Cookies et bandeau de consentement : les règles pour un site d'entreprise

Un site vitrine de dix pages peut déposer, sans que son propriétaire le sache, des traceurs liés à une vidéo intégrée, à une carte, à des boutons de partage ou à un outil de statistiques. Chacun de ces éléments relève des règles sur les cookies. La bonne nouvelle : une fois l’inventaire fait, la mise en conformité tient en quelques décisions claires.

Ce que recouvre le mot « cookie »

Juridiquement, la règle ne vise pas seulement les petits fichiers déposés dans le navigateur. Elle s’applique à tous les traceurs : cookies, mais aussi pixels invisibles, identifiants publicitaires, stockage local du navigateur, empreinte de l’appareil. Peu importe la technique : ce qui compte, c’est qu’une information soit lue ou écrite sur le terminal de l’internaute.

Le principe : un accord préalable pour les traceurs non essentiels

Les traceurs qui ne sont pas indispensables au fonctionnement du site ne peuvent être déposés qu’après le consentement de l’internaute. Concrètement, tant que le visiteur n’a pas accepté, ces traceurs ne doivent pas se déclencher, y compris au premier affichage de la page.

Les traceurs exemptés doivent tout de même être mentionnés dans l’information donnée aux visiteurs.

Un consentement valable : les règles du bandeau

Selon les lignes directrices et recommandations de la CNIL, le consentement doit être libre, spécifique, éclairé et univoque. Pour un bandeau, cela se traduit ainsi :

• refuser doit être aussi simple qu’accepter : si un bouton « Tout accepter » figure au premier niveau, un bouton « Tout refuser » doit y figurer aussi, avec une visibilité comparable ;
• poursuivre la navigation ne vaut pas accord : faire défiler la page ou cliquer ailleurs n’est pas un consentement ;
• pas de cases précochées dans le panneau de personnalisation ;
• une information claire : qui dépose les traceurs, pour quelles finalités, avec la possibilité de choisir finalité par finalité ;
• retirer son consentement doit être facile, à tout moment, par exemple via un lien « Gérer les cookies » en pied de page ;
• le choix est conservé pour une durée limitée : la CNIL recommande de conserver le choix de l’internaute, qu’il s’agisse d’un accord ou d’un refus, pendant six mois, puis de le solliciter à nouveau.

Le refus doit être respecté : un visiteur qui a dit non ne doit pas voir réapparaître le bandeau à chaque page.

La mesure d’audience : le cas de l’exemption

Connaître le nombre de visites et les pages consultées est utile à toute entreprise. La CNIL admet que certains outils de mesure d’audience puissent être utilisés sans consentement, à des conditions strictes : finalité limitée à la mesure d’audience du site pour le compte de son éditeur, données non recoupées avec d’autres traitements, pas de suivi de la navigation sur d’autres sites, anonymisation ou limitation des données collectées, durée de vie des traceurs encadrée.

Tous les outils de statistiques ne remplissent pas ces conditions, et leur configuration compte autant que l’outil lui-même. La CNIL publie sur cnil.fr ses recommandations et des informations sur les solutions de mesure d’audience pouvant bénéficier de l’exemption. En cas de doute, soumettez l’outil au consentement.

Faire l’inventaire de son site

Avant de choisir un module de consentement, dressez la liste de ce que le site charge réellement :

1. ouvrez le site dans une fenêtre de navigation privée et consultez, dans les outils de développement du navigateur, les cookies et le stockage déposés avant toute action ;
2. repérez les contenus intégrés : vidéos, cartes, polices ou scripts chargés depuis d’autres sites, widgets de réseaux sociaux, outils de discussion ;
3. listez les extensions installées sur le CMS, certaines ajoutent leurs propres traceurs ;
4. pour chaque élément, notez la finalité et décidez : supprimer, conserver avec consentement, ou conserver comme exempté.

Souvent, la solution la plus simple consiste à retirer ce qui ne sert à rien : un bouton de partage jamais utilisé, un pixel publicitaire d’une ancienne campagne, une carte qu’une image et un lien d’itinéraire remplaceraient.

Le bandeau ne suffit pas

Le bandeau s’inscrit dans un ensemble. La politique de confidentialité doit décrire les traceurs utilisés, et les mentions légales identifier l’éditeur du site : voir les mentions légales d’un site d’entreprise. Plus largement, les traceurs sont un des traitements de données personnelles de l’entreprise, à intégrer à la démarche décrite dans RGPD dans une TPE : par où commencer. Si les données collectées servent ensuite à prospecter, les règles de la prospection par e-mail s’appliquent également.

À retenir

• Pas de traceur non essentiel avant un accord explicite.
• Un bouton « Tout refuser » aussi accessible que « Tout accepter ».
• Un choix modifiable à tout moment et conservé pour une durée limitée.
• Une exemption possible pour certains outils de mesure d’audience bien configurés.
• Un inventaire à refaire à chaque nouvelle extension ou nouveau contenu intégré.

Les recommandations évoluent : consultez régulièrement les pages consacrées aux cookies sur cnil.fr, qui font référence.

Cet article peut contenir des liens partenaires. Ils n'influencent jamais ce que nous écrivons.