Faut-il un bandeau cookies sur votre site ? Une réponse claire

Vous avez besoin d’un bandeau cookies si deux conditions sont réunies en même temps : votre site stocke ou lit sur l’appareil du visiteur quelque chose qui n’est pas strictement nécessaire au service qu’il a demandé (un cookie de mesure d’audience, un pixel publicitaire, un lecteur vidéo embarqué), et une partie de vos visiteurs se trouve dans un pays où la loi exige un consentement pour cela, ce qui inclut tous les pays de l’UE et de l’EEE ainsi que le Royaume-Uni, d’autres pays ayant leurs propres règles. Si votre site ne dépose que des cookies sans lesquels il ne peut pas fonctionner, le bandeau n’est pas nécessaire, mais vous devez quand même décrire ces cookies dans une politique.

D’où vient la règle

La règle est plus ancienne que le RGPD. L’article 5, paragraphe 3 de la directive ePrivacy (2002/58/CE, modifiée en 2009) dispose que le stockage d’informations, ou l’accès à des informations déjà stockées, dans l’équipement terminal d’un utilisateur n’est permis que si celui-ci a donné son consentement, après avoir reçu une information claire et complète. Les seules exceptions sont le stockage nécessaire à la transmission d’une communication et le stockage strictement nécessaire à la fourniture d’un service expressément demandé par l’utilisateur. Chaque pays de l’UE a transposé ce texte dans son droit national : c’est pourquoi la CNIL l’applique en France au titre de l’article 82 de la loi Informatique et Libertés, et l’ICO au Royaume-Uni au titre de l’article 6 (regulation 6) du PECR.

Le consentement lui-même est défini par le RGPD, article 4, point 11 : libre, spécifique, éclairé et univoque, exprimé par une déclaration ou par un acte positif clair. La Cour de justice de l’Union européenne a confirmé dans l’arrêt Planet49 (affaire C-673/17, 1er octobre 2019) qu’une case précochée ne vaut pas consentement, que cette règle s’applique que les informations stockées soient ou non des données personnelles, et que l’information donnée à l’utilisateur doit préciser la durée de fonctionnement des cookies et si des tiers peuvent y accéder.

Les lignes directrices 05/2020 du CEPD (Comité européen de la protection des données) sur le consentement, adoptées le 4 mai 2020, ferment deux portes qu’utilisaient les anciens bandeaux : faire défiler ou balayer une page « ne satisfait en aucun cas à l’exigence d’un acte positif clair », et conditionner l’accès à un site à l’acceptation des cookies (un cookie wall) ne produit pas un consentement libre.

Quand le bandeau n’est pas nécessaire

Vous n’avez pas besoin de bandeau quand tout ce que votre site stocke sur l’appareil est strictement nécessaire. Exemples typiques :

• un cookie de session qui maintient la connexion d’un visiteur ou conserve son panier ;
• le cookie qui mémorise le choix du visiteur en matière de cookies ;
• des cookies de sécurité servant à prévenir la fraude ou à répartir la charge ;
• une préférence définie explicitement par le visiteur, comme la langue choisie.

Deux exemptions plus étroites existent pour la mesure d’audience. En France, la CNIL exempte de consentement la mesure d’audience quand l’outil ne produit que des statistiques anonymes pour l’éditeur, sans suivi entre sites ni partage avec des tiers, selon des conditions expliquées dans notre article sur la mesure d’audience sans consentement. Au Royaume-Uni, les recommandations de l’ICO sur les technologies de stockage et d’accès décrivent une exception « à des fins statistiques » et une exception « d’apparence » : la seule finalité doit être la statistique ou l’adaptation de l’apparence du service, vous devez fournir une information claire et un moyen simple et gratuit de s’y opposer, et tout tiers impliqué doit être un sous-traitant, pas un responsable conjoint du traitement.

La publicité n’est jamais éligible. La formulation de l’ICO est sans détour : il n’existe « aucune finalité publicitaire qui relève de l’exception du strictement nécessaire ».

Un test rapide pour les outils courants

Si vous ne savez pas ce que votre site charge, ouvrez les outils de développement du navigateur dans une fenêtre de navigation privée vierge, regardez l’onglet Application pour les cookies et l’onglet Réseau pour les requêtes vers des tiers, ou lancez le scanner de cookies gratuit, qui liste les scripts, iframes et cookies de cinq pages au plus, sans compte.

Et les visiteurs hors d’Europe ?

Le modèle du consentement est européen. Le CCPA et le CPRA californiens reposent sur un modèle d’opposition (opt-out) : vous pouvez déposer des traceurs, mais vous devez proposer un lien « Do Not Sell or Share My Personal Information » (ne pas vendre ni partager mes informations personnelles) et respecter le signal Global Privacy Control. La LGPD brésilienne, la POPIA sud-africaine et la Loi 25 du Québec ont chacune leurs règles. Un site à l’audience mondiale affiche en général le bandeau de consentement seulement là où il est exigé, et un avis d’opposition dans les États américains dotés d’une loi sur la vie privée : c’est à cela que sert le ciblage géographique.

Ce qu’un bandeau doit faire pour compter

Un bandeau qui se contente d’informer ne suffit pas. Pour que le consentement soit valable, le bandeau doit :

1. bloquer chaque script et contenu embarqué non nécessaire jusqu’au choix du visiteur (un bandeau posé sur une page dont les pixels se sont déjà déclenchés est la première cause d’amende) ;
2. offrir un moyen de refuser aussi simple que le moyen d’accepter, c’est-à-dire en pratique un bouton « Tout refuser » dès le premier écran, à côté de « Tout accepter » ;
3. n’avoir aucune catégorie optionnelle précochée ;
4. expliquer les finalités, nommer les tiers et indiquer la durée de vie des cookies ;
5. permettre au visiteur de retirer son consentement plus tard, aussi facilement qu’il l’a donné ;
6. enregistrer chaque choix pour pouvoir le prouver.

Le détail de chaque point se trouve dans le guide sur le bouton Tout refuser et le guide sur le blocage des scripts.

Décider en pratique

La plupart des sites qui utilisent une mesure d’audience ou un contenu embarqué ont besoin du bandeau. La décision qui demande du jugement est le classement de chaque outil en « strictement nécessaire » ou non. Soyez strict : la task force « bandeaux cookies » du CEPD a relevé en janvier 2023 que beaucoup de sites qualifient d’« essentiels » des cookies dont les finalités n’ont rien d’essentiel, et que les propriétaires de sites sont responsables de tenir la liste de leurs cookies et de démontrer pourquoi chacun est essentiel.

Si vous concluez qu’un bandeau est nécessaire, l’installation est courte : une balise chargée avant tout le reste, des traceurs marqués pour qu’ils attendent le consentement, et une politique de cookies qui correspond à ce que fait vraiment le site. Cookiequiet le fait avec une offre gratuite pour un site, un bouton « Tout refuser » par défaut et un scanner qui remplit le tableau des cookies ; la page des tarifs donne le détail.