Cookie interne
Un cookie interne (first-party) est déposé par le domaine affiché dans la barre d’adresse du navigateur, de sorte que seul ce site (et les scripts qui s’y exécutent) peut le lire.Un cookie interne appartient au site que vous visitez : un identifiant de session sur shop.example, le cookie qui enregistre votre choix de consentement, ou le cookie _ga que Google Analytics écrit sur le domaine du site lui-même. Les navigateurs traitent les cookies internes comme le cas normal et ne les bloquent pas par défaut, ce qui explique pourquoi la plupart des éditeurs d’outils de mesure d’audience sont passés aux cookies internes quand les cookies tiers ont commencé à disparaître.
Être interne ne dit rien sur la nécessité d’un consentement. La directive ePrivacy regarde la finalité, pas le domaine : un cookie interne de mesure d’audience ou de publicité exige toujours un consentement préalable, sauf s’il est strictement nécessaire à un service demandé par le visiteur. Un identifiant interne qu’un script envoie à une plateforme publicitaire dans une requête est aussi une forme de partage de données, et en Californie ce transfert peut compter comme un partage à des fins de publicité comportementale intercontextuelle.
En pratique, les cookies internes couvrent l’essentiel de la catégorie nécessaire (connexion, panier, sécurité, stockage du consentement) et une bonne partie de la mesure d’audience. Le scan qui alimente un bandeau de consentement doit les lister avec leur finalité et leur durée de vie, car ce sont souvent ceux qu’un propriétaire de site oublie de documenter. Voir cookies internes et cookies tiers pour le point de vue du navigateur.