Cookies strictement nécessaires
Les cookies strictement nécessaires sont les cookies sans lesquels un service expressément demandé par l’utilisateur ne peut pas fonctionner, comme une session de connexion ou un panier, et ils sont exemptés de l’obligation de consentement.L’article 5, paragraphe 3 de la directive ePrivacy prévoit deux exemptions au consentement : le stockage ou l’accès qui a pour seule finalité d’effectuer la transmission d’une communication, et le stockage ou l’accès strictement nécessaire à un service de la société de l’information expressément demandé par l’utilisateur. Les cookies du second groupe sont ceux que les bandeaux appellent nécessaires.
Le critère est étroit. L’avis 04/2012 du groupe de travail « Article 29 » admet les cookies de saisie utilisateur (un panier, un formulaire), les cookies de session d’authentification, les cookies de sécurité (par exemple contre les échecs de connexion répétés), les cookies de session de lecteur multimédia, les cookies d’équilibrage de charge, et le cookie qui stocke le choix de consentement du visiteur. Il n’admet pas les cookies de mesure d’audience ou de publicité, même quand le propriétaire du site les considère comme essentiels à son activité. Être interne ou avoir une courte durée de vie ne rend pas un cookie nécessaire ; c’est sa finalité qui le fait.
Les cookies nécessaires doivent tout de même être déclarés. La politique de cookies les liste avec leur finalité et leur durée de vie, et le bandeau affiche la catégorie comme toujours active, sans interrupteur. Certaines lois utilisent la notion plus largement : l’ANPD brésilienne accepte l’intérêt légitime pour les cookies strictement nécessaires. Si un cookie de cette catégorie sert à autre chose, par exemple à reconnaître un visiteur qui revient à des fins marketing, l’exemption ne s’applique plus. La checklist d’audit des cookies aide à les trier.