Bandeau cookies RGPD : obligations, CNIL et conformité

Bandeau cookies RGPD : ce que dit la loi informatique et libertés

Le bandeau n'est pas un élément de décoration juridique posé en bas de page. Il découle de l'article 82 de la loi informatique et libertés, qui soumet le dépôt ou la lecture d'un fichier dans le terminal d'un internaute à une information claire et à un accord préalable. Le RGPD encadre ce qui se passe ensuite : la collecte et le traitement des données personnelles associées à ces traceurs. C'est la combinaison des deux textes qui rend un bandeau conforme ou non.

Dans la pratique, la bonne question n'est donc pas « ai-je un bandeau ? » mais « mon bandeau empêche-t-il vraiment le dépôt des traceurs avant le clic ? ». Beaucoup de sites affichent une fenêtre impeccable alors que les scripts publicitaires se sont déjà exécutés au chargement. C'est le défaut de conformité le plus répandu, et aussi le plus simple à constater depuis l'onglet réseau d'un navigateur. La CNIL vérifie ce point régulièrement, parfois sans même contacter l'éditeur du site.

Les traceurs ne nécessitant aucun consentement

Certains fichiers sont exemptés parce qu'ils sont strictement nécessaires à la fourniture du service demandé. Pour les traceurs ne nécessitant aucune action de la part du visiteur, vous n'avez pas à recueillir d'accord, mais vous devez toujours informer de leur usage. L'information concernant leur utilisation reste obligatoire, même sans case à cocher.

• Le cookie de session qui conserve un panier d'achat ou un formulaire en cours de saisie.
• Le jeton d'authentification qui maintient l'accès à un espace client.
• La mémorisation du choix exprimé dans le bandeau lui-même, refus compris.
• Les traceurs de sécurité et de répartition de charge, indispensables au fonctionnement général du site.
• La langue, la devise ou la région sélectionnée par l'utilisateur.

Les traceurs nécessitant le consentement

Tout le reste relève du recueil du consentement : régies publicitaires, pixels de réseaux sociaux, boutons de partage, tests A/B, outils d'enregistrement de session, cartes et vidéos intégrées, etc. Dès qu'un script sert à la publicité personnalisée ou à suivre un visiteur d'un site à l'autre, il entre dans la catégorie nécessitant le consentement. Les outils de statistiques installés par défaut, comme Google Analytics 4, en font partie dans leur configuration standard.

Lignes directrices et recommandation : le mode d'emploi de la CNIL

L'autorité de protection des données a publié deux textes de référence : des lignes directrices, qui rappellent le droit applicable, et une recommandation, qui propose des modalités concrètes de mise en œuvre. Les lignes directrices et la recommandation ne sont pas un règlement supplémentaire : c'est la grille que l'autorité utilise lors d'un contrôle. Dans sa recommandation, la CNIL va jusqu'à décrire des maquettes de bandeau et les formulations à privilégier.

Les sept points regardés sur un bandeau

• Une information claire sur l'identité du responsable et sur les finalités poursuivies, en langage courant.
• Un bouton de refus aussi visible et accessible que le bouton d'acceptation, au même niveau de l'interface.
• Un choix finalité par finalité, et non un accord global imposé en bloc.
• Aucune case précochée, aucun dépôt avant le clic.
• Une preuve du consentement utilisateur, horodatée et conservée pour assurer la traçabilité.
• Un moyen simple de retirer son consentement après coup, depuis un lien permanent en pied de page.
• La poursuite de la navigation ou le simple défilement ne valent jamais acceptation.

Deux points méritent une attention particulière. Le refus doit se faire en un clic : un lien « continuer sans accepter » placé en haut du bandeau est la solution que la CNIL cite elle-même. Et le consentement préalable signifie que le script reste bloqué, pas seulement masqué derrière une fenêtre. L'internaute doit rester libre de consentir ou non, sans que cela change son accès au contenu.

Mettre en place un bandeau conforme, étape par étape

La conformité se construit dans un ordre précis. Inverser les étapes aboutit presque toujours au même résultat : une interface irréprochable posée sur une mécanique qui fuit.

• Recenser tous les traceurs déposés sur le site, page par page, y compris ceux ajoutés par un module ou un thème.
• Les classer par finalités : fonctionnement, mesure d'audience, publicité, réseaux sociaux.
• Bloquer par défaut tout ce qui n'est pas exempté, en conditionnant le chargement du script au choix exprimé.
• Installer une plateforme de gestion du consentement (CMP) et la relier à votre gestionnaire de balises.
• Rédiger le bandeau en deux couches : un premier écran court, un second écran détaillé par finalité.
• Publier une page cookies qui liste chaque traceur, sa finalité, sa durée et les services tiers associés.
• Tester en navigation privée, onglet réseau ouvert, en simulant un refus puis une acceptation.
• Conserver les preuves et documenter la configuration dans votre registre des traitements.

L'étape de test est celle que l'on saute le plus souvent. Refusez tout, rechargez la page, puis regardez quels fichiers sont encore déposés : s'il reste un cookie publicitaire, le bandeau est non conforme malgré les apparences. Pensez également au visiteur qui n'exprime aucun choix et ferme la fenêtre, car pour lui rien ne doit se charger. Ce réglage se fait dans le code du thème ou depuis le back office selon la technologie employée.

Combien de temps conserver le choix de l'utilisateur

La CNIL recommande de conserver la décision des internautes pendant une durée de l'ordre de six mois, afin de ne pas réafficher le bandeau à chaque visite. Sa recommandation retient par ailleurs treize mois au maximum pour la durée de vie des traceurs, et vingt-cinq mois pour les données qu'ils génèrent. Un refus se mémorise exactement comme une acceptation : la symétrie vaut aussi pour la durée. Passé ce délai, vous redemandez le consentement.

Mesure d'audience, contenus embarqués et cas particuliers

La mesure d'audience bénéficie d'un régime assoupli, mais sous conditions strictes : finalité limitée à la statistique agrégée, pas de recoupement avec d'autres traitements, pas de suivi d'un site à l'autre, données non transmises à un tiers. Un outil paramétré ainsi peut fonctionner sans consentement, ce qui évite de perdre une grande partie de vos statistiques dès que les refus s'accumulent. Un outil auto-hébergé comme celui comparé dans notre article Matomo ou Google Analytics est souvent cité pour cette raison, mais tout dépend du paramétrage réel, pas du nom du logiciel.

Les contenus embarqués posent le même problème. Une vidéo, une carte ou un flux social déposent leurs propres traceurs dès l'affichage, avant toute interaction. La solution consiste à remplacer l'iframe par un aperçu statique qui ne se charge qu'après accord, avec un message expliquant pourquoi le contenu est masqué. Sur la plupart des CMS, cela se règle avec une extension ou quelques lignes de code, pas avec une clause juridique.

Le cas du mur de traceurs

Conditionner l'accès au service à l'acceptation des cookies, ce qu'on appelle un cookie wall, n'est pas interdit par principe mais n'est admis que dans des situations encadrées, avec une alternative réelle et un équilibre justifiable. Pour un site d'entreprise classique, l'idée est à écarter : elle crée un risque de non-conformité pour un gain nul. Mieux vaut travailler le taux de conversion des visiteurs qui refusent, puisqu'ils représentent une part importante du trafic.

Pièges fréquents et ce qui fait varier le budget

• Un bandeau gratuit fourni par un module : souvent purement cosmétique, il affiche un message sans empêcher le dépôt.
• Le bouton de refus relégué dans un second écran, ou grisé pour décourager le choix.
• Des finalités rédigées en jargon, du type « amélioration de l'expérience », trop vagues pour être valides.
• Un consentement recueilli mais jamais transmis aux balises, qui se déclenchent quand même.
• Aucune trace conservée, donc rien à produire lors d'un contrôle.
• La page cookies oubliée après l'ajout d'un nouvel outil marketing, notamment un pixel publicitaire.

Le coût dépend de trois facteurs : le nombre de traceurs à cartographier, la technologie du site, et le niveau de preuve attendu. Un site sur-mesure se pilote plus finement qu'un empilement d'extensions, où chaque mise à jour peut rajouter un script. Chez RankerSquare, un site vitrine sur-mesure est proposé dès 19,90 € par mois en abonnement, et toute mise en conformité sur un site existant est chiffrée après audit des traceurs ; cette étape fait partie de nos projets de création de site internet. Le temps de travail, lui, dépend surtout du désordre initial.

L'essentiel tient en une phrase : un bandeau n'est pas un document, c'est un interrupteur. S'il n'éteint rien, il ne protège personne, ni vos visiteurs ni votre entreprise. La bonne nouvelle, c'est que la vérification prend quelques minutes et ne demande aucun outil payant.

Questions fréquentes