La CNIL considère que « la gestion d’un site web ou d’une application requiert presque systématiquement l’utilisation de statistiques de fréquentation et/ou de performance. Ces mesures sont dans de nombreux cas indispensables au bon fonctionnement du site ou de l’application et donc à la fourniture du service. »
La délibération n°2019-093 affirmait initialement le droit d’opposition de l’utilisateur et précisait les conditions d’exemption du recueil du consentement lorsque ces traitements répondaient à certaines conditions et étaient mis en œuvre par l’éditeur ou son sous-traitant, avec information préalable et mécanisme d’opposition accessible sur l’ensemble des terminaux et navigateurs. Dans les lignes directrices du 17 septembre 2020, la CNIL n’a pas repris explicitement la mention du droit d’opposition. Toutefois, lorsqu’il n’est pas question de prospection commerciale, l’utilisateur peut exercer son droit d’opposition en justifiant de « raisons tenant à sa situation particulière ».
Portée européenne et cadre législatif
Le 17 janvier 2023, la CNIL et ses homologues européens ont adopté un rapport synthétisant les conclusions du groupe de travail coordonnant les réponses aux questions sur les bannières cookies. Les cookies, ou traceurs, sont des fichiers déposés sur votre appareil lors de la consultation d’un site internet et permettent de faciliter la navigation ou de collecter des informations sur votre comportement en ligne, parfois à des fins publicitaires. Un cookie est un fichier intégré par le fournisseur d'un site internet et permet de tracer la navigation pour le bon fonctionnement du site ou le suivi du comportement à des fins statistiques ou publicitaires, en récoltant des données personnelles. Son utilisation est encadrée par le RGPD.
En principe, les utilisateurs doivent préalablement et explicitement accepter les cookies, notamment lorsque ces derniers permettent de les identifier personnellement. C’est le cas des cookies employés lors d'opérations de publicité personnalisée ou lors d'une navigation sur les réseaux sociaux. En exception, le consentement n’est pas requis lorsque les cookies ont pour finalité exclusive de faciliter une communication électronique (par exemple conserver un choix, personnaliser une interface ou assurer la sécurité d’un mécanisme d’authentification). Une bannière cookies doit permettre d’accepter, refuser ou choisir certains cookies, avec des explications claires sur leur usage.
Un traceur est stocké par un serveur dans le terminal de l’utilisateur et est associé à un nom de domaine. On distingue les cookies internes (déposés par le site visité) et les cookies tiers (déposés par des domaines différents, souvent gérés par des tiers). Le RGPD régit toute collecte et tout traitement de données personnelles et impose le consentement préalable avant le stockage ou l’accès à des informations sur le terminal, sauf exception.
Typologie et finalités des cookies
Il existe différents types de cookies (cookies HTTP, cookies « flash », pixels) et leur encadrement dépend de leur finalité. Les cookies soumis au consentement couvrent notamment les cookies non strictly nécessaires à la fourniture du service, comme la personnalisation des contenus. Les cookies dans le cadre d’opérations de publicité personnalisée requièrent généralement le consentement explicite et granulaire.
Les cookies peuvent être classés en cookies de session (temporaire) et cookies persistants (restant après la fermeture du navigateur). Les cookies propriétaires sont définis par le domaine visité, tandis que les cookies tiers proviennent de domaines externes et permettent souvent le suivi des pages visitées à des fins publicitaires. L’audit des cookies est recommandé pour identifier tous les cookies utilisés sur un site.
Consentement, bandeaux et gestion
Pour garantir le consentement, le bandeau cookies doit offrir des options claires : « Accepter tout », « Accepter la sélection » ou « Personnaliser les préférences ». Le consentement doit être préalable, explicite et granulaires, permettant d’accepter certains cookies et d’en refuser d’autres. Le consentement doit être libre et pouvoir être retiré aussi facilement qu’il a été donné.
Les règles exigent une conservation de la preuve du consentement et recommandent l’usage d’un logiciel de gestion des consentements (CMP) pour facilier cette traçabilité. Une plateforme CMP peut aussi aider à mettre en œuvre des bannières conformes et conviviales à travers les sites, sites mobiles et applications.
La CNIL rappelle que le consentement prévu par ces dispositions se réfère à la définition et aux conditions prévues aux articles 4(11) et 7 du RGPD. Il s’impose aux responsables du traitement qui déposent des traceurs soumis au consentement et peut concerner des éditeurs qui autorisent le dépôt de cookies lus par des régies publicitaires. Tous les cookies n’ont pas pour finalité exclusive de permettre ou faciliter une communication par voie électronique ou d’être strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur.
Consommateur et expérience utilisateur
Le consentement bien géré peut générer de la confiance et devenir un atout marketing. Des explications claires et honnêtes sur l’utilisation des cookies renforcent la confiance des utilisateurs, qui comprennent pourquoi des cookies sont déposés. Des recherches indiquent que la transparence peut influencer positivement le taux de consentement et l’engagement des visiteurs, tout en restant conforme au cadre légal.
Le consentement efficace des cookies est aussi un premier acte d’engagement dans le parcours client. Lorsqu’un utilisateur consent, il reste plus susceptible de passer du temps sur le site, de naviguer et d’effectuer des conversions. Les bannières RGPD constituent donc une opportunité autant qu’une exigence légale et peuvent être optimisées pour favoriser le consentement tout en respectant le droit à la vie privée.
Bonne pratique et cadre pratique
Pour toute organisation, l’obligation s’impose aux responsables du ou des traitements déposant des traceurs soumis au consentement. Le cadre s’applique à des éditeurs, régies publicitaires, réseaux sociaux et autres acteurs qui traitent des données personnelles via des cookies. Le consentement doit être granulaires, libre et dûment prouvé, et les sites web doivent disposer d’une politique de cookies complète et accessible décrivant les finalités, les durées de conservation et les moyens de gestion des préférences.
Le RGPD et la CNIL impliquent que les sites web utilisent des mécanismes de consentement conviviaux et transparents, avec des mentions légales à jour. Le consentement peut être explicite, ou, dans certains cas limités et strictement nécessaires, implicite. Dans tous les cas, l’utilisateur doit disposer des moyens d’accepter, de refuser et de retirer son consentement, et les preuves de consentement doivent être conservées.
En pratique, les moyens de recueillir le consentement incluent le cookie wall (interface bloquant l’accès en cas de refus) et les bannières cookies. Le cookie wall est strictement encadré et peut nécessiter une alternative payante pour accéder au contenu. La majorité des sites utilisent les bannières qui permettent de choisir directement les préférences et qui ne bloquent pas l’accès au contenu.
Votre bandeau cookie est-il vraiment conforme au RGPD ?
La durée de validité du consentement est généralement limitée à 13 mois au maximum lorsque les cookies ne servent pas une fonctionnalité essentielle et lorsque les visiteurs ont manifesté une préférence. Après cette période, le consentement peut nécessiter une réaffirmation. Il est important de rappeler que les mentions légales et la politique de cookies doivent accompagner la bannière et être facilement accessibles.
En résumé, la gestion des cookies doit être conforme au RGPD et aux lois nationales pertinentes, avec une approche centrée utilisateur qui propose des choix clairs, des mécanismes granulaires et une traçabilité du consentement, tout en garantissant la continuité du service et la sécurité des données.