Les cookies: fondements et importance pour la protection des données sur les sites web

Signification des cookies

Les cookies jouent un rôle essentiel dans le cadre de la RGPD pour les sites web. Les raisons sont notamment:

1. La décision du CJUE sur les cookies. Dans ce cas, il ne s'agissait cependant pas principalement des cookies, mais la couverture l'a présenté ainsi
2. La nouvelle rédaction de la directive sur l'é-privace est inexactement appelée directive sur les cookies.
3. La commercialisation de certaines offres de outils de consentement et certaines plateformes de conseil
4. La réalité selon laquelle les cookies sont le plus facilement identifiables comme mécanisme de traitement des données et ne peuvent pas être discutés à l'écart

Qu'est-ce qu'un cookie ?

Un cookie est composé d'une clé et d'une valeur et est géré par le navigateur de l'utilisateur. D'habitude, les navigateurs stockent les cookies sur l'appareil de l'utilisateur sous forme de fichiers texte. À l'époque, les navigateurs stockaient les cookies d'habitude sous forme de fichiers texte sur l'appareil de l'utilisateur. Aujourd'hui, les cookies sont souvent insérés dans des bases de données. Les cookies ne sont pas des fichiers texte et n'en ont jamais été, car chaque navigateur pouvait choisir librement la forme d'insertion et peut toujours le faire.

Un cookie a notamment les propriétés suivantes (valeurs d'exemple sont indiquées entre parenthèses):

• Nom: NID
• Valeur: 200=UxxxxxxsGiW99MK4GuykyVJnK8PMOWi02EBAwQ-juoMaximilia-injksa728lslsn
• Durée de vie: 1 an
• Paramètres de sécurité: HttpOnly
• Domaine: google.com

Sur la domaine du cookie on détermine s'il s'agit d'un First- ou Third-Party Cookie.

First-Party Cookies

Cookies de premier parti sont gérés par le site Web lui-même et ne peuvent être lus que par ce dernier. Si le cookie a la domaine webseite4711.de et le site Web a également cette adresse, alors le cookie est First-Party pour ce site Web.

Third-Party Cookies

Cookies de tiers sont gérés par des tiers. Un tiers est un fournisseur d'un outil comme par exemple Google reCAPTCHA. Lorsqu'un tel outil tiers est chargé, le navigateur ajoute à l'appel tous les cookies qui se trouvent dans la même domaine que l'outil.

Un cookie tiers-partie peut être généré uniquement sur le serveur de celui qui a téléchargé une fichier.

Un exemple pratique pour Google reCAPTCHA: Ce outil se met à la disposition de la plateforme google.com. Lorsqu'on appelle une page web qui intègre reCAPTCHA, on observe ce qui suit:

1. La page web est appelée dans le navigateur en saisissant l'adresse _www.webseite4711.de
2. La page web intègre Google reCAPTCHA via le fichier suivant: https://www.google.com/recaptcha/api.js
3. Le navigateur télécharge la page et envoie tous les cookies déjà existants pour le domaine google.com avec. En particulier, il transmet ainsi le cookie NID, qui contient l'identifiant de l'utilisateur Google. Ce cookie est par exemple défini lorsque l'utilisateur se connecte à son compte Google.
4. L'outil appelé peut lire le cookie ou modifier sa valeur.

Les Cookies de tiers sont donc accessibles uniquement aux outils qui se trouvent dans la même domaine que le cookie, où le domaine est par définition différent de celui de la page web appelée (d'où le nom _Third-Party, c'est-à-dire Tierce partie).

Partage de cookies tiers entre différents outils

Le outil Google reCAPTCHA mentionné précédemment a accès à plusieurs domaines, notamment google.com et gstatic.com. Tous les cookies déposés sur ces domaines avant l'intégration de Google reCAPTCHA sont automatiquement accessibles à cet outil. Cela permet à reCAPTCHA non seulement de lire les cookies gérés par lui-même, mais aussi ceux déposés par tous les autres outils Google qui ont accès aux deux domaines mentionnés. Ainsi, reCAPTCHA a un accès complet aux cookies qui devraient être attribués à d'autres outils ! Cela rend impossible l'intégration de Google reCAPTCHA sans demande d'autorisation conforme au droit. La demande d'autorisation elle-même est difficile car personne ne sait quelles données Google traite comme telles.

Cookies de premier parti pour des tiers

Lorsqu'une page Web est liée à un outil comme Google Analytics, un code JavaScript est chargé sur la page Web. Avec ce code JavaScript, il est également possible de gérer les cookies First-Party , car le code JavaScript "vit" sur la page Web qui l'a chargé et peut agir à sa place.

Un cookie tiers-partie est devenu un cookie premier partie

Un cookie de premier parti peut également devenir un cookie de troisième partie. Voici un exemple populaire:

1. Un utilisateur appelle la page web google.com
2. Lors de cela, un cookie First-Party nommé NID est créé sur le domaine google.com (ou mis à jour s'il existait déjà)
3. L'utilisateur appelle maintenant une page web uvwxyz.de, qui intègre _Google reCAPTCHA
4. Google reCAPTCHA est notamment chargé par le domaine google.com_. Lors du chargement de l'outil, le cookie First-Party original NID est ainsi chargé et devient maintenant un cookie Third-Party, car le domaine de la page actuelle est uvwxyz.de et est donc différent de google.com.

Cookies et confidentialité

Chaque fois qu'une page Web charge un outil d'un domaine, tous les cookies existants sur le dispositif de l'utilisateur pour ce domaine sont automatiquement transmis.

Si un outil charge d'autres scripts provenant de domaines différents, ces scripts peuvent générer, lire et modifier des Cookies tiers. En pratique, cela se produit (toujours, au 30 décembre 2020) lorsqu'on intègre des vidéos de YouTube avec ou sans cookies (!), où le suiveur DoubleClick est chargé pour des fins de marketing. DoubleClick est chargé par le domaine doubleclick.net et peut donc accéder aux cookies de ce domaine.

Plus de fichiers sont chargés par un outil provenant de différentes domaines, plus il a potentiellement le contrôle sur les cookies. Les vidéos intégrées à des sites web comme YouTube ne chargent pas seulement des fichiers de youtube.com ou youtube-nocookie.com, mais aussi ceux de ytimg.com, gstatic.com et doubleclick.net. De même, Google Maps charge également des fichiers de gstatic.com, ce qui signifie que les deux outils pourraient échanger des données via ces domaines. Puisque l'entreprise Google possède tous ces serveurs, elle peut se servir librement des données collectées sans qu'on s'en aperçoive.

Les cookies sont utilisés pour identifier et suivre les utilisateurs au cours de plusieurs sessions. Une session est la visite d'un site web, qui prend fin lorsqu'on quitte le site ou que l'on ferme le navigateur.

Un cookie existe uniquement au sein d'un seul navigateur sur l'appareil du utilisateur. Lorsque le utilisateur visite un site Web à partir d'un autre navigateur, ce dernier navigateur ne connaît pas les cookies des visites précédentes du site Web.

Les cookies ne conviennent donc pas en général pour le suivi transversal des utilisateurs entre navigateurs ou appareils.

Le conte de la domaine sans cookies

Vous avez probablement déjà lu que le Google Tag Manager est une domaîne sans cookies. Que cette affirmation soit en soi une bêtise énorme, car un service n'est pas une domaîne, on peut la passer sous silence.

La déclaration est également fausse même si on considère le domaine googletagmanager.com comme cookieless. J'ai montré et prouvé cela dans un article à part sur Google Tag Manager.

La solution aux cookies

La solution consiste à utiliser le moins possible d'outils qui traitent les cookies. Les outils inutiles doivent être supprimés. Les polices, images et bibliothèques externes doivent être stockées localement. Demandez à votre prestataire de réaliser une inventaire complet de votre site web pour identifier tous les outils utilisés.

Autres solutions possibles:

• Alternatives aux outils de Google
• Liste de vérification de demande d'accord (pour motiver à ne pas l'utiliser)

Veuillez noter que même les outils sur des sites web qui ne utilisent pas de cookies sont souvent soumis à une autorisation.