« Ce site utilise des cookies » : le bandeau est devenu si courant qu'on finit par le croire obligatoire partout. Ce n'est pas le cas. Tout dépend des cookies que votre site dépose réellement. Et quand un bandeau est nécessaire, la CNIL a des exigences précises sur sa forme.
La règle : consentement préalable, sauf exceptions
L'article 82 de la loi Informatique et Libertés, qui transpose la directive européenne « ePrivacy », encadre toute lecture ou écriture d'informations sur le terminal de l'internaute : cookies, mais aussi pixels, identifiants publicitaires ou empreintes techniques. Le principe est le consentement préalable, sauf pour deux catégories de traceurs :
- ceux qui ont pour finalité exclusive de permettre ou faciliter la communication ;
- ceux qui sont strictement nécessaires à un service expressément demandé par l'utilisateur.
Les cookies dispensés de consentement
La CNIL cite notamment comme exemptés :
- les cookies de panier d'achat et d'authentification ;
- ceux qui mémorisent un choix de l'utilisateur (langue, thème, refus des cookies) ;
- ceux qui servent à la sécurité ou à la répartition de charge ;
- certains cookies de mesure d'audience, à condition qu'ils servent uniquement à produire des statistiques anonymes, soient strictement nécessaires au fonctionnement du site et limités à l'usage du seul éditeur.
Si votre site n'utilise que ce type de traceurs, ou un outil de statistiques sans cookie, vous n'avez pas besoin de bandeau de consentement. Vous devez en revanche toujours informer vos visiteurs, par exemple dans votre politique de confidentialité.
Les cookies qui exigent un consentement
- La publicité et le reciblage : pixel Meta, Google Ads, LinkedIn, TikTok ;
- La plupart des outils d'analyse, dont Google Analytics dans sa configuration standard ;
- Les contenus tiers intégrés qui déposent leurs propres traceurs : vidéos YouTube, cartes Google Maps, boutons de partage.
Ce que la CNIL attend d'un bandeau
- Refuser doit être aussi simple qu'accepter. La CNIL considère qu'un bouton « Tout refuser » placé au même niveau et avec le même aspect que « Tout accepter » est un moyen clair et simple d'y parvenir.
- Aucun dépôt avant le choix. Les cookies soumis au consentement ne doivent pas être déposés tant que l'internaute n'a pas accepté.
- Pas de case pré-cochée, et poursuivre sa navigation ne vaut pas acceptation.
- Une information claire sur les finalités, avant le choix.
- Le retrait doit rester possible à tout moment, aussi facilement que le consentement a été donné, par exemple via un lien « Gérer les cookies » en bas de page.
- Le choix est conservé : une durée de 6 mois, pour le consentement comme pour le refus, est en général une bonne pratique selon la CNIL.
Un point d'attention pour les petits sites. Le 31 décembre 2021, la CNIL a sanctionné Google (150 millions d'euros) et Facebook (60 millions d'euros), parce que refuser les cookies demandait plusieurs clics alors qu'un seul suffisait pour les accepter. La règle vaut pour tous les sites, quelle que soit leur taille.
Comment savoir quels cookies votre site dépose ?
Faites l'inventaire des outils installés : statistiques, publicité, vidéos, cartes, chat, formulaires. Les outils de développement de votre navigateur (onglet « Stockage » ou « Application ») affichent aussi les cookies présents après le chargement de la page.
L'analyse de site de ConformeFR repère les services les plus courants sur votre page d'accueil (Google Analytics, pixel Meta, YouTube, Google Maps, reCAPTCHA…) et vous signale si des cookies soumis au consentement semblent présents sans bandeau. Elle ne remplace pas un audit complet : seule la page d'accueil est lue.
Vérifier votre site et générer votre politique
Collez l'adresse de votre site : services tiers détectés, politique de confidentialité pré-remplie. Gratuit, sans inscription.
Analyser mon site →Questions fréquentes
- Mon site n'utilise pas de cookies publicitaires : ai-je besoin d'un bandeau ?
- Pas forcément. Si votre site n'utilise que des cookies strictement nécessaires (panier, connexion, préférence d'affichage) et, le cas échéant, une mesure d'audience qui respecte les conditions d'exemption de la CNIL, aucun consentement n'est requis. En revanche, Google Analytics dans sa configuration standard, les pixels publicitaires et la plupart des vidéos intégrées exigent un consentement préalable.
- Un lien « paramétrez votre navigateur » suffit-il ?
- Non. Selon la CNIL, en l'état actuel, les réglages des navigateurs ne permettent pas à eux seuls d'exprimer un consentement valable. Il faut un mécanisme sur le site lui-même, avant tout dépôt de cookie soumis au consentement.
- Combien de temps conserver le choix de l'internaute ?
- La CNIL considère que conserver le choix, qu'il s'agisse d'un consentement ou d'un refus, pendant 6 mois est en général une bonne pratique, à apprécier selon le site. Cela évite de redemander à chaque visite.
- Continuer à naviguer vaut-il acceptation ?
- Non. Poursuivre sa navigation, faire défiler la page ou fermer le bandeau ne constitue pas un consentement : il faut une action positive et claire, comme un clic sur « Accepter ».