C’est exact, c’est (malheureusement) ce que je fais maintenant.
Je suis vraiment curieux de savoir comment vous avez lu ce document alors. Je veux dire, 3.2 Cookies d’authentification l’explique assez clairement :
Les cookies d’authentification sont utilisés pour identifier l’utilisateur une fois qu’il s’est connecté (exemple : sur un site web bancaire en ligne). Ces cookies sont nécessaires pour permettre aux utilisateurs de s’authentifier lors de visites successives sur le site web et d’accéder à du contenu autorisé, tel que la consultation du solde de leur compte, des transactions, etc. Les cookies d’authentification sont généralement des cookies de session. L’utilisation de cookies persistants est également possible mais ils ne doivent pas être considérés comme identiques, comme discuté ci-dessous.
Reconnaît la nécessité des cookies d’authentification (notez, pas des cookies techniques nommés). Indique explicitement que la durée de vie de ces cookies, c’est-à-dire session vs persistants, implique qu’ils doivent être traités différemment.
Lorsqu’un utilisateur se connecte, il demande explicitement l’accès au contenu ou à la fonctionnalité à laquelle il est autorisé. Sans l’utilisation d’un jeton d’authentification stocké dans un cookie, l’utilisateur devrait fournir un nom d’utilisateur/mot de passe à chaque requête de page. Par conséquent, cette fonctionnalité d’authentification est une partie essentielle du service de la société de l’information qu’il demande explicitement. À ce titre, ces cookies sont exemptés en vertu du CRITÈRE B.
Cependant, il est important de noter que l’utilisateur n’a demandé que l’accès au site et à des fonctionnalités spécifiques pour effectuer la tâche requise. L’acte d’authentification ne doit pas être considéré comme une opportunité d’utiliser le cookie à d’autres fins secondaires telles que la surveillance comportementale ou la publicité sans consentement.
Se connecter signifie que l’utilisateur a donné son consentement pour être connecté, et non pour d’autres types d’utilisation de données via des cookies d’authentification définis.
Les cookies de connexion persistants qui stockent un jeton d’authentification entre les sessions du navigateur ne sont pas exemptés en vertu du CRITÈRE B. C’est une distinction importante car l’utilisateur peut ne pas être immédiatement conscient du fait que la fermeture du navigateur n’effacera pas ses paramètres d’authentification. Il peut revenir sur le site web en supposant qu’il est anonyme alors qu’en fait, il est toujours connecté au service. La méthode couramment observée consistant à utiliser une case à cocher et une simple note d’information telle que « se souvenir de moi (utilise des cookies) » à côté du formulaire de soumission serait un moyen approprié d’obtenir le consentement, annulant ainsi la nécessité d’appliquer une exemption dans ce cas.
Le CRITÈRE B étant :
le cookie est « strictement nécessaire pour que le fournisseur d’un service de la société de l’information explicitement demandé par l’abonné ou l’utilisateur fournisse le service ».
Ainsi, l’utilisateur doit donner son consentement avant que les cookies d’authentification persistants puissent être définis. Raison : vous ne pouvez pas vous attendre à ce qu’un utilisateur connaisse les implications de l’authentification persistante par défaut.
Oui, la législation est diffuse et complexe, avec de nombreuses mises à jour différentes sur près de deux décennies. Et même les sites officiels de l’UE que j’ai consultés semblent très désordonnés en ce qui concerne la manière dont ils gèrent les cookies et leurs politiques déclarées.