Bien configurer sa solution d'analytics est important.
Le RGPD, ainsi que les lois nationales dans le cadre de l’interprétation de la directive ePrivacy, régulent aujourd'hui l'utilisation faite des données personnelles, et les conditions d'utilisation des traceurs sur vos plateformes digitales.
Une mauvaise configuration peut vous exposer à des mesures des autorités de contrôle (limitation ou suppression des traitements, suppression des données, suppression de certification …), des actions de la part des utilisateurs ou des associations les représentants, des sanctions financières, mais également traiter de la donnée de mauvaise qualité.
Cette "Mise en conformité" a pour objectif de vous aider à choisir une configuration au plus proche de vos besoins, qu'ils soient métiers ou légaux (RGPD), en 4 étapes.
Vous trouverez donc ci-dessous les différentes étapes à respecter afin de vous mettre en conformité, au sein de l'Union Européenne.
Choisir le scenario adapté
Le consentement n'est pas demandé.
Le visiteur est par défaut en statut "opt-in" et toute donnée peut-être transmise.
Les cookies d'identification du visiteur sont déposés sur la première page de
la visite avec une valeur unique correspondant à l'identification du visiteur.
Le consentement est demandé.
Jusqu'à l'obtention du consentement ("opt-in"), les visiteurs sont en statut "opt-out", exclus du trafic général, anonymisés et seulement visibles dans l'analyse Privacy sous la catégorie "opt-out". Au passage au statut "opt-in" (consentement), toutes les données peuvent être transmises.
Les cookies d'identification du visiteur sont déposés sur la première page de
la visite avec une valeur "opt-out". Une fois le consentement reçu, la valeur
du cookie changera pour une valeur unique correspondant à l'identification du
visiteur.
Le consentement est demandé.
Jusqu'à l'obtention du consentement ("opt-in"), les visiteurs sont en statut "No consent", exclus du trafic général (via option), anonymisés et seulement visibles dans l'analyse Privacy sous la catégorie "no-consent". Au passage au statut "opt-in" (consentement), toutes les données peuvent être transmises.
Les cookies d'identification du visiteur ne sont pas déposés tant que l'utilisateur n'a pas consenti. Une fois le consentement reçu, le cookie sera déposé avec une valeur unique correspondant à l'identification du visiteur.
Contrairement à la méthode "Opt-out par défaut", cette méthode permet de dissocier
dans l'analyse Privacy les visiteurs n'ayant pas consenti aux visiteurs ayant
expressement demandé une mise en "opt-out".
Le consentement est demandé.
A l'arrivée sur la plateforme (site web, app mobile, TV ...), un "visitor ID" aléatoire est attribué à la première page de la visite. Celui n'est pas stocké.
Tant que le consentement n'est pas donnée, il passe de page en page (via URL) et les pages chargées sont exclues du trafic général.
Au passage au statut "opt-in" (consentement), le "visiteur ID" passé de page en page est réutilisé et fixé pour le reste de la visite et les suivantes.
Cette méthode permet de respecter la possibilité pour l'utilisateur de consentir à n'importe quel moment de la visite, tout en vous permettant de récupérer la page d'entrée de la visite (contenant la source, par exemple) en cas de consentement.
Les cookies d'identification du visiteur ne sont pas déposés tant que l'utilisateur n'a pas consenti. Une fois le consentement reçu, le cookie sera déposé avec une valeur unique correspondant au "visitor ID" de la page d'entrée de la visite.
La CNIL a été l’une des premières autorités de contrôle européennes à avoir publié des lignes directrices permettant, dans le cadre de la directive ePrivacy, de mettre en place une exemption au recueil préalable de consentement au dépôt de traceurs pour la mesure d’audience non-intrusive.
Sous réserve de respecter les conditions fixées par cette exemption, le consentement du visiteur n'est pas demandé.
La visite sera donc mesurée sous le statut "exempt" et ne collectera que les informations strictement nécessaires à la fourniture de vos services. Les cookies d'identification du visiteur sont déposés sur la première page de la visite avec une valeur unique correspondant à l'identification du visiteur.
Les visiteurs ne pourront pas être identifiés et seules les données strictement nécessaires pourront être collectées.
Les autorités de contrôles qui ont, à date, publiées des lignes directrices permettant une exemption pour la mesure d’audience :
🇮🇹 https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9677876#english
🇱🇺 https://cnpd.public.lu/content/dam/cnpd/fr/dossiers-thematiques/cookies/CNPD-LD-Cookies.pdf
🇩🇪 https://datenschutzkonferenz-online.de/media/oh/20211220_oh_telemedien.pdf
A noter que l’article 8.1.d du futur règlement ePrivacy devrait prévoir une exemption pour la mesure d’audience respectueuse du RGPD.
La Mesure Hybride constitue le meilleur des deux mondes, en vous permettant de combiner une exemption ePrivacy avec un consentement ("opt-in").
Jusqu'à l'obtention du consentement ("opt-in"), la visite sera collectée sous le statut "exempt", avec les bridages liés.
Au passage au statut "opt-in" (consentement), toutes les limites de l'exemption sont levées.
Les cookies d'identification du visiteur sont déposés sur la première page de la visite avec une valeur unique correspondant à l'identification du visiteur.
It is important to configure your solution adequately.
The GDPR, and national laws in the framework of the interpretation of the ePrivacy directive currently govern the use of personal data and the conditions for the use of trackers on your digital platforms.
Inadequate configuration may expose you to the risk of sanctions by inspection bodies (restriction or deletion of processing, deletion of data or withdrawal of certification, etc.), actions on the part of users or consumer groups, or financial sanctions, in addition to the risk of processing low quality data.
The aim of this ‘Bringing into Compliance’ is to help you to choose, in 4 steps, a configuration which is best suited to your needs, whether professional or legal (GDPR)
Below you will find the various steps to follow in order to bring your system into compliance within the European Union.
Bring your system into compliance by signing a DPA, which delegates in particular the obligations and responsibilities of each party.
Set a storage duration for your Analytics data.
Comply with the GDPR by enabling your users to withdraw from monitoring.
Choose the right scenario
Consent is not requested.
The visitor has, by default, opt-in status and all data may be transmitted.
The visitor cookie IDs are placed on the first page visited with a single value corresponding to the user ID.
Consent is requested.
Until consent is given (‘opt-in’), visitors have opt-out status, excluded from general traffic, anonymised and visible only in the Privacy analysis under the ‘opt-out’ category. Once opt-in status is obtained (consent), all data may be transmitted.
The visitor cookie IDs are placed on the first page visited with an opt-out value. Once consent is given, the cookie value will change to a unique value corresponding to the visitor ID.
Consent is requested.
Until consent is given (opt-in), visitors have opt-out status, excluded from general traffic (via option), anonymised and visible only in the Privacy analysis under the ‘no consent’ category. Once opt-in status is obtained (consent), all data may be transmitted.
The visitor’s cookie IDs shall not be placed until the user has consented. Once consent is given, the cookie value will change to a unique value corresponding to the visitor ID.
Contrary to the ‘opt-out by default’ method, this method separates visitors refusing consent from visitors expressly requesting opt-out in the Privacy analysis.
Consent is requested.
On arrival on the platform (website, mobile app, TV, etc.) a random visitor ID is attributed to the first page of the visit. This ID is not stored.
Until consent is granted, this ID moves from page to page (via URL) and the downloaded pages are excluded from general traffic.
When opt-in status is obtained (consent), the ‘visitor ID’ moved from page to page is reused and set for the remainder of the visit and following visits.
This method enables compliance with the user’s right to grant consent at any time of the visit, while allowing you to recover the entry page of the visit (containing the source, for example) in the case of consent.
The visitor’s cookie IDs shall not be placed until the user has consented. Once consent is given, the cookie value will be placed with a unique value corresponding to the visitor ID of the entry page of the visit.
The CNIL was one of the first European supervisory authorities to publish guidelines allowing, in the framework of the ePrivacy Directive, to set up an exemption to the prior collection of consent to the deposit of trackers for non-intrusive audience measurement.
Subject to compliance with the conditions set out by this exemption, the visitor’s consent is not required.
The visit will thus be measured under the ‘exempt’ status and will collect only data which is strictly necessary to the provision of your services. The visitor cookie IDs are placed on the first page visited with a single value corresponding to the Visitor ID.
Visitors cannot be identified and only data which is strictly necessary may be collected.
The regulatory authorities that have, to date, issued guidelines allowing an exemption for audience measurement:
🇮🇹 https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9677876#english
🇱🇺 https://cnpd.public.lu/content/dam/cnpd/fr/dossiers-thematiques/cookies/CNPD-LD-Cookies.pdf
🇩🇪 https://datenschutzkonferenz-online.de/media/oh/20211220_oh_telemedien.pdf
Note that Article 8.1.d of the future ePrivacy regulation should provide an exemption for audience measurement that is RGPD compliant.
Hybrid Measure is the best of both worlds and enables you to combine an ePrivacy exemption with consent (opt-in)
Until consent is granted (opt-in), the visit will be collected under the ‘exempt’ status, with the relative restraints.
Once ‘opt-in’ status is obtained (consent), all exemption limits are lifted.
The visitor cookie IDs are placed on the first page visited with a single value corresponding to the Visitor ID.
