Bandeau cookies : quelles règles respecter ?

Un cookie est un petit fichier déposé par un site dans le navigateur du visiteur. Les règles ne visent pas que les cookies : elles couvrent tous les traceurs, comme les pixels invisibles, le stockage local du navigateur ou les identifiants d'appareil. En France, elles reposent sur l'article 82 de la loi Informatique et Libertés, qui transpose la directive européenne dite « ePrivacy », et sur la définition du consentement donnée par le RGPD. La CNIL les précise dans des lignes directrices et une recommandation. Cet article présente les principes établis ; pour les détails, reportez-vous aux textes de la CNIL.

Quels traceurs demandent un consentement ?

Les règles d'un bandeau conforme

1. Consentement préalable : aucun traceur soumis à consentement ne doit être déposé avant l'accord du visiteur.
2. Refuser aussi simplement qu'accepter : la CNIL considère qu'un bouton de refus présenté au même niveau et de la même manière que le bouton d'acceptation est une façon claire d'y parvenir.
3. Un accord explicite : continuer à naviguer, faire défiler la page ou fermer le bandeau ne vaut pas consentement.
4. Une information claire : à quoi servent les traceurs, qui les dépose, et la possibilité de changer d'avis.
5. Un choix par finalité : le visiteur peut accepter la mesure d'audience et refuser la publicité.
6. Aucune case pré-cochée.
7. Un retrait aussi simple que l'accord : un lien ou une icône accessible en permanence permet de modifier son choix.
8. Une preuve du consentement : vous devez pouvoir démontrer qu'il a été recueilli.

La CNIL formule aussi des recommandations sur la durée pendant laquelle le choix du visiteur est conservé avant de lui être redemandé. Consultez-les plutôt que de fixer une durée au hasard.

Les pratiques à éviter

• un bandeau limité à un bouton « J'ai compris » ou « OK » ;
• un refus caché dans un second écran alors que l'acceptation se fait en un clic ;
• des interfaces trompeuses, qui orientent le choix par les couleurs, la taille des boutons ou des formulations culpabilisantes ;
• des traceurs déposés dès l'arrivée sur la page, avant toute action ;
• des traceurs qui continuent de fonctionner après un refus ;
• un bandeau qui réapparaît à chaque page pour faire céder le visiteur.

Le cas des « murs de cookies », qui bloquent l'accès au contenu en cas de refus, fait l'objet d'une appréciation au cas par cas par la CNIL. Si vous l'envisagez, lisez ses publications et demandez conseil.

Comment vérifier votre site ?

1. Ouvrez le site dans une fenêtre de navigation privée.
2. Ouvrez les outils de développement du navigateur, le panneau technique accessible par un clic droit puis « Inspecter ».
3. Avant de cliquer sur le bandeau, regardez les cookies présents et les requêtes envoyées à d'autres domaines.
4. Refusez tout, rechargez la page et vérifiez qu'aucun traceur non essentiel n'apparaît.
5. Acceptez, puis vérifiez que le lien de modification du choix fonctionne.

Réduire le besoin de consentement

Moins de traceurs, c'est un bandeau plus simple et un site souvent plus rapide. Quelques pistes :

• configurer la mesure d'audience pour qu'elle respecte les conditions d'exemption de la CNIL ;
• charger les vidéos et les cartes seulement quand le visiteur clique dessus ;
• remplacer les boutons de partage des réseaux sociaux par de simples liens ;
• retirer les scripts tiers devenus inutiles.

Si votre site n'utilise que des traceurs exemptés, aucun recueil de consentement n'est nécessaire, mais l'information des visiteurs reste de mise. NexSecure peut auditer les traceurs de votre site et corriger le bandeau dans le cadre de son accompagnement en conformité RGPD.