Bandeau cookies : est-il obligatoire sur un site vitrine ?

Ce que la CNIL appelle un traceur

La règle vient de l’article 82 de la loi Informatique et Libertés. La CNIL la résume ainsi : le visiteur doit être informé et donner son consentement « préalablement au dépôt ou la lecture de cookies ou autres traceurs, à moins que ces traceurs ne bénéficient d’une des exemptions prévues par l’article 82 de la loi Informatique et Libertés ».

Le mot « cookie » est trop étroit. Pour la CNIL, un traceur peut être un cookie, mais aussi un pixel invisible, une information lue dans la mémoire du navigateur (le « LocalStorage », par exemple) ou tout ensemble de données qui sert à calculer une empreinte unique de l’appareil. Et la règle s’applique que les informations recueillies soient des données personnelles ou non.

Les traceurs exemptés, et ceux qui demandent l’accord

Sont exemptés les traceurs strictement nécessaires au service que le visiteur a demandé, ou à la transmission de la communication. Pour tous les autres, pas d’accord, pas de dépôt. Voici les cas que cite la CNIL, choisis parmi ceux qu’un petit site peut rencontrer.

La mesure d’audience : exemptée, sous conditions

Savoir combien de personnes visitent vos pages n’impose pas toujours un bandeau. La CNIL « estime que la mesure d’audience peut être, dans une certaine limite, regardée comme strictement nécessaire au fonctionnement du site ». Pour être exemptés, ces traceurs doivent :

• servir uniquement à mesurer l’audience du site, pour le compte exclusif de l’éditeur ;
• produire uniquement des statistiques anonymes ;
• ne pas permettre de suivre la navigation du visiteur d’un site à l’autre ;
• ne pas conduire à recouper les données avec d’autres traitements, ni à transmettre des données non anonymes à des tiers.

• L’outil compte, et son fournisseur aussi

  La CNIL prévient que « certaines offres de mesure d’audience n’entrent pas dans le périmètre de l’exemption, notamment lorsque leurs fournisseurs indiquent réutiliser les données pour leur propre compte ». C’est à l’éditeur du site de pouvoir démontrer que les conditions sont remplies : demandez au fournisseur de l’outil les documents qui le justifient.

• Ce que la CNIL recommande en plus

  Informer les visiteurs, par exemple dans la politique de confidentialité ; limiter la durée de vie de ces traceurs, comme à treize mois, sans la prolonger automatiquement à chaque nouvelle visite ; garder les informations recueillies vingt-cinq mois au plus.

Quand il faut un bandeau, ce qu’il doit permettre

1. 1Informer avant le choix : à quoi servent les traceurs, et qui les dépose, avec un accès à la liste des responsables. Accepter des conditions générales d’utilisation ne vaut pas consentement.
2. 2Laisser le visiteur accepter par un geste clair. Poursuivre sa navigation, ou fermer le bandeau, vaut refus.
3. 3Refuser aussi facilement qu’accepter. La CNIL considère qu’un bouton « tout refuser », au même niveau et avec le même aspect que « tout accepter », est un moyen clair et simple. Un refus caché derrière un bouton « paramétrer mes choix » ne suffit pas.
4. 4Ne pas pousser la main : la CNIL recommande que l’interface ne mette pas visuellement un choix plus en valeur que l’autre, le design restant laissé à l’appréciation de l’éditeur.
5. 5Ne rien déposer avant le choix : tant que le visiteur n’a pas accepté, les traceurs soumis à son accord ne sont ni déposés ni lus.
6. 6Permettre de changer d’avis à tout moment, aussi simplement, par exemple par un lien en pied de page.
7. 7Garder le choix en mémoire, pour ne pas le redemander à chaque page.

• Le bandeau n’est qu’un moyen

  Ce qui est exigé, c’est l’accord préalable, pas la forme du bandeau. En 2019, la CNIL a retiré le sien de son propre site : aucun traceur n’y était déposé tant que le visiteur ne l’avait pas accepté dans le module de gestion des cookies. Elle précisait que ce choix « ne constitue ni une obligation ni une recommandation pour les autres sites web ».

Le site vitrine sans aucun traceur

Un site vitrine peut très bien se passer de tout cela : pas de publicité, pas de bouton de partage, pas de vidéo d’une plateforme, pas d’outil de mesure, ou un outil qui remplit les conditions de l’exemption. Il n’a alors aucun consentement à recueillir, donc pas de bandeau à afficher. C’est aussi un choix de départ : chaque outil ajouté plus tard peut faire revenir la question.

Deux choses restent à prévoir : une recommandation et une obligation. La CNIL recommande d’informer les visiteurs des traceurs exemptés que le site utilise, par exemple dans la politique relative aux cookies. Et un formulaire de contact recueille des données personnelles : cela ne demande pas de bandeau, mais une politique de confidentialité, dont notre guide des mentions obligatoires détaille le contenu.

Le bandeau et cette politique se répondent : le premier donne l’essentiel au moment du choix, la seconde donne le détail. La CNIL admet ces deux niveaux d’information. Ils doivent dire la même chose : un traceur ajouté au site s’ajoute aussi à la politique de confidentialité, le même jour.

Ce que fait vigne.dev

Sur ce site, la mesure d’audience passe par Google Analytics, et nous avons choisi de demander votre accord avant de le charger. Tant que vous n’avez pas cliqué sur « Accepter » dans le bandeau, l’outil n’est pas chargé : il ne dépose ni ne lit rien. Si vous acceptez, ses cookies expirent au plus tard treize mois après votre première visite : leur durée n’est pas prolongée à chaque nouvelle visite.

Le bandeau propose « Refuser » à côté d’« Accepter », avec le même aspect, et le lien « Gérer mes cookies », en bas de chaque page, permet de changer d’avis à tout moment. Votre choix lui-même est gardé dans votre navigateur : c’est l’un des traceurs que la CNIL range parmi les exemptés. Le site n’a ni compte client ni panier.

Questions fréquentes

Des réponses courtes et franches. S’il manque la vôtre, écrivez-nous.