Aller au contenu

Obligations légales

Bandeau cookies : est-il obligatoire sur un site vitrine ?

Antoine Auffray6 min de lecture
Sommaire

Non, pas par principe. L'article 82 de la loi Informatique et Libertés impose de recueillir le consentement avant de déposer un traceur, sauf s'il est strictement nécessaire au service demandé. Un site qui ne dépose aucun traceur soumis à consentement n'a pas besoin de bandeau. Un site qui en dépose doit en avoir un vrai, avec un refus aussi simple que l'acceptation.

Le bandeau cookies est devenu un réflexe : on l'installe sur tous les sites, souvent mal, parfois pour rien. La bonne question n'est pas « ai-je un bandeau ? » mais « qu'est-ce que mon site dépose sur l'appareil de mes visiteurs ? ».

La règle : le consentement avant le dépôt

Le texte applicable est l'article 82 de la loi du 6 janvier 1978, qui transpose la directive européenne dite ePrivacy. Il vise les cookies, mais aussi toute technique qui lit ou écrit des informations sur l'appareil de l'internaute : pixels, identifiants de stockage local, empreinte du navigateur.

La règle tient en une phrase. Avant tout dépôt ou lecture d'un traceur, le visiteur doit avoir été informé et avoir donné son consentement, sauf dans deux cas : le traceur sert uniquement à permettre la communication électronique, ou il est strictement nécessaire à la fourniture d'un service expressément demandé par l'utilisateur.

Le RGPD fixe ensuite ce qu'est un consentement valable : libre, spécifique, éclairé et univoque.

Ce qui ne demande pas de consentement

La CNIL cite plusieurs familles de traceurs dispensés :

  • ceux qui conservent le choix exprimé sur les traceurs eux-mêmes ;
  • ceux qui servent à l'authentification auprès d'un service ;
  • ceux qui gardent en mémoire le contenu d'un panier d'achat ;
  • ceux qui personnalisent l'interface, comme le choix de la langue, quand cette personnalisation fait partie du service demandé ;
  • ceux qui répartissent la charge entre serveurs ;
  • ceux qui limitent l'accès gratuit à un échantillon de contenu ;
  • certains traceurs de mesure d'audience, sous conditions.

Le cas des statistiques de fréquentation

C'est le point qui concerne presque tous les sites. La mesure d'audience peut être dispensée de consentement si elle reste strictement limitée à cet usage. D'après la CNIL, les traceurs doivent :

  • servir uniquement à mesurer l'audience du site, pour le compte exclusif de son éditeur ;
  • ne produire que des statistiques anonymes ;
  • ne pas permettre de suivre la personne d'un site à l'autre ;
  • ne pas être recoupés avec d'autres traitements ni transmis à des tiers.

La CNIL recommande une durée de vie de 13 mois pour ces traceurs, sans prolongation automatique, et une conservation des informations collectées de 25 mois au plus.

Google Analytics n'entre pas dans cette exemption par défaut. L'outil réutilise les données pour les besoins de son éditeur, ce qui sort du cadre. Il demande donc un consentement. Des outils conçus pour la mesure seule, comme Matomo, peuvent être configurés pour en être dispensés. Il existe aussi des solutions de statistiques qui ne déposent aucun traceur.

Ce qui demande un consentement

Sur un site vitrine, les traceurs soumis à consentement arrivent rarement par choix. Ils viennent avec des outils installés pour autre chose :

  • un outil de statistiques relié à une régie publicitaire ;
  • le pixel d'un réseau social ou d'une plateforme de publicité ;
  • une vidéo intégrée depuis une plateforme d'hébergement ;
  • une carte interactive intégrée ;
  • des boutons de partage fournis par les réseaux sociaux ;
  • un module de discussion en ligne d'un éditeur tiers ;
  • certaines polices ou bibliothèques chargées depuis des serveurs externes, qui transmettent au minimum l'adresse IP du visiteur.

Chacun de ces éléments peut souvent être remplacé : une vidéo chargée seulement au clic, une carte en image avec un lien, des polices hébergées sur le site.

Trois situations

Votre site ne dépose aucun traceur soumis à consentement. Pas de bandeau à afficher. La CNIL recommande tout de même d'informer les visiteurs des traceurs dispensés que vous utilisez, par exemple dans votre page de confidentialité.

Votre site ne dépose que des traceurs de mesure d'audience dispensés. Pas de bandeau non plus, à condition que l'outil soit réellement configuré dans les clous. Une information et une possibilité de s'opposer restent de bonne pratique.

Votre site dépose au moins un traceur soumis à consentement. Le bandeau est obligatoire, et rien ne doit se déposer avant le choix du visiteur.

Si le bandeau est nécessaire : ce qu'il doit respecter

  1. Aucun dépôt avant le choix. Le bandeau n'est pas un panneau d'information. Tant que le visiteur n'a pas accepté, les traceurs concernés restent bloqués.
  2. Refuser aussi simplement qu'accepter. La CNIL recommande un bouton « Tout refuser » au même niveau et dans le même format que « Tout accepter ». Un refus caché derrière « Paramétrer » ne convient pas.
  3. La poursuite de la navigation ne vaut pas accord. Faire défiler la page ou cliquer ailleurs n'est pas un consentement. Le silence s'interprète comme un refus.
  4. Pas de case précochée.
  5. Les finalités annoncées d'abord. Le visiteur doit savoir à quoi servent les traceurs avant de choisir, et pouvoir choisir finalité par finalité.
  6. Un retrait possible à tout moment. Un lien « Gérer les cookies » en pied de page le permet.
  7. Un choix conservé. La CNIL considère comme bonne pratique de garder le choix, accord comme refus, pendant six mois, sans redemander à chaque visite.
  8. Une preuve. Vous devez pouvoir démontrer que le consentement a été recueilli valablement.

Ce que vous risquez

La CNIL peut prononcer des amendes allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. Les sanctions de plusieurs dizaines de millions d'euros prononcées pour des bandeaux non conformes ont visé de grands groupes.

Pour une petite structure, le cadre réaliste est la procédure simplifiée, que la CNIL utilise pour les dossiers sans difficulté particulière et qui plafonne l'amende à 20 000 €. Elle est en général précédée d'une mise en demeure qui laisse le temps de corriger.

Vérifier son site en cinq minutes

  1. Ouvrez votre site dans une fenêtre de navigation privée.
  2. Ne cliquez sur rien.
  3. Ouvrez les outils de développement du navigateur, rubrique stockage ou application, puis « Cookies ».
  4. Notez ce qui s'y trouve et les domaines d'origine. Un domaine qui n'est pas le vôtre désigne un tiers.
  5. Regardez aussi l'onglet réseau : les appels vers des régies publicitaires ou des réseaux sociaux y apparaissent.

Si la liste est vide, ou ne contient que des traceurs techniques, vous savez où vous en êtes.

Questions fréquentes

Mon site n'a qu'un formulaire de contact. Me faut-il un bandeau ?

Non. Un formulaire ne dépose pas de traceur. Il déclenche une autre obligation : informer sur l'usage des données, ce que couvre la politique de confidentialité.

Le bandeau fourni par mon outil de création de site suffit-il ?

Pas toujours. Beaucoup de bandeaux affichent un message sans bloquer les traceurs. Le test en navigation privée le montre tout de suite.

Une vidéo intégrée oblige-t-elle à afficher un bandeau ?

Si le lecteur dépose des traceurs dès le chargement de la page, oui. Une image cliquable qui ne charge le lecteur qu'au clic règle la question pour ce contenu.

Peut-on bloquer l'accès au site à ceux qui refusent ?

La CNIL examine ces dispositifs au cas par cas, en regardant si le visiteur dispose d'une alternative réelle. Pour un site vitrine, cette pratique n'a pas de justification.

Une page « politique de cookies » est-elle obligatoire ?

Le texte demande une information claire et complète, pas une page portant ce nom. Une rubrique dans la page de confidentialité convient.

En résumé

Le bandeau n'est pas une décoration réglementaire. Soit votre site dépose des traceurs soumis à consentement et il lui faut un bandeau qui bloque réellement, soit il n'en dépose pas et il s'en passe.

Le choix des outils se fait à la conception du site : statistiques, polices, vidéos, modules tiers. C'est un arbitrage que nous menons avec chaque client, voir notre offre de site vitrine. La vue d'ensemble est dans les obligations légales d'un site internet.

Cet article donne une information générale. Il ne remplace pas l'avis d'un avocat sur votre situation.

Sources

À lire ensuite