Consentement aux cookies pour les liens courts : ce qu'exige l'UE

Avez-vous besoin d'une bannière de cookies pour un lien court ? Pour la redirection elle-même, non - une simple redirection 301 ou 302 qui ne stocke rien sur l'appareil est un service que l'utilisateur a demandé. Le consentement devient nécessaire dès que le lien court dépose ou lit un cookie non essentiel ou un identifiant d'appareil, pour le retargeting ou l'analyse intersite, car la directive ePrivacy exige ce consentement avant que le stockage n'ait lieu.

Cette seule phrase cache en réalité deux règles distinctes, que les marketeurs continuent de confondre. La directive ePrivacy régit le stockage ou la lecture de toute donnée sur l'appareil d'un utilisateur (la couche cookie). Le RGPD régit ce que vous faites ensuite de la donnée personnelle (la couche base légale). Un lien court peut déclencher l'une, les deux, ou aucune des deux, et c'est en sachant laquelle que l'on détermine si une bannière est légalement obligatoire ou simplement ajoutée à la page par pur mimétisme.

Cet article appartient au cluster conformité : les règles sont donc citées et les sources reliées pour que votre propre conseil juridique puisse les vérifier. Pour le cadre complet derrière tout cela - ce que le RGPD attend de tout raccourcisseur - l'article pilier RGPD pour les raccourcisseurs d'URL passe en revue les articles pertinents un par un.

La réponse courte pour les marketeurs et les DPO

Le consentement concerne le stockage sur l'appareil, pas le lien en tant que tel. Posez une seule question : le clic sur le lien court entraîne-t-il l'écriture ou la lecture de quelque chose dans le navigateur de l'utilisateur qui ne soit pas strictement nécessaire pour effectuer la redirection ?

• Si non - le clic se contente de résoudre une destination et, au plus, d'incrémenter un compteur côté serveur - il n'y a aucun déclencheur de consentement ePrivacy pour le raccourcisseur.
• Si oui - un cookie de suivi, un pixel, un identifiant de fingerprinting se déclenche lors du saut de redirection - le consentement est requis, et il doit intervenir avant le stockage.

Le RGPD ajoute ensuite une seconde question portant sur le journal de clics lui-même, qui contient presque toujours des données personnelles. Ces deux questions appellent des réponses différentes, et la suite de cet article les traite l'une après l'autre.

Quand un lien court n'a pas besoin de consentement

Une redirection qui ne dépose aucun cookie se situe du côté « strictement nécessaire » de la directive ePrivacy. L'article 5(3) de la directive 2002/58/CE exempte le stockage « strictement nécessaire afin de fournir un service de la société de l'information expressément demandé par l'abonné ou l'utilisateur ». Résoudre un lien que l'utilisateur a délibérément cliqué constitue précisément ce service. Aucune bannière n'est due pour ce saut de redirection.

La couche RGPD s'applique cependant toujours, car le journal de clics constitue une donnée personnelle. Chaque redirection peut enregistrer une adresse IP et un user agent, et la Cour de justice a jugé dans l'arrêt Breyer (C-582/14) qu'une adresse IP dynamique constitue une donnée personnelle pour quiconque est capable d'identifier la personne qui se trouve derrière. Il vous faut donc une base légale pour ce journal, et pour un comptage agrégé de clics, cette base est généralement l'intérêt légitime au titre de l'article 6(1)(f) - à condition d'avoir mené le test de mise en balance, minimisé ce que vous conservez, et fixé une fenêtre de rétention courte.

En pratique, cela signifie que vous pouvez compter les clics, voir quelle campagne les a générés, et rapporter la géographie au niveau du pays sans demander à personne d'accepter un cookie - tant que l'analyse reste agrégée et que les identifiants ne sont pas conçus pour isoler une personne en particulier. C'est la voie dans laquelle la majorité du suivi de liens devrait se situer, et c'est une grande partie de ce qui rend l'analyse de clics respectueuse de la vie privée réalisable.

Quand un lien court a réellement besoin de consentement

La bannière devient obligatoire dès l'instant où un cookie non essentiel ou un identifiant similaire est stocké. La Cour de justice a fixé la norme applicable à ce consentement dans l'arrêt Planet49 (C-673/17) : une case pré-cochée ne vaut pas consentement, et l'utilisateur doit accomplir un acte positif clair avant que le stockage n'ait lieu. Les lignes directrices de l'EDPB sur le consentement le resserrent encore davantage - le consentement doit être libre, spécifique, éclairé, et aussi facile à retirer qu'à donner.

Les liens courts créent ici un problème de timing particulièrement gênant. Si votre raccourcisseur dépose un cookie de retargeting sur son propre domaine de redirection, ce stockage a lieu pendant le saut, avant même que l'utilisateur n'atteigne votre site et votre bannière de consentement. Le cookie est déjà déposé au moment où votre plateforme de gestion du consentement se charge. Celui qui l'a déposé est responsable d'avoir obtenu un consentement valide, et dans cette architecture, personne n'en a collecté. Ce n'est pas un simple problème administratif, c'est un cookie déposé sans base légale - exactement le schéma que les régulateurs ont sanctionné par des amendes.

Donc, si un lien court fait l'une des choses suivantes, vous êtes en territoire de consentement et vous devez pouvoir le prouver :

1. Déposer un cookie de suivi ou de retargeting lors du clic.
2. Lire ou écrire une empreinte d'appareil (fingerprint) ou un identifiant persistant.
3. Déclencher un pixel publicitaire tiers via la redirection.
4. Construire un profil intersite de l'individu à des fins de ciblage publicitaire.

Consentement aux cookies vs base légale RGPD - deux couches distinctes

L'erreur que je constate le plus souvent consiste à traiter le fait d'avoir « une base légale au titre du RGPD » comme si cela réglait la question du cookie. Ce n'est pas le cas. Les deux règles se superposent, et celle de l'ePrivacy intervient en premier dans le temps.

La directive ePrivacy pose une question : avez-vous le droit de stocker ou de lire ceci sur l'appareil ? Pour tout ce qui n'est pas essentiel, la réponse n'est oui qu'avec un consentement préalable, et aucune base légale du RGPD ne peut se substituer à ce consentement. L'intérêt légitime ne peut pas autoriser le dépôt d'un cookie marketing - l'étape du stockage exige un consentement, quoi qu'il arrive. Ce n'est qu'une fois la question du stockage résolue que le RGPD pose la sienne : maintenant que vous détenez cette donnée personnelle, quelle est votre base légale pour la traiter, et avez-vous respecté les obligations de transparence, de rétention et de transfert qui l'entourent ?

Lues dans cet ordre, la plupart des configurations de suivi de liens se clarifient rapidement. Journalisation agrégée sans cookie : une seule couche (intérêt légitime RGPD), aucune bannière. Retargeting basé sur des cookies : les deux couches (consentement ePrivacy pour déposer le cookie, puis consentement RGPD comme base de traitement), bannière obligatoire, et elle doit apparaître en premier.

Si votre raccourcisseur actuel vous impose le second schéma alors que vous vouliez simplement de l'attribution de campagne, cela mérite d'être corrigé au niveau de l'outil plutôt que masqué derrière une bannière plus imposante. Elido garde son analyse de clics sans cookie et hébergée dans l'UE, afin que le cas courant reste dans la voie sans bannière.

Comment garder des liens courts légers en matière de consentement

Vous ne pouvez pas supprimer toutes les obligations - si vous faites du retargeting, vous devez recueillir un consentement, un point c'est tout. Mais vous pouvez garder le cas ordinaire simple et réduire la surface que doit couvrir une bannière.

• Privilégiez un raccourcisseur qui enregistre les clics côté serveur sans cookie sur le domaine de redirection, de sorte qu'il n'y ait rien à consentir lors du saut de redirection.
• Gardez une analyse agrégée. La géographie au niveau du pays et les comptages de campagne n'ont pas besoin d'isoler une personne ; les profils par utilisateur, si.
• Minimisez et raccourcissez. Tronquez ou hachez les adresses IP lorsque c'est possible, et fixez une fenêtre de rétention comptée en semaines, pas en années, appuyée sur un test de mise en balance documenté.
• Gardez les données dans l'UE. La résidence des données ne supprime pas la question du consentement, mais elle supprime l'analyse de transfert distincte qu'ajoute un raccourcisseur basé aux États-Unis - la faille que détaille l'article Bitly est-il conforme au RGPD, et la même raison pour laquelle Google Analytics soulève ses propres questions RGPD.
• Inscrivez une déclaration honnête dans votre politique de confidentialité : ce que la redirection enregistre, sur quelle base, et pendant combien de temps.

Rien de tout cela ne constitue un conseil juridique adapté à votre configuration spécifique, et un raccourcisseur qui se comporte bien n'exempte pas le site de destination de ses propres obligations en matière de cookies. Mais cela fait passer le raccourcisseur du statut de « fournisseur supplémentaire dont ma bannière doit tenir compte » à celui de « redirection qui enregistre un clic et s'arrête là ». Pour le volet résidence des données de cette même décision, la résidence des données dans l'UE pour le marketing et le comparatif des meilleurs raccourcisseurs d'URL de l'UE couvrent qui s'engage réellement à garder les données dans l'UE.

Lire la série pilier

Cet article appartient au cluster conformité. L'article pilier est RGPD pour les raccourcisseurs d'URL : ce que votre DPO veut vraiment voir - commencez par là pour le cadre article par article, puis utilisez la page de confiance et solutions/compliance comme documents destinés aux équipes achats.

À lire aussi sur le blog

• RGPD pour les raccourcisseurs d'URL : ce que votre DPO veut vraiment voir
• Bitly est-il conforme au RGPD ? La réponse honnête d'un DPO
• Google Analytics est-il conforme au RGPD ?
• Résidence des données dans l'UE pour les outils marketing : ce que votre DPO demande vraiment
• Les meilleurs raccourcisseurs d'URL de l'UE, classés selon leur posture de résidence des données