Qu’est-ce qu’un cookie ou un traceur ?
Un cookie est un petit fichier texte déposé sur le terminal d’un utilisateur (ordinateur, smartphone, tablette) lorsqu’il visite un site internet. Il permet de conserver des informations d’une visite à l’autre : identifiant de connexion, panier d’achat, préférences d’affichage, etc.
Mais un cookie n’est qu’une des formes que peut prendre un traceur. On distingue plusieurs types de traceurs :
- les cookies classiques, stockés directement dans le navigateur ;
- les pixels espions, invisibles, souvent intégrés dans des e-mails ou des pages web ;
- les identifiants publicitaires utilisés pour le ciblage et la mesure publicitaire ;
- les techniques de fingerprinting, qui combinent plusieurs caractéristiques techniques d’un terminal pour reconnaître un utilisateur sans même déposer de cookie.
Toutes ces techniques ont un point commun : elles permettent de suivre une personne physique dans sa navigation, ce qui les fait entrer dans le champ des règles de protection des données.
Quel lien entre les cookies et le RGPD ?
En France, deux textes principaux encadrent l’utilisation des cookies : la directive ePrivacy, transposée dans la loi Informatique et Libertés, et le RGPD lui-même. La loi Informatique et Libertés fixe les règles spécifiques applicables aux cookies et traceurs, pendant que le RGPD encadre plus largement le traitement des données à caractère personnel dès lors qu’un cookie permet d’identifier, directement ou indirectement, une personne concernée.
Concrètement, cela veut dire que le responsable du traitement (l’éditeur du site) doit respecter les grands principes du RGPD : informer clairement les personnes concernées, recueillir un consentement valable lorsque c’est nécessaire, limiter la collecte de données au strict nécessaire, et permettre l’exercice des droits (accès, rectification, effacement, opposition, portabilité).
Quels cookies nécessitent le consentement de l’utilisateur ?
Tous les cookies ne se valent pas aux yeux de la CNIL. Certains sont soumis à un consentement préalable, d’autres non. Voyons d’abord ceux qui exigent l’accord explicite de la personne concernée.
Les cookies publicitaires
Les cookies utilisés à des fins de publicité personnalisée, de suivi du comportement de navigation ou de mesure publicitaire nécessitent toujours un consentement. Ils permettent souvent le profilage des utilisateurs à des fins de prospection commerciale, ce qui en fait une catégorie particulièrement sensible aux yeux de la CNIL et de l’autorité de contrôle.
Les cookies des réseaux sociaux et des services tiers
Les boutons de partage vers les réseaux sociaux, les vidéos intégrées (YouTube, Vimeo…) ou les contenus fournis par des prestataires extérieurs déposent fréquemment des traceurs pour leur propre compte. Ces cookies, déposés par des sous-traitants ou des tiers indépendants, sont eux aussi soumis au consentement, même si l’utilisateur ne clique jamais sur le bouton en question : le simple chargement de la ressource peut suffire à déclencher le dépôt du traceur.
Pourquoi le consentement doit-il être donné avant leur dépôt ?
C’est un principe fondamental : le consentement doit être recueilli avant que le cookie ne soit déposé sur le terminal de l’utilisateur, et non après. Un site qui dépose des cookies publicitaires dès l’arrivée sur la page, avant même que l’utilisateur ait pu faire un choix, n’est pas conforme. Ce principe du consentement préalable est l’un des points les plus contrôlés par la CNIL.
Quels cookies sont exemptés de consentement ?
À l’inverse, certains cookies peuvent être déposés sans demander l’accord de l’utilisateur, car ils sont indispensables au bon fonctionnement du site ou répondent à un intérêt légitime limité.
Les cookies strictement nécessaires au fonctionnement du site
Cette catégorie regroupe notamment :
- les cookies d’authentification, qui permettent de rester connecté à son compte ;
- les cookies de sécurité, utilisés pour détecter des tentatives de fraude ;
- les cookies liés à la gestion du panier d’achat sur un site e-commerce.
Sans ces cookies, le site ne pourrait tout simplement pas fonctionner correctement.
Les cookies liés aux préférences de l’utilisateur
Les cookies qui mémorisent le choix de langue ou une personnalisation nécessaire de l’interface (mode sombre, taille de police) sont également exemptés, à condition qu’ils restent strictement limités à cet usage.
Le cas particulier des cookies de mesure d’audience
C’est souvent là que les choses se compliquent. Certains outils de mesure d’audience peuvent être exemptés de consentement, mais uniquement sous des conditions précises fixées par la CNIL : les données collectées ne doivent pas être croisées avec d’autres traitements, ne pas permettre de suivre l’utilisateur sur plusieurs sites, et rester strictement limitées à une finalité statistique.
Attention cependant : tous les outils analytiques ne sont pas automatiquement exemptés. C’est notamment le cas de Google Analytics dans sa configuration standard, qui reste soumis au consentement dans la plupart des cas, faute de répondre à ces conditions.
Comment recueillir un consentement conforme au RGPD ?
Informer clairement l’utilisateur
Avant de demander un consentement, il faut informer les personnes concernées de manière claire sur :
- les finalités des cookies utilisés ;
- l’identité du responsable du traitement et de ses éventuels partenaires ou sous-traitants ;
- la durée de conservation des données collectées.
Cette information doit être rédigée dans un langage simple et compréhensible, accessible à toute personne physique, sans jargon juridique inutile.
Obtenir un consentement libre, spécifique, éclairé et univoque
Le RGPD est précis sur ce point : un consentement valable doit être libre, spécifique, éclairé et univoque. Cela implique une action positive claire de la part de l’utilisateur, comme cliquer sur un bouton « Accepter ». La simple poursuite de la navigation sur le site ne vaut en aucun cas consentement, contrairement à ce que l’on a longtemps pu voir sur certains sites.
L’utilisateur doit disposer d’un choix réel : il doit pouvoir dire oui, dire non, ou personnaliser ses préférences par finalité.
Permettre d’accepter et de refuser facilement
C’est un point sur lequel la CNIL est intransigeante : le bouton « Tout refuser » doit être aussi visible et accessible que le bouton « Tout accepter ». Les deux choix doivent bénéficier du même niveau de simplicité, en un seul clic. Toute interface conçue pour pousser l’utilisateur à accepter (bouton refus grisé, minuscule, caché dans un second niveau) relève des pratiques de design trompeuses, sanctionnées par la CNIL.
Comment créer un bandeau cookies conforme ?
Les informations essentielles à afficher
Un bandeau conforme doit présenter, dès le premier niveau :
- les finalités principales des cookies utilisés ;
- la possibilité d’accepter, de refuser, ou de personnaliser ses choix ;
- un accès facile vers des informations plus détaillées.
Comment organiser le premier et le second niveau d’information ?
Le premier niveau reste synthétique : il permet un choix rapide (tout accepter / tout refuser). Le second niveau, accessible via un lien ou un bouton « Personnaliser », offre une page ou un panneau plus détaillé, listant les catégories de cookies, les partenaires et prestataires concernés, ainsi que la possibilité de gérer ses préférences finalité par finalité.
Les erreurs à éviter
Plusieurs pratiques sont régulièrement pointées du doigt par la CNIL :
- les cases précochées pour les cookies non essentiels ;
- un bouton de refus difficile à trouver ou nécessitant plusieurs clics ;
- des cookies déposés avant même que l’utilisateur ait fait son choix ;
- des couleurs ou une mise en page volontairement déséquilibrées entre acceptation et refus.
L’utilisateur peut-il modifier ou retirer son consentement ?
Le droit de changer d’avis à tout moment
Le consentement n’est jamais figé. Une personne concernée peut retirer son consentement ou modifier ses préférences à tout moment, aussi facilement qu’elle les a données. C’est l’un des droits fondamentaux garantis par les règles de protection des données.
Comment rendre les paramètres facilement accessibles ?
En pratique, cela se traduit souvent par un lien « Gérer mes cookies » accessible en permanence depuis le pied de page du site, ou par un mécanisme équivalent (bouton flottant, lien dans le menu). L’utilisateur ne doit jamais avoir à chercher longtemps pour retrouver ses paramètres.
Combien de temps conserver le choix de l’utilisateur ?
La CNIL recommande une durée de conservation du choix de l’utilisateur d’environ 6 mois, au-delà de laquelle il est conseillé de redemander le consentement. Cette durée reste toutefois indicative : elle doit être adaptée au contexte du site et à la nature des traitements de données concernés.
Cookies et RGPD : les obligations des propriétaires de sites web
Être en conformité avec la législation ne s’arrête pas au bandeau cookies. Le responsable du traitement doit également :
- réaliser un inventaire précis de tous les cookies et traceurs présents sur le site ;
- identifier la finalité de chaque cookie et les acteurs concernés (partenaires, sous-traitants, prestataires de services) ;
- bloquer techniquement les traceurs soumis au consentement tant que l’accord n’a pas été donné ;
- conserver une preuve du consentement recueilli, pour pouvoir la présenter en cas de contrôle ou de réclamation auprès de la CNIL ;
- mettre régulièrement à jour la politique cookies et les outils utilisés, notamment lorsque de nouveaux traceurs tiers apparaissent ;
- vérifier périodiquement les traceurs réellement déposés par les services tiers intégrés au site, qui évoluent parfois sans que l’éditeur en soit informé.
Checklist : comment vérifier la conformité de son site ?
Pour vous aider à faire un point rapide, voici une checklist pratique :
- Identifier tous les cookies présents sur le site
- Distinguer les traceurs exemptés de ceux soumis au consentement
- Vérifier que les cookies non essentiels sont bien bloqués avant le consentement
- Afficher des choix clairs pour accepter ou refuser, avec le même niveau de simplicité
- Permettre la personnalisation des choix par finalité
- Donner accès à des informations détaillées sur les partenaires et durées de conservation
- Permettre de retirer son consentement facilement, à tout moment
- Conserver les éléments permettant de démontrer le recueil valable du consentement
Conclusion
Être en conformité avec le RGPD en matière de cookies ne relève pas d’une case à cocher une bonne fois pour toutes. Cela suppose d’informer clairement les personnes concernées, de recueillir un consentement réellement libre et éclairé, et de respecter à la lettre le principe du consentement préalable pour tous les traceurs qui ne sont pas strictement nécessaires.
Au fond, tout repose sur deux idées simples : la transparence envers l’utilisateur, et le contrôle réel qu’on lui laisse sur ses propres données. Un audit régulier des cookies et des services tiers présents sur le site reste le meilleur moyen de rester conforme dans la durée, à mesure que les outils et les partenaires évoluent.
