Cookies et RGPD : quelles règles respecter pour être en conformité ?
En France, les cookies et autres traceurs sont encadrés de près, car ils permettent de suivre la navigation et de collecter des informations sur l’utilisateur. Pour un site web, la question n’est donc pas seulement technique, elle touche aussi au droit, au consentement et à la transparence. Voici comment comprendre les règles et les appliquer sans confusion.
En résumé :
Informer l’utilisateur avant tout dépôt et proposer un consentement granulaire garantit la conformité CNIL/RGPD tout en préservant l’expérience de navigation.
- Informez clairement, par finalité, dès l’arrivée sur le site (bannière ou écran de gestion des préférences).
- Séparez les finalités (statistiques, publicité, réseaux sociaux) pour un consentement spécifique et traçable.
- Rendez le refus aussi simple que l’acceptation, et offrez un accès visible pour retirer ou modifier le consentement à tout moment.
- N’activez aucun traceur non exempté avant obtention du consentement et conservez une preuve des choix (logs, horodatage).
- Auditez régulièrement les implémentations et vérifiez que les outils tiers respectent les préférences déclarées.
Qu’est-ce qu’un cookie ? Définitions et cadre légal en France
Un cookie est un petit fichier déposé sur le terminal d’un internaute lors de sa navigation. Il peut enregistrer des informations sur la visite, les préférences, les choix de langue ou encore le comportement sur le site. Dans un sens plus large, on parle aussi de traceurs, un terme qui regroupe les cookies, les identifiants publicitaires, certains SDK et d’autres technologies de suivi.
Selon leur usage, on distingue plusieurs catégories, comme les cookies de session, les cookies persistants, les cookies techniques, les cookies analytiques ou les cookies publicitaires. Certains servent au bon fonctionnement du service demandé, d’autres à mesurer l’audience, personnaliser une offre ou afficher de la publicité ciblée.
Le cadre juridique français repose sur l’article 82 de la loi Informatique et Libertés, qui transpose l’article 5.3 de la directive ePrivacy. Le principe général est simple, aucune lecture ni écriture de cookies non exemptés ne doit intervenir avant le consentement de l’utilisateur. La CNIL précise régulièrement cette règle dans ses recommandations et ses lignes directrices, afin d’aider les éditeurs à s’aligner sur les exigences en vigueur.
Le RGPD vient renforcer cet encadrement, notamment sur la qualité du consentement. En pratique, l’ePrivacy traite la question des cookies et des traceurs, tandis que le RGPD complète l’analyse dès lors que des données personnelles sont en jeu. Les deux textes se croisent donc souvent dans une même démarche de conformité.
Les règles à respecter pour le consentement
Le consentement doit être recueilli avant tout dépôt ou toute lecture de cookies qui ne bénéficient pas d’une exemption. Cela signifie qu’un site ne peut pas attendre après la navigation pour demander l’accord, ni activer par défaut des traceurs de mesure ou de ciblage. La logique est celle du choix préalable, pas celle de l’acceptation implicite.
L’information doit aussi être claire avant la décision. L’utilisateur doit comprendre, pour chaque finalité, ce qui est collecté, à quoi cela sert et qui en bénéficie. Un message trop vague, qui mélange statistique, publicité et réseaux sociaux, ne permet pas un consentement éclairé.
La validité du consentement repose sur un acte positif. Un clic sur un bouton, une case à cocher ou un paramètre explicite peut convenir, mais le simple fait de scroller, de continuer la navigation ou de fermer une bannière ne suffit pas. La CNIL rappelle que le consentement doit être univoque, donc déduit d’une action claire, et non d’un comportement ambigu.
Le refus doit être aussi simple que l’acceptation. Si un bouton “Accepter” est visible, le bouton “Refuser” ou le lien d’opposition doit l’être tout autant, sans détour ni manipulation d’interface. L’utilisateur doit aussi pouvoir retirer son consentement à tout moment, grâce à des paramètres accessibles et conservés de manière visible sur le site.
Le refus ne doit pas entraîner d’inconvénient significatif. Un internaute ne doit pas être sanctionné, bloqué artificiellement ou poussé à accepter par une pression excessive. La liberté du choix dépend aussi de cet équilibre entre acceptation, refus et retrait.
Mise en conformité d’un site web : étapes et bonnes pratiques
La première étape consiste à informer l’utilisateur avant tout dépôt de cookies ou traceurs, sauf pour les dispositifs exemptés. En pratique, cela passe par une bannière, un module d’information ou un écran de gestion des préférences qui s’affiche dès l’arrivée sur le site. L’objectif est de rendre la décision possible avant toute activation.
Il faut ensuite distinguer les traceurs soumis au consentement préalable de ceux qui peuvent être exemptés. Les cookies strictement nécessaires à la fourniture d’un service demandé par l’utilisateur, comme la conservation d’un panier ou l’authentification sécurisée, n’entrent pas dans la même logique que les cookies de profilage, de publicité ciblée, d’analyse d’audience non essentielle ou de réseaux sociaux.
La granularité du consentement est un point de vigilance majeur. L’utilisateur doit pouvoir accepter ou refuser séparément les finalités, par exemple les statistiques, la publicité ou les réseaux sociaux. Un consentement global, qui regroupe tout en un seul bouton, réduit la lisibilité et complique la preuve du choix réel.
La gestion des préférences doit rester visible et constamment accessible. Un lien, une icône ou un module dédié doit permettre de modifier les paramètres à tout moment, sans devoir chercher dans plusieurs pages du site. Cette possibilité de retrait ou d’ajustement fait partie de la conformité attendue.
Pour structurer la vérification, il est utile de comparer les catégories de traceurs et leurs exigences. Voici un repère simple.
| Catégorie de traceur | Finalité fréquente | Consentement préalable |
|---|---|---|
| Cookie technique | Fonctionnement du site, sécurité, session | Non, s’il est strictement nécessaire |
| Cookie analytique | Mesure d’audience, statistiques | Oui, sauf exemption encadrée |
| Cookie publicitaire | Affichage d’annonces ciblées | Oui |
| Cookie réseaux sociaux | Partage, interaction, suivi social | Oui, dans la plupart des cas |
La CNIL recommande aussi des contrôles réguliers et des audits internes. Cela permet de vérifier que les outils de consentement fonctionnent réellement, que les traceurs ne se déclenchent pas trop tôt et que les préférences enregistrées sont bien respectées. Une mise en conformité ne tient pas seulement au bandeau d’accueil, mais à l’ensemble du parcours utilisateur.
Recommandations, lignes directrices et position de la CNIL
La CNIL publie des lignes directrices, des recommandations et des réponses aux questions fréquentes sur les cookies et autres traceurs. Ces ressources servent de repère pour comprendre les attentes actuelles, notamment sur l’affichage des boutons, la preuve du consentement et les conditions du refus. Elles sont régulièrement mises à jour pour tenir compte des usages et des décisions récentes.
Sa position est nette, le consentement au titre d’ePrivacy doit présenter les mêmes caractéristiques que celui prévu par le RGPD. Il doit donc être libre, spécifique, éclairé et univoque. Cette convergence évite de séparer artificiellement le droit des traceurs et le droit des données personnelles, alors que les deux sujets se rencontrent dans la plupart des parcours web.
La CNIL rappelle aussi qu’un consentement ne peut pas être déduit d’une simple navigation. Le défilement de page, le swipe ou la poursuite de consultation ne valent pas accord. Cette précision est importante, car elle interdit les mécanismes d’acceptation passive qui brouillent la volonté réelle de l’utilisateur.
En cas de non-conformité, la CNIL peut sanctionner les pratiques contraires aux règles applicables. Elle met aussi à disposition des outils d’accompagnement, des fiches et une FAQ pour aider les responsables de site à corriger leurs dispositifs. Pour un éditeur, ces ressources sont utiles afin de vérifier la cohérence entre le discours affiché et la configuration technique réelle.
Erreurs fréquentes et points de vigilance
Plusieurs erreurs reviennent souvent dans la gestion des cookies. La première consiste à considérer le scroll, le swipe ou la poursuite de navigation comme un consentement valide. La seconde est de déposer ou de lire des cookies avant d’avoir obtenu l’accord, alors qu’ils ne sont pas exemptés.
Une autre erreur fréquente concerne l’absence de granularité. Lorsqu’un site mélange statistiques, publicité et réseaux sociaux dans un seul bloc de consentement, l’utilisateur ne peut pas choisir finement. Enfin, rendre le refus plus difficile que l’acceptation reste une mauvaise pratique, car elle fausse le libre choix.
Les cookies de ciblage publicitaire demandent une attention particulière. Dès lors qu’ils servent à constituer un profil ou à diffuser de la publicité ciblée, le consentement préalable s’impose, sans interprétation généreuse. Même si le traitement ne paraît pas sensible au premier regard, la logique de suivi suffit à déclencher l’exigence de recueil.
Pour rester à jour, il est judicieux d’utiliser les outils d’autoévaluation proposés par la CNIL et de suivre ses publications. Cela permet de détecter les écarts plus tôt, de documenter les choix techniques et de sécuriser les parcours de consentement. En matière de cookies, la conformité repose autant sur la rigueur juridique que sur la qualité de l’implémentation.
En résumé, la bonne gestion des cookies repose sur trois piliers, informer clairement, recueillir un consentement réel, puis offrir un refus et un retrait simples à tout moment.
