GuiGui's Show

+ Questions-réponses sur les lignes directrices modificatives et la recommandation « cookies et autres traceurs » de la CNIL, point 10 :

Plus particulièrement, le responsable du traitement devra mettre à la disposition des utilisateurs un mécanisme lui permettant de s’opposer au traitement de ses données personnelles dès lors que le traitement est fondé sur l’intérêt légitime (article 6.1.f du RGPD). Ce mécanisme doit être aisément accessible afin de faciliter l’exercice des droits.

Soit le cookie ou traceur est soumis au consentement au titre de l'article 5(3) ePrivacy, et alors le traitement de données à caractère personnel (DCP) subséquent (sous-jacent) est basé, au sens RGPD, sur le consentement (et donc retrait de consentement), soit le cookie ou traceur est nécessaire à la communication électronique ou au service expressément demandé par l'utilisateur (article 5(3) ePrivacy et le traitement de DCP subséquent est basé, au sens du RGPD, sur l'intérêt légitime, donc opposition sauf motif impérieux (donc, en pratique, pas d'opposition sur un cookie destiné à l'équilibrage de charge ou à la sécurité, par ex., mais opposition sur de la mesure d'audience). (Sur le cumul e-Privacy / RGPD, lire ici).

Généralement, l'opposition est planquée dans la politique cookies ou dans la politique de confidentialité d'un site web. Sur celui de la CNIL, c'est simple, cela se trouve dans le « gestionnaire de cookies ».

On pourrait ajouter l'article 21(5) du RGPD :

Dans le cadre de l'utilisation de services de la société de l'information, et nonobstant la directive 2002/58/CE, la personne concernée peut exercer son droit d'opposition à l'aide de procédés automatisés utilisant des spécifications techniques.

Les « services de la société de l'information » sont définis à l'article premier de la directive UE 2015/1535. L'article 3 du DSA renvoie dessus :

tout service presté normalement contre rémunération, à distance, par voie électronique et à la demande individuelle d'un destinataire de services. […] Une liste indicative des services non visés par cette définition figure à l'annexe I;.

A priori, les services rémunérés par la publicité tombent dans la définition.

Donc, on pourrait aller jusqu'à une opposition automatisée avec des signaux techniques. En tout cas, en dehors de toute « situation particulière » (article 21(1) du RGPD), sinon pas d'automatisation possible.