Consentement cookies : ce que recouvre le choix de l’internaute
Lorsqu’un site mémorise une session, mesure une audience ou personnalise une publicité, il peut lire ou enregistrer des informations sur le terminal. Ces opérations concernent les cookies classiques, mais aussi certains pixels, stockages locaux et autres traceurs.
En France, l’article 82 de la loi Informatique et Libertés encadre ces opérations, en application des règles européennes dites ePrivacy. Le RGPD encadre, pour sa part, les traitements de données personnelles qui peuvent en découler : les deux textes se complètent.
Quels traceurs nécessitent un accord préalable ?
Selon la CNIL, un traceur non essentiel ne doit pas être déposé ni lu avant que la personne ait exprimé son choix. Faire défiler une page, poursuivre la navigation en ligne ou ne pas répondre au bandeau cookies ne constitue pas un accord valable.
Les traceurs publicitaires, de profilage et de remarketing nécessitent généralement un consentement préalable. L’éditeur doit également considérer la finalité réelle du traceur : son nom technique, à lui seul, ne suffit pas à justifier une exemption.
Quelles exemptions restent possibles ?
Certains traceurs sont nécessaires au service expressément demandé. Il peut s’agir d’un identifiant de session pour maintenir une connexion, d’un cookie de panier d’achat ou d’un mécanisme indispensable à la sécurité.
La mesure d’audience peut aussi être exemptée dans des conditions strictes, notamment lorsque les statistiques sont anonymes, limitées aux besoins de l’éditeur et non recoupées avec d’autres données. Selon la CNIL, l’exemption dépend de ces conditions concrètes, et non de l’outil choisi.
Les catégories de traceurs déterminent donc la manière de présenter les choix et de les appliquer.
Repères pour classer les traceurs :
- Session et authentification : exemption possible si elles sont nécessaires au service
- Panier et sécurité : exemption limitée à leur fonction indispensable
- Mesure d’audience : exemption soumise à des garanties strictes
- Publicité et profilage : consentement préalable généralement requis
Recueil du consentement : les règles d’un choix libre et compréhensible
Une fois les finalités identifiées, le recueil du consentement doit permettre à chacun de décider sans pression. L’interface ne peut pas favoriser artificiellement l’acceptation en rendant le refus plus difficile ou moins visible.
Un choix par finalité, avec un refus accessible
Selon le RGPD, le consentement doit être libre, spécifique, éclairé et univoque. En pratique, l’internaute doit pouvoir accepter certaines catégories et en refuser d’autres, par exemple autoriser la personnalisation tout en refusant le suivi publicitaire.
Le bouton de refus doit être aussi facile à trouver et à utiliser que celui d’acceptation. Un bandeau qui propose un accord immédiat, mais dissimule le refus derrière plusieurs écrans, risque de compromettre la liberté du choix.
Options à rendre visibles sur le bandeau :
- Acceptation ou refus des traceurs non essentiels
- Réglage séparé des finalités principales
- Accès aux informations sur les fournisseurs concernés
- Ouverture d’un espace de préférences de confidentialité
Informer avant de solliciter l’accord
L’information doit décrire les finalités, les responsables concernés, les destinataires et la durée de conservation, ou les critères utilisés pour la déterminer. Lorsque des transferts hors de l’Union européenne existent, leur présence et les garanties applicables doivent aussi être expliquées.
Une formule générale comme « ce site utilise des cookies » ne permet pas de comprendre les usages. Selon la CNIL, l’information doit être claire et accessible avant le choix, avec un accès facile aux détails complémentaires.
Un mécanisme de retrait doit rester disponible après le premier choix. L’internaute doit pouvoir revenir sur sa décision sans chercher un contact caché ou recommencer un parcours disproportionné.
Gestion des cookies : appliquer les préférences sans délai
Un choix correctement recueilli n’a de valeur que si le site le respecte techniquement. La gestion des cookies doit donc bloquer les traceurs concernés avant l’accord, puis n’activer que les catégories acceptées.
Comparer les catégories et les traitements
Le tableau ci-dessous distingue les cas courants. Il s’agit de repères : chaque éditeur doit vérifier la nécessité du traceur et la configuration réelle de ses outils.
| Catégorie | Exemple d’usage | Règle générale |
|---|---|---|
| Fonctionnement essentiel | Connexion ou panier | Exemption possible si le traceur est strictement nécessaire |
| Sécurité | Protection d’une session | Exemption possible si la fonction est indispensable |
| Mesure d’audience | Statistiques de fréquentation | Consentement requis, sauf exemption sous conditions strictes |
| Publicité personnalisée | Profilage ou remarketing | Consentement préalable généralement requis |
Le nom d’un fournisseur ne garantit pas la conformité. Il faut examiner les réglages, les destinataires des données et les éventuels recoupements, puis vérifier le comportement des pages réellement visitées.
Tester le parcours et conserver une preuve
Un contrôle simple consiste à ouvrir le site dans une fenêtre privée, sans toucher au bandeau, puis à inspecter les traceurs présents. La présence d’un traceur non essentiel avant tout accord indique un problème à examiner.
Le responsable doit aussi pouvoir démontrer le choix exprimé : catégories acceptées ou refusées, date et version de l’interface. Les journaux doivent rester proportionnés et protégés, car ils peuvent eux-mêmes contenir des données personnelles.
Vérifications techniques à intégrer :
- Blocage des scripts non essentiels avant l’accord
- Application immédiate du refus dans chaque catégorie
- Conservation maîtrisée des préférences exprimées
- Test des pages, formulaires et outils intégrés
Durée du choix et preuve du consentement cookies
La validité pratique du consentement dépend aussi de la manière dont le site mémorise les préférences. Une sollicitation répétée à chaque visite peut fatiguer l’internaute et réduire la portée de son choix initial.
Conserver les préférences sans les figer
La CNIL recommande généralement de conserver le choix pendant six mois avant de le redemander. Cette durée concerne aussi bien l’acceptation que le refus ; elle constitue un repère de bonne pratique, et non une autorisation de conserver indéfiniment les autres données.
Une modification importante des finalités ou des fournisseurs peut toutefois justifier une nouvelle demande. Le site doit alors expliquer ce qui a changé et solliciter un accord adapté, plutôt que traiter un ancien choix comme une permission générale.
Gestion de la durée des préférences :
- Enregistrement de la date et des catégories choisies
- Conservation du refus pour éviter les sollicitations répétées
- Nouvelle demande en cas de changement substantiel des usages
- Accès permanent à un moyen de modification ou de retrait
Répartir les responsabilités entre éditeur et fournisseur
Une plateforme de gestion du consentement peut faciliter l’interface, mais elle ne remplace pas les vérifications de l’éditeur. Celui-ci reste responsable de ses choix de configuration et des traceurs activés sur son site.
La même vigilance s’applique aux outils analytiques, publicitaires, aux modules de conversation et aux services intégrés. Un inventaire régulier permet de repérer un script ajouté lors d’une mise à jour ou sur une page secondaire, sans apparaître dans le parcours principal.
La conformité repose ainsi sur une chaîne cohérente : information compréhensible, choix équilibré, blocage préalable et preuve documentée.
Protection de la vie privée : intégrer les autres obligations RGPD
Le consentement cookies ne couvre pas tous les traitements d’un site. Un formulaire de contact, une newsletter ou un outil de relation client doit avoir ses propres finalités, informations et bases légales.
Relier chaque collecte à une finalité précise
Un formulaire de demande de renseignements ne nécessite pas automatiquement une case de consentement pour répondre à la demande. En revanche, l’inscription à des communications commerciales doit faire l’objet d’un choix distinct, facultatif et non précoché.
La politique de confidentialité doit expliquer les finalités, les destinataires, les durées de conservation et les modalités d’exercice des droits. Les mentions légales demeurent distinctes, et les contrats avec les sous-traitants doivent encadrer les traitements réalisés pour le compte de l’éditeur.
Organiser les contrôles dans la durée
Un audit périodique peut vérifier les traceurs actifs, les durées, les transferts éventuels et la cohérence entre l’interface et les scripts chargés. Pour une boutique en ligne, il faut aussi inspecter les pages produits et le paiement, où peuvent intervenir des outils distincts.
Selon la CNIL, le respect des règles repose sur des choix effectifs, et non sur la seule présence d’un bandeau. Une gestion des cookies bien conçue protège la vie privée tout en rendant les préférences de l’internaute réellement applicables.
Source : CNIL, « Cookies et traceurs : que dit la loi ? » ; Règlement général sur la protection des données, articles 4 et 7 ; Loi Informatique et Libertés, article 82.
