Cookies et RGPD : quelle loi s'applique en France ?

Cookies et RGPD : quel texte s'applique en France ?

En France, les cookies relèvent de deux textes complémentaires. L'article 82 de la loi Informatique et Libertés impose de recueillir le consentement de l'internaute avant de déposer ou de lire un cookie non indispensable. Le RGPD, le Règlement général sur la protection des données, définit ce qu'est un consentement valable et encadre ensuite le traitement des données personnelles collectées. Ensemble, ils forment la loi cookies en France, que la CNIL précise dans ses lignes directrices.

Cette répartition explique beaucoup de malentendus. On entend souvent que le RGPD exige un bandeau cookies. En réalité, l'obligation de consentement vient de la directive européenne ePrivacy, transposée en France par l'article 82. Le RGPD fixe les conditions de ce consentement et vos obligations sur les données. Cet article n'est pas un conseil juridique. Il donne une vue d'ensemble pour prendre les bonnes décisions techniques.

Article 82 et RGPD : qui règle quoi ?

L'article 82 s'intéresse à l'appareil de l'utilisateur. Il vise tout dépôt ou toute lecture d'information sur un ordinateur, un smartphone ou une tablette, que cette information soit une donnée personnelle ou non. Le RGPD s'intéresse aux données personnelles : un identifiant de cookie, une adresse IP ou un identifiant publicitaire en font partie. Pour un pixel publicitaire, les deux textes s'appliquent donc l'un après l'autre.

→ Bannière cookies avec Consent Mode v2 : conforme, sans licence mensuelle

Quels cookies peuvent être déposés sans consentement ?

Les cookies exemptés sont ceux dont la seule finalité est de permettre la communication ou qui sont strictement nécessaires au service demandé par l'internaute. La CNIL en donne des exemples concrets : panier d'achat, authentification, conservation du choix exprimé dans le bandeau, sécurité, répartition de charge, préférences d'affichage. La mesure d'audience peut aussi être exemptée, à condition de servir uniquement l'éditeur, de produire des statistiques anonymes et de ne pas être recoupée avec d'autres traitements.

Tout le reste demande un consentement préalable : la publicité ciblée, le reciblage, les pixels de Meta, de LinkedIn ou de TikTok, les balises de conversion Google Ads et la plupart des outils d'analyse qui réutilisent les données pour leur propre compte. Le mot « préalable » est essentiel. Une balise qui se charge pendant que le bandeau s'affiche, avant tout clic, ne respecte pas la règle, même si l'internaute accepte ensuite.

Qu'est-ce qu'un consentement valable pour les cookies ?

Le consentement aux cookies doit remplir les conditions du RGPD. La CNIL les applique de façon concrète au bandeau, et c'est sur ces points que les contrôles portent le plus souvent.

• Libre : refuser doit être aussi simple qu'accepter, sans pénalité cachée
• Spécifique : un choix par finalité, sans cases précochées
• Éclairé : finalités, partenaires et conséquences du choix expliqués simplement
• Univoque : un clic clair, la poursuite de la navigation ne vaut pas accord
• Retirable : un lien permanent pour changer d'avis, aussi facile que le premier choix

Le responsable du site doit en plus pouvoir prouver le consentement. Concrètement, il conserve la version du bandeau, la date du choix et les finalités acceptées. La CNIL présente une conservation du choix d'environ six mois comme une bonne pratique : pendant ce temps, le bandeau ne réapparaît pas, même après un refus.

→ Configurer correctement le Consent Mode v2 : aucune alerte dans Tag Assistant

Que doit contenir l'information sur les cookies ?

L'information se fait en deux niveaux. Le premier est le bandeau lui-même : il annonce les finalités principales, propose d'accepter ou de refuser et renvoie vers le détail. Le second est la politique cookies : elle liste les finalités, les partenaires qui déposent des traceurs, les durées de conservation et la manière de modifier son choix. Cette liste doit refléter ce qui se charge vraiment sur le site, pas ce qui était prévu au lancement. Un site qui ajoute un pixel TikTok ou un nouvel outil de chat sans mettre à jour sa politique crée un écart entre l'information et la réalité.

Le site reste responsable des traceurs déposés par ses partenaires. Quand une régie publicitaire, un réseau social ou un outil de chat dépose un cookie via votre page, c'est à vous de vous assurer que le consentement a été recueilli avant. Dans la pratique, cela passe par Google Tag Manager ou par le bandeau lui-même : chaque balise tierce attend le consentement de la finalité correspondante. Pensez aussi aux contenus intégrés, comme les vidéos YouTube ou les cartes Google Maps, qui déposent souvent des traceurs dès l'affichage. Une version sans cookies ou un affichage après clic règle souvent le problème.

Exemple : un cabinet de conseil B2B à Bordeaux

Un cabinet de conseil utilise Google Analytics 4, Google Ads et le LinkedIn Insight Tag pour mesurer les demandes de rendez-vous. Le bandeau propose bien « Accepter » et « Refuser », mais le LinkedIn Insight Tag est déclenché sur toutes les pages dans Google Tag Manager, sans condition de consentement. Résultat : la balise part aussi après un refus. La correction consiste à lier chaque balise au bon consentement, puis à vérifier le comportement dans les trois situations : sans choix, après refus, après acceptation. Après la correction, les demandes restent mesurées chez les internautes qui acceptent, et rien ne part chez ceux qui refusent.

Vérifier et corriger votre site

Le plus fiable est de regarder ce que le site fait réellement, pas ce que le bandeau affiche. Le check gratuit de Trackum (trackum.app/check) ouvre votre page d'accueil trois fois dans un vrai navigateur, sans réponse au bandeau, après refus et après acceptation, plus deux sous-pages, et montre quelles balises et quels cookies se chargent à chaque fois. Il est gratuit, sans inscription et prend deux minutes.

Les écarts trouvés peuvent être corrigés par Trackum dans votre Google Tag Manager pour 79 € HT, testés avec et sans consentement. Pour un site sans configuration, Trackum installe Google Tag Manager, Google Analytics 4 et le Google Consent Mode v2 pour 150 € HT.