Analyse web et loi allemande TTDSG

L’article 25 concerne l’accès au terminal de l’utilisateur. Les cookies ne sont qu’un moyen d’y accéder : d’autres technologies sont également visées, comme la lecture de variables système dans le navigateur à l’aide de JavaScript.

Le TTDSG exige un consentement pour les accès non nécessaires, qu’il s’agisse de cookies ou de la lecture d’une variable système. L’article 25, paragraphe 2, le précise dans une formulation plus longue et moins accessible aux non-juristes.

Auparavant, les règles de consentement de la loi allemande sur les télémédias concernaient les cookies de marketing et de profilage. Le TTDSG a rendu plus exigeant le comptage des visiteurs sans consentement.

Suivi et comptage des visiteurs

Le terme « tracking » n’a pas de définition unique. Il désigne généralement le suivi des utilisateurs d’une session et d’un site à l’autre. Google Analytics en est un exemple connu. Ce suivi invasif, mais aussi les cookies utilisés, nécessitent un consentement. Tu dois donc afficher une fenêtre de cookies aux visiteurs. Ces fenêtres ne sont pas seulement agaçantes : elles rendent souvent les sites non conformes, comme l’explique mon étude sur le Cookiegeddon.

Pour simplifier, cet article emploie aussi « tracking » pour le simple comptage des visiteurs. Il faut alors distinguer les utilisateurs entre eux, sans quoi on compte trop ou trop peu de visites. Compter deux fois un même visiteur unique parce qu’il ouvre deux pages successives fausse les statistiques. Compter deux personnes comme une seule parce qu’elles consultent la même page n’est pas plus précis.

Comment distinguer les utilisateurs ? Le protocole HTTP, utilisé pour charger les pages, est sans état : il ne garde pas le souvenir des requêtes précédentes. À lui seul, il ne reconnaît donc pas un visiteur qui revient. C’est comme si une personne sans mémoire prenait le même passant pour quelqu’un de nouveau à chaque rencontre.

Les cookies jouaient ce rôle de mémoire. Selon l’interprétation du TTDSG exposée ici, ils nécessitent un consentement même pour un simple comptage. La loi parle de ce qui est « strictement nécessaire ». Or les cookies de comptage ne le sont pas, pour deux raisons. D’abord, un nombre exact de visiteurs n’est pas indispensable : ce point se discute, mais l’interprétation stricte me paraît plus probable. Ensuite, on peut compter les visiteurs sans cookies. C’est ce second point qui nous intéresse.

Comment distinguer les utilisateurs entre eux ?

Si tu veux éviter une demande de consentement, les cookies ne sont pas une option.

Il est possible de distinguer les visiteurs sans cookies grâce aux métadonnées que leur navigateur envoie au site à chaque connexion HTTP.

Les techniciens parlent souvent de données de connexion ou de trafic. Les juristes peuvent donner un autre sens à ces termes. Nous utilisons donc ici le terme plus général de « métadonnées ».

Les métadonnées transmises lors d’une requête web comprennent notamment :

• Type et version du navigateur. Exemple : Mozilla Firefox version 95.3, sous-version 47.11
• Type et version du système d'exploitation. Exemple : Microsoft Windows 10, 64 bits
• Langue préférée. Exemple : allemand
• Adresse réseau (adresse IP)
• Réglage du cache
• Page demandée. Exemple : https://dr-dsgvo.de/
• L’heure de la requête. Elle n’est pas envoyée directement, mais le serveur sait quand la requête arrive.

Utiliser ces métadonnées pour distinguer les utilisateurs sans cookies s’appelle le fingerprinting du navigateur.

Le fingerprinting peut être affiné en recueillant des informations supplémentaires avec JavaScript, par exemple :

• Résolution de l'écran. Exemple : 1920×1080
• Taille de la fenêtre du navigateur. Exemple : 1788×910
• Exemple : 24 bits
• Fuseau horaire : Exemple : GMT+1

Ces données d’empreinte doivent être demandées explicitement. Les métadonnées précédentes, elles, arrivent avec la connexion et ne nécessitent pas de requête supplémentaire. À mon avis, la résolution d’écran n’est pas stockée dans le terminal, mais le TTDSG peut être interprété autrement. L’orientation portrait ou paysage d’un smartphone illustre mon raisonnement : elle change continuellement et n’a pas besoin d’être mémorisée. Au redémarrage, l’orientation de l’affichage dépend de la façon dont on tient le téléphone, pas de sa position avant l’arrêt.

Des techniques comme le canvas fingerprinting recueillent d’autres informations pour mieux distinguer les utilisateurs. En revanche, le fait que cette technique constitue un accès nécessitant un consentement est peu contesté.

L’approche la plus sûre juridiquement consiste à ne lire activement aucune métadonnée supplémentaire sur le terminal.

Le défi est de conserver une qualité de données suffisante pour compter correctement les visiteurs.

Compter les visiteurs sans consentement

Trackboxx montre qu’un suivi minimal peut fonctionner sans cookies ni accès au terminal, et donc sans consentement.

Trackboxx utilise uniquement les métadonnées déjà présentes à chaque requête de page. Il n’effectue pas d’accès supplémentaire au navigateur. Selon une lecture stricte du TTDSG, de tels accès supplémentaires nécessiteraient un consentement.

Trackboxx n’utilise pas de cookies, même de session, sauf configuration différente par le client. Un cookie limité à une session est moins intrusif qu’un cookie conservé pendant un mois : c’est sa durée de vie. Mais juridiquement, le TTDSG ne distingue pas les cookies de session des cookies persistants. Il distingue seulement les cookies ou accès nécessaires de ceux qui ne le sont pas.

Puisque Trackboxx n’effectue pas d’accès au terminal au sens du TTDSG, son utilisation ne nécessite pas de consentement au titre de cette loi.

RGPD et TTDSG

Le RGPD s’applique également. Ses exigences doivent être examinées après celles du TTDSG concernant les cookies et les autres accès au terminal. RGPD signifie « règlement général sur la protection des données ». En allemand, on utilise l’abréviation DS-GVO, souvent écrite DSGVO sans trait d’union dans les textes destinés au grand public.

Le RGPD couvre les données personnelles, y compris celles qui peuvent être rattachées à une personne. Pouvoir distinguer un utilisateur d’un autre peut suffire. La Cour de justice de l’UE a reconnu en 2016 que les adresses IP peuvent constituer des données personnelles ; le Bundesgerichtshof allemand a confirmé cet arrêt en 2017.

On ne peut donc pas simplement enregistrer une adresse IP pour mieux compter les visiteurs. Selon cette interprétation de l’article 6 du RGPD, la conserver sans chiffrement nécessiterait probablement un consentement.

Pour éviter cette obligation, Trackboxx ne conserve pas les adresses IP elles-mêmes. Il les pseudonymise en les combinant avec d’autres valeurs.

Une clé à durée limitée est appliquée à la combinaison de l’adresse IP, de la version du navigateur, de celle du système d’exploitation et du jour en cours. La base Trackboxx ne contient donc aucune adresse IP. En théorie, une adresse ne pourrait être retrouvée à partir des données chiffrées que si le visiteur revenait le même jour. Ce serait inutile : la nouvelle requête fournit de nouveau son adresse IP. Cette approche respecte les exigences du RGPD décrites ici et fonde la conservation pseudonymisée sur l’intérêt légitime, l’une des bases légales prévues en plus du consentement.

Contrairement au consentement, l’intérêt légitime n’impose pas de fenêtre de cookies. Outre le confort des visiteurs, cela offre davantage de sécurité juridique : ces fenêtres sont soumises à de nombreuses exigences, notamment celles des articles 7 et 13 du RGPD. La demande doit par exemple indiquer où et comment retirer son consentement. Cette information obligatoire manque dans de nombreuses fenêtres.

Les adresses IP changent généralement avec le temps, apparemment moins souvent sur les connexions par câble que sur l’ADSL. Elles ne changent toutefois pas précisément au moment où quelqu’un ouvre un site. On peut donc très probablement reconnaître un visiteur au cours d’une journée. Dans les réseaux d’entreprise, les mises à jour centralisées rendent cette distinction plus difficile en uniformisant les versions des navigateurs et des systèmes. En pratique, cette imprécision a peu d’incidence.

Conclusion

Mesurer les visites et améliorer les contenus est possible sans cookies ni fenêtres intrusives et sujettes aux erreurs. Des outils comme Trackboxx proposent une solution respectueuse de la vie privée qui répond aux exigences du TTDSG et du RGPD décrites ici.

La qualité des données n’a pas à souffrir de l’absence de cookies. Outre l’incertitude juridique, les outils fondés sur les cookies ont une faiblesse : chacun peut les supprimer, manuellement ou avec des utilitaires comme CCleaner ou un antivirus. Effacer un cookie supprime la mémoire du traceur. Il ne fait alors pas mieux que Trackboxx, tout en nécessitant encore un consentement. Les réseaux d’entreprise ne lui donnent pas non plus d’avantage : les grandes organisations suppriment régulièrement les cookies des postes selon leurs politiques de sécurité.