Bandeau cookies : être en règle avec la CNIL sans complication

Ce guide s'adresse aux dirigeants de petites entreprises, aux indépendants et aux associations qui ont un site et se demandent si leur bandeau cookies est conforme. Vous y verrez quels traceurs demandent un accord, comment présenter le choix sans piéger le visiteur, dans quels cas la mesure d'audience peut se passer de consentement, et comment garder la preuve des choix exprimés.

Ce qu'on appelle un cookie et pourquoi il faut demander

Un cookie est un petit fichier déposé dans le navigateur du visiteur. Certains sont indispensables : garder un panier en mémoire, maintenir une connexion, retenir le choix de langue. D'autres servent à mesurer l'audience, à afficher de la publicité ciblée, à intégrer une vidéo ou un bouton de réseau social. La règle s'applique d'ailleurs à tous les traceurs, pas seulement aux cookies.

Le principe posé par la loi Informatique et Libertés, et précisé par la CNIL dans ses lignes directrices et sa recommandation, est simple : tout traceur qui n'est pas strictement nécessaire au fonctionnement du site ou au service demandé par le visiteur nécessite son accord préalable. Tant que le visiteur n'a pas accepté, ces traceurs ne doivent pas être déposés.

Faites l'inventaire de vos traceurs

Avant de toucher au bandeau, sachez ce que votre site dépose réellement.

1. Ouvrez votre site dans une fenêtre de navigation privée.
2. Avec l'outil de développement du navigateur (touche F12, onglet Stockage ou Application), regardez les cookies présents avant toute action.
3. Listez les services tiers intégrés : mesure d'audience, vidéos YouTube, cartes, polices hébergées ailleurs, pixels publicitaires, outils de discussion en direct.
4. Pour chacun, demandez-vous : est-il indispensable ? Peut-on le remplacer par une solution plus discrète ?

Souvent, quelques choix simples réduisent fortement le besoin de consentement, par exemple une vidéo qui ne se charge qu'au clic.

Les règles d'un bandeau conforme

Refuser doit être aussi simple qu'accepter

C'est le point sur lequel la CNIL a le plus sanctionné. Si votre bandeau propose un bouton « Tout accepter » dès le premier écran, il doit proposer au même niveau un bouton « Tout refuser », avec la même visibilité. Fermer le bandeau par une croix doit valoir refus. Un refus caché derrière un lien discret ou plusieurs clics n'est pas conforme.

Un consentement libre et éclairé

• Continuer à naviguer ne vaut pas accord.
• Aucune case ne doit être cochée par défaut.
• Le visiteur doit savoir à quoi servent les traceurs et qui les dépose, avec un accès à la liste détaillée.
• Il doit pouvoir accepter certaines finalités et en refuser d'autres.
• L'accès au site ne doit pas être bloqué pour celui qui refuse, sauf cas particuliers encadrés.

Revenir sur son choix à tout moment

Le visiteur doit pouvoir retirer son accord aussi facilement qu'il l'a donné. Placez un lien « Gérer les cookies » dans le pied de page, visible sur toutes les pages. La CNIL recommande aussi de conserver le choix, y compris le refus, pendant une durée raisonnable pour ne pas reposer la question à chaque visite ; elle cite une durée de six mois comme bonne pratique.

La mesure d'audience exemptée

Savoir combien de personnes consultent vos pages est utile, et la CNIL admet que certains outils de mesure d'audience peuvent fonctionner sans consentement, à des conditions strictes :

• servir uniquement à produire des statistiques anonymes pour votre propre compte ;
• ne pas permettre de suivre le visiteur sur d'autres sites ;
• ne pas croiser les données avec d'autres traitements ni les transmettre à des tiers ;
• limiter la durée de vie des traceurs à 13 mois et la conservation des données à 25 mois ;
• informer les visiteurs et leur permettre de s'y opposer.

Certains outils peuvent être configurés pour respecter ces conditions ; la CNIL publie des informations sur les solutions concernées. Les outils généralistes des grandes plateformes, dans leur configuration habituelle, ne remplissent généralement pas ces critères et doivent passer par le bandeau. Vérifiez la page dédiée sur cnil.fr avant de faire votre choix.

Gardez la preuve du consentement

En cas de contrôle, c'est à vous de démontrer que le visiteur a bien accepté. Votre outil de gestion du consentement doit donc enregistrer, pour chaque choix :

• la date et l'heure ;
• la version du bandeau et du texte d'information affichés ;
• les finalités acceptées ou refusées ;
• un identifiant technique permettant de retrouver ce choix, sans conserver plus de données que nécessaire.

Conservez aussi une copie des versions successives de votre bandeau et de votre politique de confidentialité. Si vous utilisez un outil tiers, vérifiez qu'il offre bien cet historique.

La liste à cocher

• Lister tous les traceurs présents sur le site, y compris ceux des services intégrés.
• Supprimer ou remplacer les traceurs inutiles.
• Ne rien déposer de non indispensable avant l'accord du visiteur.
• Proposer « Tout refuser » au même niveau que « Tout accepter ».
• Ajouter un lien « Gérer les cookies » sur toutes les pages.
• Configurer la mesure d'audience selon les conditions d'exemption, ou la soumettre au consentement.
• Conserver la preuve des choix et l'historique du bandeau.

Un bandeau honnête rassure vos visiteurs et vous évite des ennuis. Si vous voulez faire vérifier ce que dépose votre site, vous pouvez réserver un échange gratuit, ou lire notre guide sur les mentions légales dans la rubrique guides.

Questions fréquentes