Rien avant le consentement
Aucun traceur non essentiel ne doit être déposé ni lu tant que l'internaute n'a pas donné son accord. La simple poursuite de la navigation ne vaut pas consentement.
L'essentiel
Le dépôt et la lecture de traceurs sur le terminal d'un internaute sont encadrés par l'article 82 de la loi Informatique et Libertés, qui transpose la directive ePrivacy — et non directement par le RGPD. Sauf traceur strictement nécessaire au service, aucun cookie ne peut être déposé avant un consentement libre, spécifique, éclairé et univoque, qui doit pouvoir être refusé aussi simplement qu'il est accepté.
Les 6 règles à respecter
Refuser aussi simplement qu'accepter
Si accepter tient en un clic et refuser en trois, le consentement n'est pas libre. C'est le manquement le plus sanctionné par la CNIL sur ce sujet.
Un consentement par finalité
Mesure d'audience, publicité personnalisée, réseaux sociaux, personnalisation : chaque finalité doit pouvoir être acceptée ou refusée séparément.
Une information préalable et claire
Avant le choix, l'internaute doit savoir quelles finalités sont poursuivies et qui dépose les traceurs. Une formule générique du type « ce site utilise des cookies » ne suffit pas.
Un retrait aussi facile que le consentement
Un moyen permanent et accessible de revenir sur son choix doit exister — typiquement un lien discret mais présent sur toutes les pages.
La preuve du consentement
Le responsable de traitement doit être en mesure de démontrer, à tout moment, que le consentement a bien été recueilli dans les règles.
Les traceurs exemptés de consentement
L'exemption ne dépend pas du nom du cookie mais de sa finalité : il doit être strictement nécessaire à la fourniture du service expressément demandé par l'internaute. Entrent typiquement dans ce cadre :
- Cookies conservant le choix exprimé sur le bandeau lui-même
- Cookies de panier d'achat sur un site marchand
- Identifiants de session pour une authentification en cours
- Cookies de personnalisation d'interface choisie par l'utilisateur (langue, affichage)
- Cookies d'équilibrage de charge et de sécurité strictement nécessaires
La mesure d'audience occupe une position intermédiaire. La CNIL admet une exemption, mais à des conditions strictes : statistiques anonymes produites pour le seul compte de l'éditeur, pas de recoupement avec d'autres traitements, pas de transmission à des tiers. La configuration par défaut des outils d'analytics grand public ne remplit généralement pas ces conditions.
Pourquoi ce sujet concentre les sanctions
Les décisions les plus lourdes prononcées par la CNIL en matière de traceurs concernent deux manquements précis : le dépôt de cookies publicitaires avant tout consentement, et l'asymétrie entre le bouton d'acceptation et le mécanisme de refus. En décembre 2020 puis en décembre 2021, ces deux griefs ont donné lieu à des amendes se chiffrant en dizaines et centaines de millions d'euros contre de grandes plateformes.
L'enseignement pratique ne concerne pas que les grands acteurs. Ces manquements se constatent par un contrôle en ligne, sans intervention sur place et sans préavis. Un site de PME est exactement aussi observable que celui d'une multinationale — la différence porte sur le quantum de la sanction, pas sur la facilité du constat.
S'y ajoute le canal des plaintes : un internaute qui constate un bandeau non conforme peut saisir la CNIL directement. C'est l'origine d'une part significative des contrôles.
Vérifier son bandeau en pratique
Le test de base tient en trois gestes. Ouvrez le site en navigation privée. Ne cliquez sur rien. Ouvrez les outils de développement du navigateur, onglet Application puis Cookies.
Si des traceurs autres que ceux de la liste d'exemption ci-dessus sont déjà présents, le manquement est constitué — et il est constatable par n'importe qui, y compris par un plaignant ou un agent de la CNIL.
La limite de cette méthode est son périmètre : elle ne dit rien des autres pages. Or les écarts se logent souvent hors de la page d'accueil, sur une fiche produit qui charge un pixel publicitaire, ou sur une landing page ancienne restée en ligne avec un ancien tag.
Questions fréquentes
- Les cookies relèvent-ils du RGPD ou de la loi Informatique et Libertés ?
- Des deux, mais pas pour la même chose. L'action de déposer ou de lire un traceur sur le terminal de l'internaute est encadrée par l'article 82 de la loi Informatique et Libertés, qui transpose la directive ePrivacy. Le traitement des données personnelles qui en découle relève, lui, du RGPD. C'est pourquoi la CNIL fonde ses sanctions « cookies » sur l'article 82 et non sur l'article 6 du RGPD.
- Faut-il un consentement pour la mesure d'audience ?
- En principe oui, mais la CNIL admet une exemption pour les solutions de mesure d'audience strictement limitées à la production de statistiques anonymes pour le compte de l'éditeur, sans recoupement avec d'autres traitements ni transmission à des tiers. Les configurations par défaut des outils grand public ne remplissent généralement pas ces conditions.
- Un bandeau « en poursuivant votre navigation, vous acceptez » est-il valable ?
- Non. Le consentement doit résulter d'un acte positif univoque. La poursuite de la navigation, le défilement de la page ou l'absence de réaction ne peuvent pas être interprétés comme un accord.
- Les cookie walls sont-ils interdits ?
- Ils ne sont pas interdits par principe. La CNIL considère que leur licéité s'apprécie au cas par cas, notamment selon l'existence d'une alternative réelle et raisonnable pour l'internaute qui refuse. C'est un terrain juridiquement instable, à manier avec prudence.
- Combien de temps conserver le choix de l'internaute ?
- La CNIL recommande une durée de conservation des choix de six mois, et de ne pas solliciter à nouveau l'internaute avant l'expiration de ce délai lorsqu'il a refusé.
- Comment vérifier concrètement mon bandeau ?
- Ouvrez le site en navigation privée, ne cliquez sur rien, puis inspectez les cookies déposés via les outils de développement du navigateur. Tout traceur non essentiel présent à ce stade est un manquement. Complio réalise cette vérification automatiquement sur l'ensemble des pages du site.