Cookies et consentement : ce qu’exige la réglementation et les erreurs les plus fréquentes sur les sites web

Le bandeau de cookies est probablement l’élément juridique le plus visible d’un site web… et l’un des plus mal appliqués. Deux textes se combinent derrière lui : l’article 22.2 de la loi espagnole 34/2002 (LSSI-CE), qui encadre l’usage des cookies et technologies similaires (en France, l’article 82 de la loi Informatique et Libertés), et le règlement (UE) 2016/679 (RGPD), qui définit ce qu’est un consentement valide.

Ce qui compte comme « cookie » sur le plan juridique

Les règles ne se limitent pas aux cookies classiques : elles couvrent tout dispositif qui stocke ou lit des informations sur l’équipement de l’utilisateur, comme le local storage, les pixels de suivi, les identifiants d’appareil ou l’empreinte numérique du navigateur. Si votre site enregistre ou lit quelque chose sur le terminal du visiteur, il faut vérifier si un consentement est nécessaire.

Quels cookies exigent un consentement et lesquels non

• Exemptés (strictement nécessaires) : ceux qui permettent la transmission d’une communication ou qui sont indispensables pour fournir un service expressément demandé par l’utilisateur : session, authentification, sécurité, panier d’achat, répartition de charge ou mémorisation du choix de langue pendant la session.
• Consentement préalable requis : mesure d’audience, personnalisation non essentielle, publicité comportementale, réseaux sociaux et vidéos intégrées qui déposent des cookies tiers.

L’exemption s’interprète strictement : qu’un cookie vous soit utile ne le rend pas nécessaire pour l’utilisateur. Et les outils de mesure d’audience tiers exigent en général un consentement.

À quoi ressemble un consentement valide

Le RGPD exige une manifestation de volonté libre, spécifique, éclairée et univoque, par une déclaration ou un acte positif clair (art. 4, point 11). L’article 7 ajoute que vous devez pouvoir le démontrer et que le retirer doit être aussi simple que le donner.

Les erreurs les plus fréquentes

1. Déposer les cookies avant que l’utilisateur ne choisisse. Si les scripts de mesure ou de publicité s’exécutent dès l’ouverture de la page, le bandeau est purement décoratif.
2. Cases précochées ou interrupteurs activés par défaut. Le silence ou l’inaction ne constituent pas un consentement.
3. Considérer que « continuer à naviguer » ou faire défiler la page vaut acceptation. Ce n’est pas un acte positif univoque.
4. Un bouton « Accepter » bien visible et un refus caché derrière plusieurs clics ou un minuscule lien. Refuser doit être aussi simple qu’accepter.
5. Une information générique ou absente : ne pas indiquer quels cookies sont utilisés, pour quelle finalité, qui les dépose et pour combien de temps.
6. Regrouper toutes les finalités dans un seul « Tout accepter », sans possibilité de choisir par catégorie.
7. Subordonner l’accès au site à l’acceptation sans proposer d’alternative équivalente, ce qui peut remettre en cause le caractère libre du consentement.
8. Ne pas pouvoir changer d’avis. Les paramètres doivent être accessibles à tout moment, par exemple par un lien permanent en pied de page.
9. Ne pas conserver la preuve du consentement (quand, quelle version du texte, quels choix).
10. Une politique de cookies obsolète qui ne correspond pas aux cookies réellement déposés par le site.

Ce que doit dire votre politique de cookies

• Ce que sont les cookies et quels types votre site utilise.
• Pour chacun (ou chaque famille) : nom, émetteur (propre ou tiers), finalité et durée.
• Comment accepter, refuser ou modifier ses choix à tout moment.
• Comment les supprimer depuis le navigateur.
• Le lien avec votre politique de confidentialité lorsque les cookies impliquent un traitement de données personnelles.

Une vérification rapide de votre site

1. Ouvrez le site dans une fenêtre de navigation privée et, sans rien accepter, observez dans les outils de développement du navigateur quels cookies et quelles requêtes tierces sont créés.
2. Vérifiez que le bouton de refus est aussi visible que celui d’acceptation.
3. Refusez et vérifiez qu’après rechargement aucun cookie non exempté n’est déposé.
4. Repérez l’accès permettant de modifier le choix et vérifiez qu’il fonctionne.
5. Comparez la liste réelle des cookies avec ce que dit votre politique.

Garder le texte aligné sur la réalité

Une politique de cookies change chaque fois que vous ajoutez un outil ou un prestataire. La gérer comme un document versionné, avec historique, publié depuis un point unique — par exemple avec LegalCloud — évite que le texte du site ne prenne du retard sur ce qui se passe réellement.

L’AEPD publie un guide spécifique sur l’usage des cookies sur aepd.es, et le Comité européen de la protection des données a émis des lignes directrices sur le consentement sur edpb.europa.eu. Cet article est donné à titre d’information et ne remplace pas un conseil juridique adapté à votre cas.