Cookies & traceurs : le guide de la conformité

On distingue les cookies strictement nécessaires au fonctionnement du site des cookies destinés à d'autres finalités. Cette distinction détermine s'il faut ou non recueillir le consentement.

• Nécessaires (exemptés) : panier, session, préférence de langue, sécurité.
• Mesure d'audience : soumis au consentement, sauf configuration exemptée.
• Publicité et réseaux sociaux : toujours soumis au consentement.

Trois principes résument la règle du consentement aux traceurs.

• Aucun cookie non essentiel déposé avant le consentement.
• Le consentement doit être libre, éclairé et spécifique par finalité.
• La simple navigation (scroll, clic sur le site) ne vaut pas consentement.

Le point le plus contrôlé : la CNIL exige que refuser soit aussi simple qu'accepter — même niveau visuel, même nombre de clics. Un bouton « Tout accepter » bien visible sans bouton « Tout refuser » équivalent est non conforme.

• Boutons « Tout accepter » et « Tout refuser » au même niveau.
• Un lien « Paramétrer » pour un choix fin par finalité.
• Pas de design trompeur (couleurs, tailles) qui pousse à accepter.

Certains outils de mesure d'audience peuvent être exemptés de consentement, à condition d'être strictement limités à la mesure, sans recoupement avec d'autres traitements, sans transfert à des tiers, et correctement configurés (anonymisation, durée limitée). En dehors de ces conditions, le consentement redevient nécessaire.

Une plateforme de gestion du consentement (CMP) automatise le recueil, la mémorisation et le blocage des traceurs avant le choix. Bien choisie, elle vous met en conformité sans développement lourd.

• Elle doit bloquer réellement les traceurs tant que l'utilisateur n'a pas consenti.
• Elle doit proposer un refus au même niveau que l'accord.
• Elle doit conserver la preuve du choix et permettre de le modifier facilement.

Attention : installer une CMP ne suffit pas si elle est mal configurée. Testez toujours le comportement réel de votre site après l'installation.

Le consentement (comme le refus) se conserve un temps raisonnable — la CNIL recommande jusqu'à 13 mois — puis se redemande. L'utilisateur doit pouvoir revenir sur son choix à tout moment, aussi simplement qu'il l'a donné. Voir aussi notre guide RGPD e-commerce. Pour piloter l'ensemble de votre conformité, voir la conformité RGPD.