Cookies et traceurs

Le régime des cookies ne relève pas du règlement général sur la protection des données mais de la directive dite vie privée et communications électroniques, transposée en France à l'article 82 de la loi informatique et libertés. La différence a des conséquences pratiques : le consentement est exigé même lorsqu'aucune donnée personnelle n'est traitée.

Principe

Toute lecture ou écriture d'information sur le terminal de l'utilisateur suppose son consentement préalable, libre, spécifique, éclairé et univoque. Le dépôt ne peut donc pas intervenir avant l'action de l'utilisateur, et la simple poursuite de la navigation ne vaut pas acceptation depuis les lignes directrices de 2020.

Exemptions

Échappent au consentement les traceurs strictement nécessaires à la fourniture du service : identifiant de session, panier d'achat, préférence de langue, équilibrage de charge, et conservation du choix exprimé sur les cookies eux-mêmes. La mesure d'audience bénéficie d'une exemption conditionnelle, à condition que les données restent limitées, non recoupées et conservées 13 mois au maximum.

Bandeau

Le refus doit être aussi simple que l'acceptation, ce qui impose un bouton tout refuser au même niveau que le bouton tout accepter, dans la même présentation graphique. Les bandeaux qui n'offrent qu'un lien discret vers un paramétrage détaillé ont donné lieu à plusieurs sanctions lourdes. Le choix se conserve 6 mois environ, et l'utilisateur doit pouvoir le modifier à tout moment.

Preuve

Le responsable doit être en mesure de démontrer le recueil valide du consentement. Cela suppose de conserver, pour chaque visiteur, la date, la portée et la version du bandeau affichée. Les plateformes de gestion du consentement assurent cette journalisation, ce qui est leur principal apport par rapport à un bandeau développé sur mesure.

Sanctions

Les manquements en matière de cookies sont ceux que l'autorité française sanctionne le plus, avec des amendes de plusieurs dizaines à plusieurs centaines de millions d'euros pour les grandes plateformes. Les contrôles se font en ligne, sans visite ni préavis, ce qui rend la conformité vérifiable en quelques minutes par un agent.