Bandeau cookies : quand est-il obligatoire ?

Qu'est-ce qu'un cookie, et pourquoi une règle à part ?

Un cookie est un petit fichier déposé par un site dans le navigateur du visiteur, qui permet de le reconnaître d'une page ou d'une visite à l'autre. La règle ne vise pas seulement les cookies au sens strict : elle couvre tous les traceurs, c'est-à-dire toutes les techniques qui lisent ou enregistrent des informations sur l'appareil de l'utilisateur.

Ces traceurs ont des usages très différents. Certains sont indispensables, comme celui qui garde en mémoire le contenu d'un panier. D'autres servent à mesurer l'audience, à personnaliser des publicités ou à suivre la navigation d'un site à l'autre. C'est pour ces derniers que la loi exige l'accord préalable du visiteur.

En France, cette règle découle d'une directive européenne dite ePrivacy et de la loi Informatique et Libertés. La CNIL, l'autorité de protection des données, publie des lignes directrices et des recommandations qui précisent comment l'appliquer. C'est la source de référence à consulter.

Ce sujet complète vos obligations au titre du RGPD, présentées dans l'article RGPD et site internet. Les principes ci-dessous sont généraux : faites valider votre configuration par un professionnel si vous avez un doute.

Dans quels cas faut-il recueillir le consentement ?

Il faut le consentement du visiteur, avant tout dépôt, pour chaque traceur qui n'est pas strictement nécessaire au service qu'il demande. En pratique, cela concerne notamment :

• les outils de publicité et de ciblage, comme les pixels des réseaux sociaux ou des régies publicitaires ;
• les outils de statistiques qui ne respectent pas les conditions d'exemption, par exemple parce qu'ils croisent les données avec d'autres services ou les utilisent à d'autres fins ;
• les boutons de partage des réseaux sociaux qui suivent les visiteurs ;
• certains contenus intégrés depuis d'autres sites, comme des vidéos ou des cartes, lorsqu'ils déposent leurs propres traceurs.

Le mot important est avant. Un site qui charge ses outils publicitaires dès l'arrivée du visiteur, puis affiche un bandeau, ne respecte pas la règle, même si le bandeau est parfait. Les traceurs concernés doivent attendre le clic sur Accepter.

Quels cookies sont dispensés de consentement ?

Les traceurs strictement nécessaires au fonctionnement du site ou au service expressément demandé par le visiteur sont exemptés. Vous devez tout de même en informer les visiteurs, généralement dans votre politique de confidentialité ou une page dédiée.

Relèvent en principe de cette catégorie :

• le cookie qui conserve le panier d'une boutique en ligne ;
• le cookie de connexion à un espace client ;
• le cookie qui retient le choix du visiteur sur les cookies eux-mêmes ;
• certains cookies techniques de sécurité ou de répartition de charge entre serveurs.

Certains outils de mesure d'audience peuvent aussi être exemptés, à des conditions strictes définies par la CNIL : ils doivent servir uniquement à produire des statistiques anonymes pour le compte du site, sans suivre les personnes ailleurs ni croiser les données. La CNIL tient à jour des informations sur les solutions et réglages concernés. Vérifiez précisément la configuration de votre outil avant de considérer qu'il est exempté.

Peut-on avoir un site sans bandeau cookies ?

Oui, et c'est souvent le meilleur choix pour un site vitrine. Si votre site n'utilise que des traceurs exemptés, aucun bandeau de consentement n'est nécessaire : une information dans la politique de confidentialité suffit.

Pour y parvenir, il faut faire des choix conscients :

1. Choisir un outil de statistiques respectueux, configuré pour entrer dans le cadre de l'exemption, plutôt qu'un outil publicitaire complet dont vous n'utilisez qu'une petite partie.
2. Remplacer les boutons de partage par de simples liens vers vos profils, qui ne déposent rien.
3. Charger les vidéos et les cartes au clic : on affiche une image d'aperçu, et le contenu externe ne se charge que si le visiteur le demande, en l'informant. Les principaux services de vidéo proposent aussi des modes de lecture plus discrets.
4. Faire l'inventaire régulièrement, car un outil ajouté plus tard peut tout changer.

En contrepartie, vous renoncez au ciblage publicitaire fin et à certaines statistiques détaillées. Pour beaucoup de TPE, ce n'est pas une perte réelle : savoir combien de personnes visitent chaque page et d'où elles viennent suffit largement.

Prenons l'exemple d'un cabinet de kinésithérapie dont le site affiche une vidéo de présentation, un plan d'accès et un compteur de visites. En remplaçant le lecteur vidéo par un aperçu à cliquer, la carte par une image avec un lien vers le service de cartographie, et l'outil de statistiques par une solution configurée pour l'exemption, le site peut se passer de bandeau tout en gardant les mêmes services pour ses patients.

À quoi ressemble un bandeau conforme ?

Quand un bandeau est nécessaire, il doit permettre un vrai choix. La CNIL insiste sur le fait que refuser doit être aussi simple qu'accepter : si un bouton Tout accepter est visible au premier niveau, un bouton Tout refuser doit l'être aussi, avec la même facilité d'accès.

Quelques repères généraux, à vérifier dans les recommandations à jour de la CNIL :

• une information claire sur les finalités, c'est-à-dire à quoi servent les traceurs ;
• la possibilité de choisir finalité par finalité, par exemple accepter les statistiques mais refuser la publicité ;
• aucune case précochée ni consentement déduit de la poursuite de la navigation ;
• la possibilité de retirer son consentement à tout moment, par exemple via un lien permanent en pied de page ;
• la conservation d'une preuve du consentement.

Évitez les astuces de présentation qui poussent à accepter : bouton Refuser grisé, caché dans un second écran ou rédigé de façon ambiguë. Elles sont précisément ce que les autorités reprochent le plus souvent.

Faut-il un outil spécialisé pour gérer les cookies ?

Si vous avez besoin d'un bandeau, un outil de gestion du consentement est généralement la solution la plus fiable. Ces plateformes, souvent appelées CMP, affichent le bandeau, bloquent les traceurs jusqu'au choix du visiteur, enregistrent les preuves et redemandent l'accord le moment venu.

L'outil ne fait pas tout : il faut le configurer correctement et vérifier que les traceurs sont vraiment bloqués avant le consentement. Un test simple consiste à ouvrir votre site en navigation privée, sans rien cliquer, et à regarder dans les outils du navigateur quels cookies ont été déposés. Si des cookies publicitaires apparaissent déjà, la configuration est à revoir.

La vitesse compte aussi. Certains bandeaux pèsent lourd et ralentissent l'affichage, ce qui touche l'expérience des visiteurs. L'article sur la vitesse de chargement explique pourquoi chaque script ajouté a un coût.

Comment OSEOO traite-t-il la question des cookies ?

Les sites que nous livrons sont construits avec Next.js, hébergés sur Vercel, et le code appartient au client. Cela permet de savoir précisément quels outils tiers y sont intégrés, et donc quels traceurs peuvent être déposés. Nous ne délivrons pas d'avis juridique : la validation de votre configuration relève d'un professionnel du droit.

Pour découvrir ce que comprend la création d'un site chez nous, consultez la page création de site.