La bannière cookies est devenue un passage obligé de la navigation, et pourtant beaucoup restent non conformes : bouton « Refuser » caché, cookies déposés avant tout choix, cases précochées… En France, la CNIL contrôle régulièrement les sites et a déjà prononcé de lourdes sanctions sur ce sujet. Voici les règles à respecter, ce que je mets en place sur les sites de mes clients et, surtout, comment avoir besoin d'une bannière aussi rarement que possible.
Ce que dit la loi
Le dépôt de cookies et de traceurs est encadré par l'article 82 de la loi Informatique et Libertés, qui transpose la directive européenne ePrivacy, et le consentement doit répondre aux exigences du RGPD. La CNIL a précisé l'application de ces textes dans ses lignes directrices et sa recommandation de septembre 2020, devenues la référence pour les contrôles.
Le principe est simple : tout traceur qui n'est pas strictement nécessaire au fonctionnement du site ou exempté nécessite le consentement préalable de l'internaute. Pour une vue d'ensemble des obligations, consultez mon guide sur la conformité RGPD d'un site web.
Les cookies qui ne demandent pas de consentement
Certains traceurs sont exemptés, car indispensables au service demandé :
- le cookie de session d'un panier d'achat ou d'un espace client ;
- le cookie qui mémorise le choix de l'internaute concernant… les cookies ;
- les cookies d'authentification et de sécurité (protection contre les attaques CSRF, équilibrage de charge) ;
- certains outils de mesure d'audience strictement configurés, comme je l'explique dans mon article sur Matomo sans consentement.
Si votre site n'utilise que ces traceurs, vous n'avez pas besoin de bannière : une information dans la politique de confidentialité suffit.
Les règles d'une bannière cookies conforme
Refuser doit être aussi simple qu'accepter
C'est le point le plus souvent contrôlé. Si la bannière propose un bouton « Tout accepter », elle doit proposer au même niveau un bouton « Tout refuser », de taille et de visibilité équivalentes. Un lien discret « Continuer sans accepter » est admis s'il est clairement visible, mais un refus caché au second niveau ne l'est pas.
Fermer la bannière avec la croix doit valoir refus. Continuer à naviguer ne vaut jamais acceptation.
Aucun traceur avant le choix
Les scripts de statistiques, de publicité ou de réseaux sociaux ne doivent se charger qu'après le consentement. C'est techniquement le point le plus délicat : de nombreux sites affichent une bannière parfaitement présentée, mais chargent Google Analytics ou le pixel Facebook dès l'arrivée sur la page. Vérifiez-le dans l'onglet Réseau de votre navigateur, après avoir vidé les cookies.
Un consentement libre, éclairé et spécifique
- Finalités détaillées : l'internaute doit pouvoir accepter la mesure d'audience et refuser la publicité ;
- Pas de cases précochées ;
- Liste des partenaires accessible ;
- Pas de cookie wall abusif : conditionner l'accès au site à l'acceptation n'est admis que dans des cas encadrés, où une alternative réelle et équitable est proposée.
Retirer son consentement à tout moment
Un lien « Gérer les cookies » doit rester accessible sur toutes les pages, en général dans le pied de page. Retirer son consentement doit être aussi facile que de l'avoir donné.
Conserver les choix, et la preuve
La CNIL recommande de conserver le choix de l'internaute, qu'il s'agisse d'une acceptation ou d'un refus, pendant une durée raisonnable, et cite une durée de six mois comme bonne pratique avant de redemander. Il faut aussi pouvoir prouver que le consentement a été recueilli : les solutions de gestion du consentement (CMP) conservent un journal horodaté des choix.
Les sanctions ne sont pas théoriques
Fin 2021, la CNIL a sanctionné Google à hauteur de 150 millions d'euros et Facebook à hauteur de 60 millions d'euros, précisément parce que refuser les cookies demandait plus de clics que les accepter, comme le rappelle la CNIL. Les petites structures ne sont pas à l'abri : les contrôles concernent aussi des sites de taille modeste, souvent après une plainte.
Choisir sa solution technique
Plusieurs approches existent :
- Une CMP open source comme tarteaucitron.js, très répandue en France, qui gère le blocage préalable des services les plus courants ;
- Une CMP commerciale, utile pour les sites qui utilisent beaucoup de services publicitaires et doivent gérer le standard IAB TCF ;
- Une solution sur mesure, envisageable quand le site n'a qu'un ou deux services à piloter.
Quelle que soit la solution, la bannière doit aussi être accessible : navigable au clavier, lisible par les lecteurs d'écran et suffisamment contrastée. Une bannière qui recouvre tout l'écran pénalise aussi l'expérience mobile et peut dégrader vos Core Web Vitals.
Ma recommandation : réduire le besoin de bannière
La meilleure bannière cookies est celle qu'on n'a pas besoin d'afficher. Sur les sites que je développe, je privilégie :
- une mesure d'audience exemptée de consentement ;
- des vidéos intégrées en mode « sans cookie » ou chargées seulement au clic ;
- des polices auto-hébergées plutôt que chargées depuis des serveurs tiers ;
- des boutons de partage en simples liens, sans script des réseaux sociaux.
Le résultat : un site plus rapide, plus respectueux des visiteurs et sans fenêtre intrusive à l'arrivée. Si vous voulez faire vérifier la conformité de votre site, je peux réaliser un audit RGPD et technique.
