (qui empêchent l’accès à un service si les cookies ne sont pas acceptés) ne sera autorisée que si l’utilisateur en est dûment informé et s’il se voit proposer une alternative permettant d’accéder au service sans accepter l’installation de cookies. Ce service alternatif, qui devra être fourni à des conditions « véritablement équivalentes », ne pourra être proposé que par l’éditeur lui-même.

1°) Ajouter dans le menu du site web une rubrique consacrée à sa « Politique en matière de cookies » :

Enfin, pour rédiger ce document et le publier sur le site, le prestataire de services du domaine (en pratique, le webmaster) doit vérifier ou compléter, le cas échéant, la colonne « Finalité » du tableau des cookies utilisés par le site (à la fin du document). Les valeurs possibles pour la « Finalité » des cookies sont « Techniques », « Préférences ou personnalisation », « Analyse ou mesure » et « Publicité comportementale » :

1. Cookies techniques: il s’agit des cookies qui permettent à l’utilisateur de naviguer sur un site web, une plateforme ou une application et d’utiliser les différentes options ou services qui y sont proposés, y compris ceux que l’éditeur utilise pour assurer la gestion et le fonctionnement du site web et activer ses fonctionnalités et services, comme, par exemple, contrôler le trafic et la communication de données, identifier la session, accéder à des zones à accès restreint, mémoriser les éléments composant une commande, mener à bien le processus d’achat d’une commande, gérer le paiement, contrôler la fraude liée à la sécurité du service, traiter les demandes d’inscription ou de participation à un événement, compter les visites à des fins de facturation des licences du logiciel sur lequel repose le service (site web, plateforme ou application), utiliser des éléments de sécurité pendant la navigation, stocker des contenus pour la diffusion de vidéos ou de sons, activer des contenus dynamiques (par exemple, l’animation du chargement d’un texte ou d’une image) ou partager des contenus via les réseaux sociaux.

Les cookies techniques sont exemptés des obligations prévues à l’article 22.2 de la LSSI (à savoir, l’obtention du consentement pour leur installation et leur utilisation au moyen d’une bannière d’avertissement et d’une politique en matière de cookies) lorsqu’ils permettent de fournir le service demandé par l’utilisateur, comme c’est le cas pour les cookies énumérés ci-dessus. Toutefois, si ces cookies sont également utilisés à des fins non exemptées (par exemple, à des fins de publicité comportementale), ils seront soumis à ces obligations.

22. Cookies de préférences ou de personnalisation : il s’agit des cookies qui permettent de mémoriser des informations afin que l’utilisateur puisse accéder au service avec certaines caractéristiques susceptibles de différencier son expérience de celle des autres utilisateurs, comme, par exemple, la langue, le nombre de résultats à afficher lorsque l’utilisateur effectue une recherche, l’apparence ou le contenu du service en fonction du type de navigateur utilisé par l’utilisateur pour accéder au service ou de la région depuis laquelle il y accède, etc. Si c’est l’utilisateur lui-même qui choisit ces caractéristiques (par exemple, s’il sélectionne la langue d’un site web en cliquant sur l’icône du drapeau du pays correspondant), les cookies sont exemptés des obligations prévues à l’article 22.2 de la LSSI, car ils sont considérés comme un service expressément demandé par l’utilisateur, à condition que les cookies servent exclusivement à la finalité sélectionnée.

1. Cookies de análisis o medición: son aquellas que permiten al responsable de estas el seguimiento y análisis del comportamiento de los usuarios de los sitios web a los que están vinculadas, incluida la cuantificación de los impactos de los anuncios. La información recogida mediante este tipo de cookies se utiliza en la medición de la actividad de los sitios web, aplicación o plataforma, con el fin de introducir mejoras en función del análisis de los datos de uso que hacen los usuarios del servicio.
2. Cookies de publicidad comportamental: son aquellas que almacenan información del comportamiento de los usuarios obtenida a través de la observación continuada de sus hábitos de navegación, lo que permite desarrollar un perfil específico para mostrar publicidad en función de este.

Il est également recommandé de vérifier la date d’« expiration » des cookies, une information que les consultants de DGE COMPLIANCE ont définie en fonction des propriétés des cookies observées sur le site.

SI LE SITE WEB DISPOSE D’UN GESTIONNAIRE DE COOKIES DÉTAILLÉ DANS LEQUEL FIGURE UNE PRÉSENTATION COMPLÈTE DES COOKIES UTILISÉS (il n’est pas nécessaire de présenter les cookies un par un, mais par catégorie/finalité et par éditeur), ON POURRAIT S’APPUIER SUR LA SECTION « Liste et description des cookies » qui se trouve à la fin de la section « Politique en matière de cookies ».

2°) informer clairement l’utilisateur, dès son accès au site, de l’utilisation des cookies :

Remarque très importante concernant la politique en matière de cookies :

Conformément à la modification de la loi LSSI (avril 2012), l’utilisateur doit donner son consentement à la politique en matière de cookies appliquée par le site, c’est pourquoi, dès qu’un utilisateur accède à notre site, il doit recevoir un message d’avertissement concernant la politique en matière de cookies (il s’agit généralement d’une fenêtre contextuelle, d’une bannière fixe en en-tête, etc.) qui l’informe que notre site utilise des cookies et lui offre la possibilité, via un lien, de consulter notre politique en matière de cookies.

Il convient de souligner à ce stade que, conformément à la dernière version du « Guide sur l’utilisation des cookies » de l’AEPD, « le simple fait de continuer à naviguer ou de faire défiler une page web donnée ne peut être considéré comme un consentement valable à l’installation de cookies, car il ne s’agit pas d’une action affirmative claire au sens du RGPD ».

Ces informations seront fournies avant l’utilisation des cookies, y compris, le cas échéant, leur installation, sous une forme visible pour l’utilisateur et qui devra rester affichée jusqu’à ce que celui-ci effectue l’action requise pour donner son consentement ou le refuser.

Il sera nécessaire de compléter les informations de la première couche par un système ou un panneau de configuration permettant à l’utilisateur de choisir, de manière détaillée, d’accepter ou non les cookies (modules de gestion des cookies), ou par un lien renvoyant vers ce système ou ce panneau.

C’est à l’éditeur du site web qu’il revient de déterminer le niveau de détail à adopter dans le panneau d’affichage de la sélection des cookies. Il est toutefois conseillé de tenir compte des règles suivantes :

• Au minimum, les cookies devraient être regroupés en fonction de leur finalité (par exemple, l’utilisateur pourrait choisir d’accepter les cookies analytiques, mais pas les cookies publicitaires comportementaux).
• En ce qui concerne les cookies tiers, il suffit de les identifier par leur nom ou par la marque sous laquelle ils sont connus du public, sans mentionner la dénomination sociale complète.
• Il convient d’éviter le niveau de granularité maximal (sélection cookie par cookie), car un excès d’informations complique la prise de décision.