Cookie de session
Un cookie de session n’a pas de date d’expiration et est supprimé à la fin de la session du navigateur, de sorte qu’il ne dure que le temps d’une visite.Un cookie de session est déposé sans attribut Expires ni Max-Age. Le navigateur le garde en mémoire et l’efface à la fin de la session, en général à la fermeture du navigateur (certains navigateurs qui restaurent les onglets les conservent plus longtemps). Les sites utilisent les cookies de session pour relier les requêtes d’une même visite : l’état de connexion, le panier, un jeton CSRF, l’aiguillage par l’équilibreur de charge ou les étapes d’un formulaire.
La plupart des cookies de session relèvent de l’exemption pour stricte nécessité de la directive ePrivacy, parce que le visiteur a demandé le service qu’ils rendent possible. L’avis 04/2012 du groupe de travail « Article 29 » liste les cookies de session de saisie utilisateur, d’authentification, de sécurité, de lecteur multimédia et d’équilibrage de charge comme exemptés de consentement. Ils ont tout de même leur place dans la politique de cookies, pour que les visiteurs sachent qu’ils existent et pourquoi.
La durée de vie n’est pas ce qui décide du traitement juridique. Un cookie de session dont la finalité est de diffuser de la publicité ou de suivre le visiteur pour un tiers n’est pas strictement nécessaire et exige un consentement, si court soit-il ; un cookie persistant qui stocke le choix de consentement est exempté. Les outils de consentement classent donc les cookies par finalité et n’utilisent la durée de vie que comme information pour le visiteur.