Cookie

En informatique, un cookie (mot anglais, au pluriel « cookies ») est un Fichier texte de taille réduite stocké sur le Matériel Informatique de l’internaute à l’occasion de sa connexion à un site sur L’Internet.
Ses utilisations pendant et après la session connectée sont multiples (stockage du panier d’achat en cours de constitution sur un site marchand, identification de l’utilisateur et traçage de la navigation pour réutilisation lors d’une connexion ultérieure, stockage des paramètres de préférences personnelles de l’utilisateur, etc.), mais leur existence et le détail de leurs utilisations finales restent généralement obscurs pour les internautes concernés.

Histoire rapide des cookies

Le terme cookie vient de ces petits gâteaux secs chinois dans lesquels on trouve un texte sibyllin, résultat d’une traduction approximative et le plus souvent incompréhensible (en anglais « magic cookie », en français gâteau magique). Il avait été repris par les informaticiens pour désigner un petit texte codé sans signification évidente passé par un programme à un autre.

L’idée des fichiers « magic cookies » dont le nom a été raccourci en « cookies » a été reprise en juin 1994 par une équipe de développeurs de l’entreprise américaine Netscape Communications pour désigner un fichier caché qu’utilisait une application de commerce en ligne et qui stockait localement sur le matériel du client la situation d’un panier d’achats en cours de constitution. La toute première utilisation des cookies était de pallier les pertes d’informations lors d’interruptions de connexions.

L’usage des cookies a été intégré dans la version d’Internet Explorer 2 commercialisée en fin 1995. Cachée pendant un temps aux internautes, leur existence a été révélée en 1996 par le Financial Times soulevant un tollé chez les utilisateurs. Les Cookies suggèrent depuis la crainte. Ils sont suspectés d’être au service du profilage des utilisateurs et de l’intrusion des « big brothers » numériques dans leur vie privée.

Il n’y a pas de traduction probante de cookie en français. Citons cependant témoin de connexion (que les Québécois abrègent en témoin).

Pour une présentation détaillée du fonctionnement des cookies, se référer à l’article Wikipedia Cookie_ (informatique),

Faut-il craindre les cookies ?
Depuis 2014, une majorité de sites a pris l’habitude d’alerter sur la présence de cookies et propose même d’exclure leur utilisation, au risque d’une navigation moins conviviale pour l’internaute.

Mais les cookies sont toujours un risque d’intrusion dans la vie privée de l’Internaute. Les navigateurs offrent cependant la possibilité de les supprimer facilement voire de paramétrer leur blocage. Les navigateurs récents incluent une option de suppression automatique des cookies à la fermeture de la session.

Leur assimilation aux Virus Informatiques est cependant une erreur fréquente en ce sens où les cookies ne propagent pas de programmes sournois.

Que dit le RGPD des cookies ?

Le terme « cookies » n’est mentionné qu’une seule fois dans le Règlement Général Européen sur la Protection des Données (RGPD) dans son article 30 :
« Les personnes physiques peuvent se voir associer […] des identifiants en ligne tels que des adresses IP et des témoins de connexion (“cookies”) ou d’autres identifiants […]. Ces identifiants peuvent laisser des traces qui, notamment lorsqu’elles sont combinées aux identifiants uniques et à d’autres informations reçues par les serveurs, peuvent servir à créer des profils de personnes physiques et à identifier ces personnes. »

L’article 26 précise que toute information pouvant être utilisée pour identifier directement ou indirectement un individu est considérée comme donnée personnelle.

Le RGPD considère donc que les entreprises qui organisent une collecte des cookies à des fins d’analyse des données personnelles relatives aux utilisateurs des sites qu’elles proposent devront interrompre cette pratique ou, pour le moins, justifier cette collecte par une raison légitime. La légitimité de la collecte des cookies en référence à un consentement (implicite ou par non-usage de l’opt-out [désinscription]) sera beaucoup plus difficile à faire valoir devant les tribunaux européens.

La Conférence sur la Conformité de la Protection des Données de 2016 précise ses conclusions telles que décrites par la loi Cookie :

• Le consentement implicite lié au simple accès à un site n’est plus suffisant. Le consentement doit être exprimé par une confirmation explicite intégrée au Logiciel (fonctionnalité « soft opt-in » qui consiste par exemple à cocher une case d’acceptation ou à sélectionner des paramètres de préférences via un menu de configuration) en réponse à une demande claire d’autoriser l’usage des données collectées.
• Pour les mêmes raisons, les messages tels qu’« en utilisant ce site, vous acceptez notre politique de cookies » ne sont pas non plus suffisants. La validation du consentement exige une prise de décision légitime et libre. La possibilité d’accepter ou non les cookies doit être obligatoirement proposée.
• Le consentement n’a de valeur que si la possibilité de le retirer existe, facilement accessible et aisée).
• Pour être en conformité avec le RGPD, tout site doit avoir proposé explicitement à ses utilisateurs existants soit directement une acceptation explicite des cookies, soit une demande préalable de désinscription (« opt-out ») puis d’acceptation.
  Si la validation du consentement se fait par sélection de cases à cocher dans un menu de paramétrage, les utilisateurs doivent pouvoir réaccéder à ce menu avec possibilité de retourner à ce menu avec, il va de soi, la possibilité de modifier la sélection initiale de leurs préférences.

Commentaires additionnels :
À cookie, super cookie ! Le journal en ligne le Monde.fr (du 7.11.2014 à 19 h 42) indiquait que « la navigation sur l’Internet des dizaines de millions de possesseurs de smartphones abonnés à l’opérateur de téléphonie mobile « Verizon Wireless »,le principal opérateur aux États-Unis avait été systématiquement pistée et mémorisée. Le procédé utilisé par Verizon est imparable : à chaque fois qu’un mobile envoie une adresse Internet pour se connecter à un site, l’opérateur y ajoute un code, unique et universel, baptisé X-UIDH ».
Le UIDH (acronyme de « Unique Identifier Header » ou UIDH) est un identifiant numérique unique d’environ 50 lettres, chiffres et symboles qui donne au FAI la possibilité technique de tracer le détail de la navigation d’un internaute sur l’Internet et d’établir un profilage de ses clients avec une tout autre efficacité qu’un cookie : il ne peut être ni détecté ni effacé puisqu’il ne réside pas dans le Matériel Informatique de l’internaute ;« … cet identifiant permet de pister un abonné quand il utilise un navigateur Internet (Safari, Chrome, etc.), mais aussi quand il passe par une application pour mobile, ce qui n’est pas le cas avec les cookies. À terme, en croisant les données de connexion, on pourra sans doute suivre un utilisateur quand il change d’appareil — téléphone, tablette, ordinateur portable… »