Le bandeau cookies est devenu incontournable, mais beaucoup de sites l'affichent encore de travers : bouton « Refuser » caché, cases précochées, traceurs déposés avant même que le visiteur ait choisi. Or la CNIL contrôle activement ces pratiques. Voici ce que dit la règle, simplement.
Cet article résume les lignes directrices et la recommandation publiées par la CNIL en 2020. Il ne remplace pas un conseil juridique adapté à votre situation.
Le principe : pas de traceur sans consentement
Un « cookie », ou plus largement un traceur, est un petit fichier ou identifiant déposé sur l'appareil du visiteur. La règle européenne est simple : les traceurs qui ne sont pas strictement nécessaires au fonctionnement du site ne peuvent être déposés qu'après le consentement du visiteur.
Sont généralement soumis au consentement :
- les outils de mesure d'audience qui ne respectent pas les conditions d'exemption ;
- le suivi publicitaire et les pixels des réseaux sociaux ;
- les vidéos et cartes intégrées depuis des services tiers, qui déposent leurs propres traceurs.
Sont exemptés de consentement :
- les traceurs indispensables au fonctionnement : panier d'achat, connexion à un compte, sécurité ;
- la mémorisation du choix du visiteur concernant les cookies ;
- certains outils de mesure d'audience, à des conditions strictes détaillées plus bas.
Ce que doit proposer le bandeau
Refuser doit être aussi simple qu'accepter
C'est le point le plus contrôlé. Si un bouton « Tout accepter » est visible dès le premier écran, un bouton « Tout refuser » doit l'être aussi, avec la même visibilité. Fermer le bandeau par une croix peut valoir refus. En décembre 2021, la CNIL a sanctionné Google à hauteur de 150 millions d'euros et Facebook à hauteur de 60 millions d'euros, notamment parce que refuser était plus compliqué qu'accepter.
Un consentement libre, éclairé et spécifique
- Le visiteur doit savoir à quoi servent les traceurs et qui les dépose.
- Il doit pouvoir choisir par finalité (mesure d'audience, publicité…).
- Aucune case ne doit être précochée.
- Continuer à naviguer ne vaut pas consentement.
Un choix modifiable à tout moment
Un lien permanent, souvent en bas de page, doit permettre de revenir sur son choix aussi facilement qu'il a été fait.
Des durées limitées
La CNIL recommande de conserver le choix du visiteur pendant 6 mois, puis de le lui redemander. Les traceurs eux-mêmes ne doivent pas dépasser 13 mois.
L'erreur la plus fréquente n'est pas le bandeau lui-même, mais ce qui se passe derrière : des scripts de mesure ou de publicité chargés avant tout clic du visiteur. Le bandeau est alors purement décoratif.
La mesure d'audience exemptée
Certains outils de statistiques peuvent être utilisés sans consentement, si leur configuration respecte les conditions de la CNIL : finalité strictement limitée à la mesure d'audience du site, données utilisées pour des statistiques anonymes, aucun recoupement avec d'autres traitements ni suivi sur d'autres sites, et durées de conservation limitées. La CNIL publie la liste des solutions qui peuvent être configurées de cette façon.
Et si mon site n'utilise aucun traceur ?
Alors aucun bandeau n'est nécessaire. C'est souvent la meilleure option pour un petit site vitrine : des polices et des scripts hébergés sur le site lui-même, pas de vidéo intégrée sans consentement, et une mesure d'audience exemptée. Vous devez quand même informer vos visiteurs dans votre politique de confidentialité.
La checklist
- Recenser tous les services tiers chargés par votre site.
- Bloquer tous les traceurs non exemptés tant que le visiteur n'a pas accepté.
- Afficher « Tout refuser » au même niveau que « Tout accepter ».
- Proposer un choix par finalité.
- Ajouter un lien permanent de gestion des cookies.
- Décrire la réalité dans la politique de confidentialité.
Tous les sites que nous livrons appliquent ces règles par défaut. Pour aller plus loin, consultez notre checklist des mentions légales et notre offre de création de site internet. La source officielle reste le site de la CNIL (nouvel onglet).
