Rédiger une politique de cookies (avec une structure à copier)

Une politique de cookies est la page qui explique, en mots simples, ce que votre site stocke sur l’appareil du visiteur, pourquoi, pour combien de temps, qui d’autre reçoit les données, et comment le visiteur peut accepter, refuser ou changer d’avis. Elle a besoin d’un tableau des cookies réellement déposés, d’une description de chaque finalité, du nom des tiers et d’un chemin de retour vers les préférences. Ce n’est pas le même document que la politique de confidentialité, même si les deux se renvoient l’une à l’autre, et elle ne vaut que par l’inventaire dont elle est tirée.

Ce que la loi vous oblige à dire

L’article 5, paragraphe 3 de la directive ePrivacy n’autorise le stockage sur l’appareil qu’après que l’utilisateur « a reçu une information claire et complète » sur les finalités. L’article 13 du RGPD ajoute l’identité du responsable de traitement, la base légale, les destinataires, la durée de conservation, les droits et le droit de retirer son consentement. La Cour de justice a jugé dans l’arrêt Planet49 (1er octobre 2019) que l’information doit inclure la durée de fonctionnement des cookies et la possibilité pour des tiers d’y avoir accès.

Les recommandations nationales rendent cela concret. La recommandation de la CNIL demande que les visiteurs soient informés des finalités et de l’identité de tous les acteurs utilisant des traceurs soumis au consentement, et qu’une liste à jour de ces acteurs soit disponible en permanence à un endroit facilement accessible du site. Les recommandations de l’ICO disent de nommer les tiers au premier niveau du bandeau ou de rendre leur identité accessible dans un second niveau clairement signalé, et de garder des demandes de consentement spécifiques à chaque finalité. Votre politique de cookies est l’endroit où vit la version complète de cette information ; le bandeau porte le résumé et le lien.

La structure

1. Qui nous sommes et ce que couvre cette page

Un paragraphe : le nom de l’entreprise et son contact, les sites auxquels la politique s’applique, la date de la dernière mise à jour. Précisez que la page couvre les cookies et les technologies similaires (local storage, pixels, SDK), parce que les règles le font.

2. Ce que sont les cookies et les traceurs

Deux ou trois phrases qu’un lecteur non technique peut suivre. Cookie interne contre cookie tiers, cookie de session contre cookie persistant. Restez court ; personne ne vient sur cette page pour un cours.

3. Les catégories que vous utilisez

Décrivez chaque catégorie et ce à quoi elle sert sur votre site :

• Nécessaires : ce sans quoi le site ne peut pas fonctionner (session, panier, sécurité, le choix de consentement). Aucun consentement n’est demandé pour ceux-là, et la politique doit dire pourquoi chacun est nécessaire.
• Fonctionnels : les préférences et les contenus embarqués que le visiteur peut activer.
• Mesure d’audience : statistiques de fréquentation, cartes de chaleur, tests A/B, en nommant l’outil.
• Marketing : pixels publicitaires et de réseaux sociaux, en nommant chaque fournisseur.

4. Le tableau des cookies

C’est le cœur de la page. Une ligne par cookie ou entrée de stockage :

Ajoutez une colonne indiquant où vont les données si un fournisseur est hors de l’EEE, ou traitez les transferts dans une section à part. Construisez le tableau à partir d’un audit, pas de mémoire : la checklist d’audit cookies explique comment relever la vraie liste.

5. Comment accepter, refuser et changer de choix

Dites que le bandeau propose « Tout accepter » et « Tout refuser », que refuser ne garde que les cookies nécessaires, et comment rouvrir les préférences plus tard : un lien dans le pied de page, une icône, ou une phrase comme « Ouvrir les préférences de cookies » qui déclenche le centre de préférences. Dites que retirer son consentement est aussi simple que le donner et ce qu’il advient des données collectées avant le retrait.

6. Combien de temps nous mémorisons votre choix

Indiquez la période pendant laquelle le choix est conservé avant que le bandeau soit affiché de nouveau. La CNIL considère six mois comme une bonne pratique, pour le consentement comme pour le refus ; l’ICO suggère les mêmes six mois avant de solliciter de nouveau quelqu’un qui a refusé.

7. Tiers et transferts

Listez les fournisseurs qui reçoivent des données, le pays où ils les traitent, et la garantie utilisée pour les transferts hors de l’EEE (une décision d’adéquation, des clauses contractuelles types). Renvoyez vers la politique de confidentialité de chaque fournisseur.

8. Vos droits et comment nous contacter

Accès, rectification, effacement, opposition, le droit d’introduire une réclamation auprès de l’autorité de contrôle, et le contact pour les demandes. Renvoyez vers la politique de confidentialité pour la version complète.

9. Modifications

La date de la version, et une phrase indiquant que le tableau est mis à jour après chaque scan ou changement d’outil.

Conseils de rédaction

• Écrivez pour le visiteur, pas pour le régulateur. Des phrases courtes, des finalités concrètes (« compte les visites et les pages consultées » plutôt que « optimise votre expérience »).
• N’appelez pas nécessaire quelque chose parce qu’il vous est utile. La CNIL a infligé 750 000 € d’amende à Condé Nast en novembre 2025, en partie pour avoir présenté des cookies comme strictement nécessaires sans information utile sur leurs finalités.
• Publiez la politique dans chaque langue utilisée par votre bandeau. Un visiteur français qui lit un bandeau en français doit arriver sur une politique en français.
• Gardez la politique en phase avec le site. Un tableau qui liste un outil que vous avez retiré, ou oublie un outil que vous avez ajouté, est un constat dans un audit.

En générer une à partir d’un scan

Écrire le tableau à la main est la partie lente. Cookiequiet génère une politique de cookies, une politique de confidentialité et des conditions d’utilisation à partir d’un questionnaire prérempli par son scan, avec le tableau des cookies et la liste des sous-traitants remplis d’après ce que le scan a trouvé, en français et en anglais, hébergées à une URL stable ou copiées en Markdown et en HTML. Le générateur de politique de cookies explique le questionnaire. Le résultat est un modèle rédigé pour le RGPD, le UK GDPR, les règles ePrivacy, le CCPA/CPRA, la LGPD et la LPD suisse ; c’est un point de départ à lire et à adapter, pas un conseil juridique, et chaque page générée le dit.