Introduction
Les cookies sont devenus une évidence du web. On clique sur "Accepter tout", parfois par lassitude, parfois par ignorance, et l'on continue sa navigation. Pourtant, derrière ce petit bandeau se cache un enjeu majeur : celui du consentement libre et éclairé à la collecte de nos données de navigation.
Pour les entreprises, ce n'est pas un sujet mineur. Un cookie mal configuré, une bannière mal pensée, et c'est la porte ouverte aux sanctions.
1. Qu'est-ce qu'un cookie, concrètement ?
Un cookie est un petit fichier texte qu'un site internet dépose sur le terminal d'un visiteur (ordinateur, smartphone, tablette) lorsqu'il consulte une page. Ce fichier permet ensuite au site — ou à des tiers — de reconnaître l'utilisateur lors de ses visites suivantes, ou de suivre son comportement pendant sa navigation.
Il existe plusieurs grandes familles de cookies, qu'il est essentiel de distinguer :
- Les cookies strictement nécessaires au fonctionnement du site : garder un panier rempli, maintenir une session de connexion, mémoriser une préférence de langue. Ils sont indispensables et ne nécessitent pas de consentement.
- Les cookies de mesure d'audience : ils permettent de compter les visiteurs et d'analyser leur parcours. Sous certaines conditions strictes définies par la CNIL, ils peuvent aussi être exemptés de consentement.
- Les cookies publicitaires et de suivi : ils tracent le comportement des internautes, souvent d'un site à l'autre, pour afficher des publicités ciblées ou construire des profils d'utilisateur. Ce sont eux qui posent la plupart des problèmes juridiques.
- Les cookies de personnalisation et de partage social : ceux qui adaptent le contenu ou permettent l'intégration de réseaux sociaux. Ils requièrent également un consentement.
Autrement dit, tous les cookies ne se valent pas — ni juridiquement, ni éthiquement. Un cookie qui garde votre panier n'a rien à voir avec un traceur qui suit vos moindres clics à travers cent sites différents.
2. Ce que la loi impose
Le cadre juridique repose sur deux textes : le RGPD au niveau européen, et surtout la directive ePrivacy (transposée en France à l'article 82 de la loi Informatique et Libertés). La CNIL en a précisé les modalités dans ses lignes directrices, régulièrement mises à jour depuis 2020.
Quelques règles fondamentales à retenir :
Le consentement doit être préalable. Aucun cookie non essentiel ne peut être déposé avant que l'utilisateur ait donné son accord explicite. Fini le temps où la simple poursuite de la navigation valait consentement.
Le consentement doit être libre. L'internaute doit pouvoir refuser sans être pénalisé. Concrètement, cela signifie qu'un bouton "Tout refuser" doit être aussi visible et aussi accessible que le bouton "Tout accepter". C'est précisément sur ce point que Google et Facebook ont été sanctionnés en 2022.
Le consentement doit être éclairé. L'utilisateur doit savoir, avant de choisir, quels cookies seront déposés, par qui, pour quelles finalités et pour combien de temps.
Le consentement doit être spécifique. Un consentement global "à tout" ne suffit pas : l'internaute doit pouvoir accepter certaines catégories de cookies et en refuser d'autres. D'où l'importance du bouton "Personnaliser mes choix".
Le refus doit être aussi simple que l'acceptation. Cette règle, martelée par la CNIL, condamne toutes les interfaces où "Accepter" tient en un clic tandis que "Refuser" exige trois pages de paramètres.
Enfin, le consentement n'est pas éternel : la CNIL recommande de le renouveler tous les 6 à 13 mois, en présentant à nouveau la bannière à l'utilisateur.
3. Comment faire une bannière conforme
Concevoir une bannière conforme n'a rien de sorcier, à condition de respecter quelques principes clairs.
Afficher une information claire dès l'arrivée. L'internaute doit comprendre en une phrase ce qu'on lui demande : "Ce site utilise des cookies pour analyser son audience et personnaliser les publicités. Vous pouvez accepter, refuser ou paramétrer vos choix."
Proposer trois options équilibrées. Trois boutons de même taille et de même visibilité : Tout accepter, Tout refuser, Personnaliser. Les trois doivent être présents dès le premier écran, pas cachés derrière un lien discret.
Détailler les finalités. Dans l'écran de personnalisation, chaque catégorie de cookies doit être présentée avec sa finalité, la liste des cookies concernés et leur durée de conservation. L'utilisateur peut alors activer ou désactiver chaque catégorie indépendamment.
Rendre le refus permanent. Si un utilisateur a refusé, la bannière ne doit pas réapparaître à chaque page. Elle peut revenir périodiquement, mais pas de manière insistante ni bloquante.
Ne rien déposer avant le clic. C'est la règle la plus souvent enfreinte : de nombreux sites déposent des cookies dès l'affichage de la page, avant même que l'utilisateur ait fait un choix. C'est une infraction directe.
Documenter son dispositif. Une politique de cookies détaillée doit être accessible depuis la bannière et depuis le pied de page du site. Elle liste tous les cookies utilisés, leur finalité, leur émetteur et leur durée.
Attention également à l'idée du "cookie wall", cette pratique consistant à bloquer l'accès au site en cas de refus. La CNIL la considère comme généralement illicite, sauf exceptions très encadrées.
Pour la mise en œuvre technique, plusieurs solutions du marché (Axeptio, Didomi, CookieYes, Tarteaucitron pour l'open source français) facilitent le déploiement d'une bannière conforme sans partir de zéro.
Conclusion
Les cookies illustrent bien ce que le RGPD cherche à instaurer depuis le début : redonner à chacun le contrôle de ses données. Une bannière conforme n'est pas un frein commercial, c'est un signe de respect — et souvent, en pratique, un facteur de confiance.
Les sanctions financières font parler, mais l'enjeu de fond est ailleurs : à mesure que les utilisateurs deviennent plus attentifs, les entreprises qui traitent leurs données avec rigueur prennent une longueur d'avance. La conformité, ici encore, se transforme en avantage.
