Votre bandeau de cookies est-il réellement conforme ?

¹Sur la base de :

• l'article 82 de la loi n° 78-17 du 6 janvier 1978 (loi « Informatique et Libertés ») ;
• les lignes directrices de la CNIL, délibération n° 2020-091 du 17 septembre 2020 ;
• la recommandation « cookies et autres traceurs » de la CNIL (délibération n° 2020-092) ;
• le RGPD (règlement (UE) 2016/679).

Le consentement doit être libre : l’utilisateur doit pouvoir accepter ou refuser les traceurs finalité par finalité. Un consentement unique et global pour plusieurs finalités distinctes, sans possibilité de choix granulaire, peut compromettre la validité du consentement.

Si un bouton « Tout accepter » est proposé au premier niveau du bandeau, un bouton « Tout refuser » doit être proposé au même niveau, avec une visibilité, une taille et une hiérarchie visuelle équivalentes.

La poursuite de la navigation, le défilement de la page (scroll) ou l'usage d'une application ne valent pas consentement. Les cases pré-cochées sont interdites (CJUE, Planet 49, 1er octobre 2019) car elles ne permettent pas de recueillir un consentement explicite et univoque.

En l'absence d'un acte positif clair, l'utilisateur doit être considéré comme ayant refusé l'accès à son terminal. Aucun traceur soumis à consentement ne peut alors être déposé ou lu.

En l'état, le paramétrage des navigateurs ou des systèmes d'exploitation ne permet pas, à lui seul, d'exprimer un consentement valable, notamment parce qu'il ne distingue pas les traceurs selon leurs finalités.

Le choix de l'utilisateur, qu’il s’agisse d’un consentement ou d’un refus, doit être conservé afin que le bandeau de cookies ne réapparaisse pas à chaque nouvelle page consultée. Le refus doit être mémorisé dans les mêmes conditions que l’acceptation, pour garantir une expérience cohérente et respecter le choix exprimé.

Retirer son consentement doit être aussi simple que de le donner. Un accès permanent et facilement identifiable, par exemple via un lien dédié ou une icône fixe sur toutes les pages du site, doit permettre de modifier ses choix à tout moment.

Les traceurs doivent être regroupés par finalité afin de permettre aux utilisateurs d'exprimer un choix distinct pour chacune d'elles. Si un même traceur est utilisé pour plusieurs finalités, dont au moins une nécessite un consentement, celui-ci doit être recueilli avant son activation.

Google Analytics et les balises déclenchées via Google Tag Manager ne doivent pas être activés avant consentement lorsqu’ils permettent un suivi inter-sites, des transferts de données vers des tiers ou dépassent les conditions strictes d’exemption CNIL. Cela vaut sans réserve pour le mode de consentement avancé (Advanced Consent Mode) de Google Analytics 4 (GA4) : le script GA4 se charge immédiatement, avant même que l'utilisateur ait fait un choix dans le bandeau. En cas de refus ou d’absence de réponse de l’utilisateur, GA4 ne dépose certes aucun cookie dans le navigateur, mais peut transmettre des signaux dits « cookieless pings » aux serveurs de Google.

Contrairement aux traceurs publicitaires, certains outils de mesure d'audience peuvent être exemptés de consentement s'ils respectent l'ensemble des exigences définies par la CNIL :

• la mesure est réalisée exclusivement pour le compte de l'éditeur du site ;
• elle est limitée à la seule mesure d'audience ;
• pas de suivi global de la navigation sur différents sites ou applications ;
• seules des statistiques anonymes sont produites ;
• pas de recoupement des données avec d'autres traitements, ni de transmission à des tiers.

La CNIL met à disposition un outil d’auto-évaluation permettant aux fournisseurs d’analyser si leur solution peut être configurée de manière à entrer dans le champ de l’exemption. Une solution ne doit pas être présentée comme « certifiée » ou « validée » par la CNIL.