Local storage
Le local storage est l’API Web Storage du navigateur, qui permet à un site de conserver des données clé-valeur sur l’appareil sans les envoyer avec chaque requête ; juridiquement, il est traité comme les cookies, parce qu’il stocke des informations sur l’équipement terminal de l’utilisateur.L’API Web Storage offre deux espaces de stockage par origine : localStorage, qui persiste jusqu’à suppression, et sessionStorage, qui dure le temps de l’onglet. Chacun contient environ 5 Mo de chaînes de caractères, bien plus que les cookies, et les données ne sont lisibles que par les scripts de la même origine et ne sont jamais jointes aux requêtes HTTP. IndexedDB et l’API Cache stockent encore davantage. Les sites s’en servent pour les préférences, les brouillons, les données hors ligne et, dans de nombreux outils de consentement, pour l’enregistrement du choix de cookies du visiteur.
Les scripts marketing et de mesure d’audience s’en servent aussi, pour conserver des identifiants qui survivent à l’effacement des cookies ou pour contourner les limites de durée de vie des cookies imposées par les navigateurs. Cet usage est réglementé exactement comme les cookies. L’article 5, paragraphe 3 de la directive ePrivacy parle de stocker des informations ou d’accéder à des informations stockées dans l’équipement terminal, pas de cookies, et les lignes directrices 2/2023 du CEPD (Comité européen de la protection des données) confirment que le local storage, IndexedDB et les mécanismes similaires sont couverts. Lire un identifiant dans le local storage à des fins publicitaires exige un consentement préalable ; stocker le choix de consentement lui-même est strictement nécessaire et exempté. Les recommandations de l’ICO sur les technologies de stockage et d’accès adoptent la même position pour le Royaume-Uni.
Un scan de cookies qui ne regarde que les en-têtes Set-Cookie manque donc une partie du tableau, et une politique de cookies devrait mentionner les stockages qu’un site utilise au-delà des cookies. Être « cookieless » est une affirmation technique, pas juridique : voir l’entrée cookie et la page directive ePrivacy.