Beaucoup de sites affichent un bandeau cookies par réflexe, sans trop savoir s’il est vraiment nécessaire. Certains l’affichent alors qu’ils pourraient s’en passer. D’autres pensent y échapper alors que leurs outils de mesure ou leurs boutons de réseaux sociaux l’exigent.
En réalité, le consentement n’est obligatoire que pour certains traceurs. La différence tient à ce que fait le cookie, pas à la taille du site qui le dépose : pour un commerce d’Hyères ou une entreprise du Var, la question se pose dans les mêmes termes que pour un grand site marchand.
Pourquoi le consentement est-il la règle ?
Le principe vient du droit européen sur la vie privée dans les communications électroniques, transposé en droit français à l’article 82 de la loi Informatique et Libertés : stocker une information sur l’appareil d’un visiteur, ou lire une information déjà stockée, suppose son accord préalable (CNIL, Cookies et traceurs : que dit la loi ?). Cet accord doit être « libre, spécifique, éclairé, univoque » : poursuivre sa navigation sans répondre ne vaut pas consentement (CNIL, Cookies et traceurs : que dit la loi ?).
Quels cookies n’ont jamais besoin d’un bandeau ?
La loi prévoit une exception, mais la CNIL rappelle qu’elle « doit être interprétée strictement » (CNIL, Questions-réponses sur les lignes directrices modificatives et la recommandation « cookies et autres traceurs »). Elle cite elle-même des exemples qui n’ont jamais besoin d’un bandeau : les traceurs d’authentification, ceux qui gardent le contenu d’un panier d’achat, et ceux qui retiennent le choix exprimé par le visiteur sur les cookies eux-mêmes (CNIL, Cookies et traceurs : que dit la loi ?).
Et la mesure d’audience, comme Google Analytics ?
Pas automatiquement, mais elle peut l’être « dans une certaine limite », selon la CNIL (CNIL, Questions-réponses sur les lignes directrices modificatives et la recommandation « cookies et autres traceurs »). Quatre conditions doivent toutes être réunies : le traceur sert uniquement à mesurer l’audience du site, pour le compte exclusif de l’éditeur ; il ne produit que des statistiques anonymes ; il ne permet pas de suivre le même visiteur d’un site ou d’une application à l’autre ; ses données ne sont ni recoupées avec un autre traitement, ni transmises à un tiers (même source).
La CNIL a longtemps tenu une liste des solutions reconnues conformes. Elle l’a remplacée par un outil où ce sont les fournisseurs eux-mêmes qui évaluent si leur solution peut être réglée pour respecter l’exemption (même source). Un éditeur de site qui installe un outil de mesure doit malgré tout pouvoir démontrer, de son côté, que ces quatre conditions sont réellement respectées une fois l’outil configuré (même source) : la seule promesse commerciale d’un fournisseur ne suffit pas.
Et les cookies de publicité ou de réseaux sociaux ?
À l’inverse, ces usages restent systématiquement soumis à consentement, quelle que soit la taille du site. La CNIL cite nommément « les cookies liés aux opérations relatives à la publicité personnalisée » et « les cookies des réseaux sociaux, notamment générés par leurs boutons de partage » (CNIL, Cookies et traceurs : que dit la loi ?). Un simple bouton « Partager » posé sur une page suffit à déclencher l’obligation, même si le reste du site n’a besoin d’aucun cookie.
Que doit permettre un bandeau, quand il est nécessaire ?
La CNIL fixe une exigence simple à énoncer, moins simple à tenir : « l’utilisateur doit pouvoir accepter ou refuser le dépôt et/ou la lecture des cookies avec le même degré de simplicité », et le consentement « doit pouvoir être retiré simplement et à tout moment » (CNIL, Cookies et traceurs : que dit la loi ?). L’information, elle, doit être « visible, mise en évidence et complète », rédigée « en des termes simples et compréhensibles par tout utilisateur » (même source), avec si besoin deux niveaux : un résumé des finalités, puis le détail pour qui veut aller plus loin.
Par où commencer ?
Listez d’abord ce que votre site dépose vraiment : un outil de statistiques, un bouton social, une régie publicitaire, un formulaire. Choisir son agence web est aussi l’occasion de demander qui configure ces outils et qui en répond. Pour chacun, vérifiez auprès de son éditeur s’il respecte les quatre conditions de l’exemption « mesure d’audience » : c’est à vous de pouvoir le démontrer, pas à lui de le promettre dans sa brochure. Un site construit sobrement, sans module ajouté au fil des années, a d’emblée moins de traceurs à expliquer à ses visiteurs.
Cet article donne des repères, pas un avis juridique sur votre cas : pour une situation précise, le site de la CNIL reste la référence à consulter. Vous voulez un site qui pose moins de questions de ce genre ? Discutons-en.