Décision de justice : les données de cookies peuvent constituer des données personnelles sensibles au sens du RGPD

Une décision de justice a établi que les données collectées via des cookies peuvent constituer des données personnelles sensibles au sens du RGPD lorsqu'elles peuvent être utilisées pour déduire des informations sur la santé, les opinions politiques, l'orientation sexuelle ou d'autres catégories protégées. Cela relève considérablement le seuil de conformité pour l'analytique et la publicité basées sur les cookies.

Le raisonnement juridique

Le RGPD définit des catégories spéciales de données sensibles comprenant les informations de santé, les opinions politiques, les croyances religieuses et l'orientation sexuelle. Traditionnellement, ces catégories étaient interprétées de manière restrictive. La décision a élargi cette interprétation : si des données peuvent être utilisées pour déduire des informations sensibles -- même si ce n'était pas l'objectif initial de la collecte -- elles doivent être traitées comme des données sensibles.

Pourquoi les données de cookies sont concernées

L'historique de navigation collecté via les cookies révèle inévitablement des informations sensibles. Un utilisateur visitant des sites liés à la santé, des pages de partis politiques ou des organisations religieuses génère des données à partir desquelles des inférences sensibles peuvent être tirées. Puisque l'analytique basée sur les cookies collecte les schémas de navigation à grande échelle, la probabilité que tout ensemble de données contienne des inférences sensibles est extrêmement élevée.

Implications en matière de conformité

Le traitement de données sensibles au titre du RGPD nécessite un consentement explicite -- un standard plus élevé que le consentement ordinaire. Il peut également déclencher des analyses d'impact relatives à la protection des données (AIPD) obligatoires. La plupart des mécanismes de consentement aux cookies n'atteignent pas le seuil du consentement explicite, et la plupart des organisations n'ont pas réalisé d'AIPD pour leurs implémentations analytiques.

Ce qu'il faut retenir

Cette décision rend la position de conformité de l'analytique basée sur les cookies considérablement plus précaire. Les organisations qui évitent de collecter des données de navigation -- grâce à une analytique sans cookies et respectueuse de la vie privée -- ne sont pas affectées car elles ne créent jamais d'ensembles de données à partir desquels des inférences sensibles pourraient être tirées.