RGPD et cookies : les règles du consentement expliquées

En droit de l’Union européenne, vous devez recueillir le consentement préalable (opt-in) d’un visiteur avant de déposer ou de lire tout cookie qui n’est pas strictement nécessaire à la fourniture du service qu’il a demandé. Ce consentement doit répondre aux exigences du RGPD : il doit être libre, spécifique, éclairé et univoque. Les visiteurs doivent pouvoir refuser aussi facilement qu’ils acceptent et changer d’avis à tout moment, et vous devez être en mesure de prouver ce qu’ils ont choisi.

Quels textes encadrent les cookies dans l’UE ?

Deux textes fonctionnent de concert. La directive ePrivacy détermine quand un cookie nécessite un consentement, et le règlement général sur la protection des données (RGPD) définit ce qu’est un consentement valable.

L’article 5(3) de la directive ePrivacy vise le stockage d’informations sur l’appareil d’un utilisateur, ou l’accès à des informations qui y sont déjà stockées. Cela inclut les cookies, mais aussi le stockage local (local storage), les pixels de suivi, les identifiants d’appareil et les techniques similaires. La règle s’applique que ces informations constituent ou non des données personnelles.

Le RGPD fixe le standard du consentement. L’article 4(11) le définit et l’article 7 en précise les conditions. Lorsque des cookies collectent des données personnelles, comme c’est le cas de la plupart des cookies de mesure d’audience et de publicité, le RGPD encadre aussi tout ce que vous faites ensuite de ces données. Pour voir plus en détail comment les deux textes se répartissent les rôles, consultez Directive ePrivacy vs RGPD.

La directive ePrivacy étant une directive et non un règlement, chaque pays de l’UE la transpose dans son propre droit national. La règle de base est la même partout, mais les autorités de contrôle diffèrent dans leurs recommandations et leurs priorités en matière de contrôle.

Quels cookies nécessitent un consentement ?

Tout cookie ou technologie similaire requiert un consentement, sauf s’il est strictement nécessaire à la fourniture d’un service expressément demandé par l’utilisateur, ou s’il sert uniquement à transmettre une communication. Ce qui compte, c’est la finalité, et non le fait que le cookie soit propriétaire (first-party) ou tiers (third-party).

Finalité du cookie	Exemple	Consentement requis ?
Authentification	Maintient l’utilisateur connecté pendant une session	Non, strictement nécessaire
Panier d’achat	Mémorise les articles ajoutés au panier	Non, strictement nécessaire
Répartition de charge	Achemine les requêtes vers le même serveur	Non, strictement nécessaire
Stockage du consentement	Mémorise les choix du visiteur en matière de cookies	Non, strictement nécessaire
Préférences	Langue ou paramètres d’affichage	Selon que l’utilisateur a expressément choisi ce réglage ou non
Mesure d’audience	Compte les visites et suit les parcours	Oui, dans la plupart des cas
Publicité	Reciblage, suivi des conversions, profilage	Oui
Contenus de réseaux sociaux intégrés	Boutons de partage, publications intégrées, pixels	Oui, lorsqu’ils déposent ou lisent des identifiants

Deux points prêtent souvent à confusion. D’abord, un cookie de mesure d’audience propriétaire nécessite tout de même un consentement dans la plupart des pays de l’UE. Quelques autorités admettent des exemptions limitées pour une mesure d’audience très encadrée, mais considérez-les comme une exception propre à certains pays.

Ensuite, « strictement nécessaire » signifie nécessaire au service demandé par l’utilisateur, et non à votre modèle économique. Notre guide des cookies strictement nécessaires aborde les zones grises.

Qu’est-ce qui rend un consentement aux cookies valable ?

Le consentement n’est valable que s’il est libre, spécifique, éclairé et univoque, et exprimé par un acte positif clair. Dans un bandeau cookies, cela se traduit par quelques règles concrètes.

• Opt-in, et non opt-out. Les catégories non essentielles sont désactivées par défaut. Dans son arrêt Planet49 (C-673/17, 2019), la Cour de justice de l’Union européenne (CJUE) a jugé qu’une case pré-cochée ne constitue pas un consentement valable.
• Pas de consentement implicite. Selon le Comité européen de la protection des données (CEPD), l’organe qui publie des lignes directrices communes aux autorités européennes, faire défiler la page ou poursuivre la navigation ne vaut pas consentement.
• Des choix granulaires. Les internautes doivent pouvoir accepter la mesure d’audience tout en refusant le marketing, au lieu de se voir imposer un interrupteur unique « tout ou rien ».
• Une information réelle. Expliquez qui dépose les cookies, à quoi ils servent, combien de temps ils sont conservés et quels tiers reçoivent des données.
• Un consentement libre. Refuser doit être aussi simple qu’accepter, et l’accès à votre site ne doit pas dépendre de l’acceptation de cookies non essentiels.

Notre checklist du consentement valable passe chacune de ces règles en revue.

Que signifie concrètement un consentement « préalable » ?

Cela signifie que rien de non essentiel ne s’exécute tant que le visiteur n’a pas dit oui. Un bandeau qui enregistre un choix alors que les balises de mesure d’audience et publicitaires se sont déjà déclenchées au chargement de la page n’est pas conforme, aussi soigné soit-il.

C’est avant tout un problème technique. Les scripts tiers, les conteneurs du gestionnaire de balises et les widgets intégrés doivent être bloqués jusqu’à ce que la catégorie concernée soit autorisée, et l’état du consentement doit être vérifié à chaque page vue pour qu’un refus reste un refus.

Si vous utilisez des balises publicitaires ou de mesure Google pour des visiteurs situés dans l’Espace économique européen (EEE), Google exige en outre, depuis mars 2024, des signaux du mode Consentement (Consent Mode). Ces signaux transmettent le choix du visiteur aux balises Google. Il s’agit d’une exigence propre aux règles de Google, qui ne remplace pas l’obligation légale d’obtenir d’abord le consentement.

Que faut-il faire au-delà du bandeau pour être conforme ?

Le bandeau n’en est que la partie visible. Une mise en conformité suit généralement huit étapes :

1. Auditez votre site. Recensez chaque cookie, clé de stockage local, pixel et script tiers, y compris ceux ajoutés par des plugins et des gestionnaires de balises.
2. Classez par finalité. Rangez chaque élément dans la catégorie nécessaires, préférences, mesure d’audience ou marketing, et supprimez tout ce que vous n’utilisez plus.
3. Bloquez avant le consentement. Retenez chaque script non essentiel jusqu’à ce que sa catégorie soit autorisée.
4. Demandez clairement. Affichez les options d’acceptation et de refus avec la même visibilité dès le premier niveau, ainsi qu’un moyen de choisir catégorie par catégorie.
5. Documentez. Publiez une politique cookies qui correspond à ce que votre site dépose réellement.
6. Facilitez le retrait. Selon l’article 7(3), retirer son consentement doit être aussi simple que le donner : prévoyez donc un lien ou un bouton permanent qui rouvre les paramètres.
7. Conservez des preuves. L’article 7(1) vous impose d’être en mesure de démontrer le consentement : enregistrez le choix, l’horodatage et la version du bandeau affichée.
8. Recommencez régulièrement. Relancez un scan chaque fois que vous ajoutez des balises, changez de fournisseurs ou refondez le site.

Que risquez-vous en cas de manquement ?

Les sanctions peuvent être lourdes. En vertu de l’article 83(5) du RGPD, les violations les plus graves, notamment le non-respect des conditions applicables au consentement, sont passibles d’amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Les manquements en matière de cookies sanctionnés sur le fondement des lois nationales transposant la directive ePrivacy relèvent du régime de sanctions propre à chaque pays.

Les autorités ont montré qu’elles n’hésitaient pas à faire usage de ces pouvoirs. En décembre 2021, l’autorité française de protection des données, la CNIL, a infligé une amende de 150 millions d’euros à Google et de 60 millions d’euros à Facebook, parce que refuser les cookies sur leurs sites demandait plus d’efforts que de les accepter. Les autorités peuvent aussi ordonner des modifications de votre bandeau. Notre analyse de ce que les sanctions en matière de cookies apprennent aux éditeurs de sites décortique les pratiques qui continuent d’être sanctionnées.

En résumé

Le consentement aux cookies selon le RGPD se résume à une séquence simple : savoir ce que votre site dépose, bloquer tout ce qui n’est pas essentiel, demander clairement en offrant une option de refus équivalente, respecter la réponse sur chaque page et en conserver la preuve. La plupart des défaillances se glissent entre ces étapes, comme une balise ajoutée en dehors de l’audit ou un bandeau qui enregistre les choix sans les appliquer. Des outils comme Cookiesh peuvent automatiser le scan des cookies, le blocage des scripts et la journalisation du consentement, mais décider des cookies dont vous avez réellement besoin reste de votre ressort.

Cet article est fourni à titre d’information générale et ne constitue pas un avis juridique. Pour toute décision concernant votre situation, consultez un professionnel qualifié de la protection des données.