Cookies CNIL : les règles à respecter pour votre bandeau

Que demande la CNIL pour les cookies ?

La CNIL demande que tout cookie ou traceur non indispensable soit déposé uniquement après un consentement clair de l'internaute, et que refuser soit aussi simple qu'accepter. Ses lignes directrices et sa recommandation sur les cookies et autres traceurs, publiées à l'automne 2020, précisent ce que cela veut dire pour un bandeau : un vrai choix, une information compréhensible, la possibilité de changer d'avis et la preuve du consentement. Depuis avril 2021, la CNIL contrôle l'ensemble de ce cadre.

La règle de fond vient de l'article 82 de la loi Informatique et Libertés, qui transpose la directive européenne ePrivacy. Le RGPD, lui, définit ce qu'est un consentement valable : libre, spécifique, éclairé et univoque, et aussi facile à retirer qu'à donner. Cet article n'est pas un conseil juridique. Il traduit les recommandations de la CNIL en points concrets que vous pouvez vérifier sur votre site.

Quels cookies et traceurs ont besoin d'un consentement ?

Selon la CNIL, sont soumis à consentement tous les cookies et traceurs qui ne sont pas strictement nécessaires au service demandé par l'internaute. Cela concerne en pratique la publicité ciblée, le reciblage, les pixels des réseaux sociaux comme le Meta Pixel, les balises de conversion Google Ads et la plupart des outils d'analyse proposés par de grandes plateformes. La notion de traceur est large : elle couvre aussi les pixels, le stockage local du navigateur et les identifiants calculés à partir des caractéristiques de l'appareil.

Certains traceurs sont exemptés de consentement, parce qu'ils sont indispensables ou parce que leur finalité est très limitée. Ils doivent tout de même être mentionnés dans votre information aux utilisateurs.

• les cookies de panier d'achat et d'authentification
• le cookie qui enregistre le choix exprimé dans le bandeau
• les traceurs de sécurité, par exemple pour limiter les tentatives de connexion robotisées
• la mesure d'audience strictement limitée à l'éditeur, qui produit uniquement des statistiques anonymes
• les traceurs de répartition de charge et de préférences d'affichage

→ Bannière cookies avec Consent Mode v2 : conforme, sans licence mensuelle

Refuser doit être aussi simple qu'accepter

Le point le plus contrôlé est l'équilibre entre acceptation et refus. La CNIL considère qu'un bouton « Tout refuser » placé au même niveau et sous la même forme que « Tout accepter » est le moyen le plus clair. Un lien discret « Continuer sans accepter » peut aussi fonctionner s'il est bien visible. En revanche, un refus accessible uniquement après un clic sur « Paramétrer » ou « En savoir plus » crée un déséquilibre que la CNIL a déjà sanctionné chez de grandes plateformes.

La poursuite de la navigation ne vaut plus acceptation. Si l'internaute ferme le bandeau, fait défiler la page ou clique ailleurs, cela doit être traité comme un refus, et aucun traceur soumis à consentement ne doit être déposé. Les couleurs, la taille des boutons et l'ordre des choix ne doivent pas pousser vers l'acceptation. Les cookie walls, qui bloquent l'accès au site sans consentement, sont examinés au cas par cas par la CNIL, en regardant notamment s'il existe une alternative réelle.

Combien de temps conserver le choix et comment le prouver ?

La CNIL présente une conservation du choix d'environ six mois comme une bonne pratique, à apprécier au cas par cas. Ce délai vaut aussi pour le refus : redemander le consentement à chaque visite reviendrait à faire pression sur l'internaute. Pour les cookies de mesure d'audience exemptés, la CNIL recommande une durée de vie limitée, par exemple 13 mois, sans prolongation automatique à chaque visite, et une conservation des données de 25 mois au maximum.

L'éditeur du site doit pouvoir prouver qu'il a recueilli un consentement valable. Dans la pratique, cela signifie conserver la version du bandeau affichée, la date du choix et les finalités acceptées ou refusées. Un journal de consentement sans adresse IP complète suffit souvent pour ce besoin. Pensez aussi au retrait : un lien permanent, par exemple « Gérer mes cookies » en pied de page, permet de modifier le choix à tout moment, aussi facilement qu'il a été donné.

→ Configurer correctement le Consent Mode v2 : aucune alerte dans Tag Assistant

Comment vérifier votre bandeau en dix minutes

Un contrôle simple dans le navigateur suffit pour repérer la plupart des écarts. Ouvrez une fenêtre de navigation privée, puis les outils de développement, onglet Réseau et onglet Application. Regardez ce qui se charge avant tout clic, puis après un refus, puis après une acceptation. Un site correct ne charge aucune balise publicitaire ni aucun cookie d'analyse soumis à consentement tant que l'internaute n'a pas accepté.

• Avant tout clic : aucune requête vers Google Ads, Meta ou d'autres régies, aucun cookie _ga si Google Analytics est soumis à consentement
• Après « Tout refuser » : toujours aucune balise publicitaire, le bandeau ne revient pas sur la page suivante
• Après « Tout accepter » : les balises se chargent bien, y compris sur les pages suivantes
• Lien de gestion des cookies présent en pied de page et fonctionnel
• Liste des tiers et des finalités à jour dans votre politique cookies

Prenez l'exemple d'une boutique en ligne de cosmétiques à Lyon. Le bandeau affiche bien « Tout refuser », mais le Meta Pixel est inséré directement dans le thème et se charge avant le bandeau. Visuellement, tout semble conforme, alors que le pixel part à chaque visite. Seul un contrôle des requêtes réseau dans les trois situations révèle ce type d'erreur.

Belgique et Luxembourg : mêmes principes, autres autorités

Les recommandations de la CNIL concernent la France, mais les sites qui visent aussi la Belgique ou le Luxembourg retrouvent les mêmes principes européens. En Belgique, l'Autorité de protection des données (APD) publie ses propres explications sur les cookies et rappelle elle aussi l'exigence d'un consentement préalable. Au Luxembourg, la Commission nationale pour la protection des données (CNPD) est l'autorité compétente. Pour un site multilingue, le plus simple reste d'appliquer partout le niveau d'exigence le plus élevé.

Mettre bandeau, balises et consentement en accord

La difficulté n'est presque jamais le texte du bandeau, mais le lien entre le bandeau et les balises. Chaque balise doit attendre le bon consentement, et Google doit recevoir l'état du choix via le Google Consent Mode v2. Le check gratuit de Trackum (trackum.app/check) ouvre votre page d'accueil trois fois dans un vrai navigateur, sans réponse au bandeau, après refus et après acceptation, plus deux sous-pages, et montre quelles balises et quels cookies se chargent à chaque fois. Il est gratuit, sans inscription et prend deux minutes.

Si le check trouve des écarts, Trackum les corrige dans votre Google Tag Manager existant pour 79 € HT, testés, avec un court rapport. Pour un site sans configuration, l'installation complète avec Google Tag Manager, Google Analytics 4 et Consent Mode v2 coûte 150 € HT. Le bandeau cookies Trackum, avec « Tout refuser » au même niveau que « Tout accepter », est disponible en option.