Maîtriser les outils

Les mineurs sont l'objet de recommandations particulières du point de vue de la collecte de données personnelles

• par la CNIL (Cnil, délibération n° 2005-47, 22 mars 2005, portant avis sur un projet de Code de déontologie présenté par le syndicat national de la communication directe électronique ; délibération n° 2005-51 du 30 mars 2005, portant avis sur un projet de Code de conduite présenté par l'UFMD sur l'utilisation des coordonnées électroniques à des fins de prospection directe.),

• par le BVP (BVP, recommandation, 13 mai 2005),

• et d'études du FDI (FDI, rapport du 4 juin 2008)

De manière plus globale, le Code de la consommation prévoit des règles strictes en matière de publicité et de « prospection » par voie électronique.

Selon les dispositions de l'article 34-5 du CPCE, «  la prospection directe consiste à promouvoir directement ou indirectement des biens et des services ou l'image d'une personne vendant des biens ou fournissant des services ». La collecte des données des Internautes doit être loyale.

Les sites de commerce en ligne demandent fréquemment aux internautes de remplir des formulaires comportant des rubriques comportant des données personnelles : noms, prénoms, adresses, adresses de courriers électroniques, etc.). Ces documents tantôt facultatifs, tantôt obligatoires permettent évidemment de recueillir des données à caractères personnel. Les fournisseurs d'accès à Internet et les sociétés exploitant les moteurs de recherche utilisent également des techniques de « traçage » des utilisateurs. Ces collectes risquent de porter atteinte à la vie privée, et sont considérées comme des traitements de données nominatives et comme telles soumises de formalités déclaratives. En cas de violation des règles, des peines de cinq ans d'emprisonnement et de 300000 euros d'amende sont prévues par l'article 226-16 du Code pénal.

Consulter les informations de la CNIL sur les « cookies ».

Les « cookies » ou « témoins » mettent en place une traçabilité des consultations de l'Internaute sur la toile. La légitimité et l'utilité des « cookies » ou « témoins » (gain de temps pour l'internaute à l'occasion d'une nouvelle « visite » sur un site ont été admises par la directive n° 95/46/CE du 24 octobre 1995 « à la condition que les utilisateurs se voient donner des informations claires et précises ». Cf. : Cass. crim., 3 novembre 1987, n° 87-83429

La CNIL a énuméré les informations qu'il convient de communiquer à l'internaute relativement aux « cookies » ou « témoins » : (durée, objet, etc.) dans un guide pratique destiné au créateur de site Internet ?

L'internaute doit être en mesure de refuser les « cookies » et de les supprimer. L'utilisation de cookies sans information préalable de l'internaute constitue une infraction pénalement réprimée par les dispositions de l'article 226-18 du Code pénal.

L'ordonnance n° 2011-1012 du 24 août 2011 a transposé avec quelques mois de retard la Directive n° 2009/136/CE du 25 novembre 2009 (modifiant la Directive n° 2002/58/CE du 12 juillet 2002 au terme de laquelle le régime applicable aux cookies est passé d'un régime d'« opt-out » à un régime d'« opt-in ». Selon le nouveau texte : « tout abonné ou utilisateur d'un service de communication électronique doit être informé par le responsable du traitement de manière claire et complète, (sauf s'il l'a déjà été au préalable) de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ; des moyens dont il dispose pour s'y opposer ». Par voie de conséquence, l'accord préalable à l'installation de cookies sur les ordinateurs est nécessaire désormais alors que, par le passé, il n'était possible que de réagir a posteriori, spécialement en procédant à leur suppression. L'installation des cookies est conditionnée par l'acceptation expresse des internautes. L'accord pourra être réputé avoir été fourni dès lors que l'utilisateur a procédé à un paramétrage de son dispositif de connexion par lequel il accepte l'installation de cookies et l'accès à ces derniers : l'accord peut donc résulter des paramètres appropriés du dispositif de connexion placé sous son contrôle de l'internaute. Toutefois, il n'est pas certain que le dispositif soit très efficace en pratique, car les informations relatives à l'acceptation des cookies des sites de commerce en ligne sont généralement peu visibles. En outre, l'autorisation n'est pas nécessaire lorsque l'accès aux informations stockées ou l'inscription d'informations dans l'équipement terminal de l'internaute a pour seule  finalité de permettre ou de faciliter la communication par voie électronique, ou quand il est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur.

Des « logiciels espions », ou d'autres techniques, en évolution permanente, permettent carrément la collecte automatique des adresses électroniques sur des sites Internet. Un logiciel censé avertir, à l'insu du destinataire qu'un mail a bien été lu, a été qualifié de « courriel espion » par la CNIL et comme tel contraire aux dispositions de la loi du 6 janvier 1978 dite « informatique et liberté », dans un communiqué officiel du 22 juin 2004.

Les techniques de collecte de données ne sont loyales que si elles sont effectuées avec l'accord de l'intéressé, dans le cas où elles sont déloyales elles peuvent justifier une action de la victime de la collecte illégale d'une action sur le fondement de l'article 9 du Code civil.

Une collecte déloyale expose son auteur aux peines prévues par l'article 226-18 du Code pénal (cinq ans d'emprisonnement et 300000 euros d'amende). L'article 323-1 du Code pénal sanctionne également par deux ans d'emprisonnement et de 30000 euros d'amende, la collecte de données non autorisées au titre d'un accès ou d'un maintien frauduleux dans un système de traitement automatisé de données.

Le fait d'identifier à l'insu de personnes physiques, des adresses électroniques sur l'espace public d'Internet et de les utiliser, même sans les enregistrer dans un fichier, pour adresser ensuite des messages électroniques, a été considéré par la Cour de cassation (Cass. crim., 14 mars 2006, n°05-83423^[1]) comme une collecte de données nominatives et comme tel réprimé sur le fondement de l'article 226-18 du Code pénal.