En septembre 2020 et mai 2021, la CNIL (Commission nationale de l’informatique et des libertés) a effectué plusieurs contrôles sur le site web de Microsoft Ireland Operations Limited, suite à une plainte portant sur les conditions du dépôt de cookies sur le site “bing.com”. C’est pourquoi la CNIL condamne microsoft à payer une sanction de 60 millions d’euros.

La CNIL a constaté que lorsqu’un utilisateur se rendait sur le site, des cookies étaient déposés sur son ordinateur sans son consentement, alors qu’ils poursuivaient notamment un objectif publicitaire. Elle a également constaté l’absence d’un bouton permettant de refuser le dépôt de cookies aussi facilement que de les accepter.

En conséquence, la CNIL a sanctionné Microsoft Ireland Operations Limited d’une amende de 60 millions d’euros pour manquements à l’article 82 de la loi Informatique et Libertés, qui impose notamment de recueillir le consentement de l’utilisateur avant de déposer des cookies et de proposer un moyen simple de refuser les cookies. La CNIL a justifié ce montant par la portée du traitement, par le nombre de personnes concernées et par les bénéfices que la société tirait des revenus publicitaires indirectement générés à partir des données collectées par les cookies.

En complément de l’amende administrative, la CNIL a également adopté une injonction sous astreinte, qui oblige Microsoft Ireland Operations Limited à recueillir sur le site “bing.com” le consentement des personnes résidant en France avant de déposer sur leur ordinateur des cookies et traceurs à finalité publicitaire. Si la société ne respecte pas cette injonction dans un délai de trois mois, elle s’exposera au paiement d’une astreinte de 60 000 euros par jour de retard.

Voici quelques étapes à suivre pour s’assurer de respecter les règles du RGPD en matière d’utilisation de cookies :

1. Recueillir le consentement de l’utilisateur : il est obligatoire de demander l’accord de l’utilisateur avant de déposer des cookies sur son ordinateur. Cela peut se faire par exemple en affichant un bandeau d’information sur le site web qui explique l’utilisation des cookies et qui demande l’acceptation de l’internaute.
2. Proposer un moyen simple de refuser les cookies : il est recommandé de proposer à l’utilisateur un moyen simple de refuser les cookies, comme un bouton de refus qui est aussi facilement accessible que le bouton d’acceptation.
3. Préciser les finalités poursuivies par les cookies : il est obligatoire de préciser les finalités poursuivies par les cookies, comme la personnalisation de la navigation ou la diffusion de publicités ciblées.
4. Prévoir une durée de validité limitée : il est recommandé de limiter la durée de validité des cookies à une période raisonnable, en fonction de la finalité poursuivie.
5. Prévoir un moyen de retirer le consentement : il est recommandé de mettre en place un moyen pour que l’utilisateur puisse retirer son consentement à tout moment, par exemple en modifiant les paramètres de son navigateur ou en cliquant sur un lien de désinscription.

En suivant ces étapes, vous devriez être en mesure de respecter les règles du RGPD en matière d’utilisation de cookies et d’éviter de reproduire l’exemple de Microsoft Ireland Operations Limited. Il est cependant recommandé de consulter la CNIL ou un DPO comme DPO PARTAGE.

Contacter DPO PARTAGE au 01 83 64 42 98 pour toutes vos questions ou directement avec le tchat (en bas a gauche de votre écran) ou le Formulaire de contact

Devoirs d’information et de transparence Pour respecter le RGPD, vous devez également tenir vos devoirs d’information et de transparence vis-à-vis des participants à votre étude de marché.

Communiquez sur :

• L’identité et les coordonnées du responsable du traitement (la personne de votre entreprise qui décide de la finalité du traitement)
• Vos engagements en matière de protection des données personnelles
• Les destinataires des données collectées
• La durée de conservation des données
• Le caractère obligatoire ou facultatif des réponses
• L’existence de droits d’accès, de rectification et de suppression des données pour le participant pendant la durée de l’étude.

Ces informations doivent être facilement accessibles, dans un langage clair et intelligible. Pensez à inclure ces précisions dans les mentions légales de formulaire.

Externalisation des études à un sous-traitant Si vous externalisez vos enquêtes auprès d’un institut de sondage ou d’une société spécialisée, assurez-vous contractuellement qu’ils présentent des garanties suffisantes de conformité RGPD.

Exigez qu’ils s’engagent par contrat à :

• Traiter les données uniquement selon vos instructions
• Ne pas communiquer les données à d’autres tiers
• Supprimer les données une fois le service réalisé

Ce contrat doit prendre la forme d’un acte juridique contraignant. L’externalisation ne vous exempte pas de vos responsabilités en termes de protection des données personnelles.

Désigner un référent RGPD/DPO Pour montre votre engagement RGPD, vous pouvez désigner un référent interne en la matière ou avoir recours à un Délégué à la Protection des Données (DPO) externe. Celui-ci pourra valider vos procédures d’enquêtes, réaliser des audits RGPD et vous assister en cas de besoin.

Avec ces bonnes pratiques, vous mènerez des études de marché utiles tout en protégeant efficacement les données personnelles des participants ! N’hésitez pas à contacter notre équipe de DPO externalisés pour plus d’accompagnement.