Que sont les cookies exactement ?
Les cookies sont de petits fichiers texte qu’un site web place sur l’appareil du visiteur. Ils servent a divers usages : du memorisation d’un panier d’achat au suivi du comportement de navigation pour la publicite. En vertu du RGPD et de la directive ePrivacy, des regles strictes s’appliquent quant au moment ou vous pouvez placer des cookies.
Le probleme : beaucoup d’entrepreneurs placent un bandeau cookies sur leur site et pensent que c’est regle. Mais un bandeau seul ne suffit pas. Ce qui compte, c’est de demander le bon consentement, au bon moment, pour les bons cookies.
Trois categories de cookies
Tous les cookies ne sont pas egaux. La reglementation distingue trois categories principales, avec des regles differentes pour chacune.
1. Cookies strictement necessaires (pas de consentement requis)
Ce sont les cookies sans lesquels votre site ne fonctionne pas :
- Cookies de session pour un panier d’achat ou une connexion
- Le cookie qui enregistre le choix cookies du visiteur
- Cookies de securite (ex. jetons CSRF)
Ceux-ci peuvent etre places sans consentement, mais doivent figurer dans votre politique cookies.
2. Cookies analytiques (consentement requis)
Cookies mesurant le comportement des visiteurs, comme Google Analytics, Hotjar ou Matomo (avec les parametres par defaut). Meme si vous n’utilisez les donnees qu’en interne, un consentement prealable est necessaire.
Attention : certains outils d’analytics proposent un “mode sans cookies”. Verifiez toujours qu’aucun cookie n’est effectivement place, car le nom peut etre trompeur.
3. Cookies marketing (consentement requis)
Cookies utilises pour la publicite, le reciblage et la creation de profils visiteurs. Exemples :
- Facebook Pixel (
_fbp) - Google Ads remarketing
- LinkedIn Insight Tag
- Autres reseaux publicitaires
Les cookies marketing sont les plus strictement reglementes. Le consentement doit etre specifique, eclaire et actif.
A quoi ressemble un bandeau cookies correct ?
Un bandeau cookies conforme au RGPD repond a ces exigences :
Pas de cookies charges d’avance. Les cookies non essentiels ne peuvent etre places qu’apres le consentement actif du visiteur. Cela signifie : pas de Google Analytics, pas de Facebook Pixel, pas de scripts marketing tant que le visiteur n’a pas clique sur “Accepter”.
Offrir un vrai choix. Le visiteur doit pouvoir refuser aussi facilement qu’accepter. Les deux boutons doivent etre egalement visibles. Un grand bouton vert “Tout accepter” a cote d’un petit lien gris “Plus d’infos” n’est pas un vrai choix.
Demander le consentement par categorie. Le visiteur doit pouvoir choisir quelles categories de cookies sont placees. L’acceptation des cookies analytiques doit etre separee des cookies marketing.
Memoriser le choix. Un visiteur qui refuse ne doit pas etre sollicite a chaque visite de page. Enregistrez le choix (ironiquement, dans un cookie strictement necessaire).
Rendre le consentement revocable. Il doit y avoir un moyen de modifier le choix cookies ulterieurement, par exemple via un lien dans le pied de page.
Le dark pattern “tout accepter”
L’une des erreurs les plus courantes est le bandeau cookies qui oriente fortement vers “tout accepter”. La CNIL a serieusement traite cette question.
En 2022, la CNIL a sanctionne Google (150 millions d’euros) et Facebook (60 millions d’euros) parce que leurs bandeaux cookies rendaient le refus inutilement difficile. Accepter prenait un clic, mais refuser necessitait plusieurs etapes dans des sous-menus.
Cela ne concerne pas que les geants technologiques. La CNIL et d’autres autorites examinent aussi les sites plus petits. Le principe est simple : si “Refuser” n’est pas aussi facile qu‘“Accepter”, le consentement n’est pas valide.
Concretement : si votre bandeau comporte un bouton “Tout accepter”, il doit y avoir un bouton “Tout refuser” tout aussi visible a cote. Pas cache dans un sous-menu.
Erreurs courantes
- Charger des cookies avant le consentement. Google Analytics tourne deja avant que le visiteur n’ait fait de choix. C’est une violation directe.
- Proposer uniquement “Accepter”. Pas d’option de refus, ou celle-ci est cachee derriere plusieurs clics.
- Bandeau cookies inexact. Le bandeau mentionne trois cookies, mais un scan en revele vingt. Cela arrive quand aucun audit cookies n’a ete effectue.
- Cases precochees. Des categories activees par defaut. Ce n’est pas un consentement actif.
- Pas de politique cookies. Un bandeau existe, mais nulle part d’explication sur les cookies places et leur finalite.
- Cookie wall. Bloquer le site jusqu’a ce que le visiteur accepte les cookies. Ce n’est pas autorise dans la plupart des pays de l’UE.
Faites un audit cookies
La premiere etape vers une conformite cookies correcte est de savoir quels cookies votre site place. Ouvrez votre site dans une fenetre de navigation privee, ouvrez les outils de developpement (F12) et consultez l’onglet Application > Cookies. Vous serez probablement surpris de ce que vous y trouverez.
Modele : Audit Cookies
Cartographiez systematiquement tous les cookies : quel cookie, de qui, pour quelle finalite, combien de temps actif, et si un consentement est requis.
Voir le modele arrow_forwardQue faire maintenant ?
- Inventoriez tous les cookies de votre site avec un audit cookies
- Categorisez-les comme strictement necessaires, analytiques ou marketing
- Verifiez que votre bandeau cookies demande un consentement correct et actif par categorie
- Assurez-vous que les cookies non essentiels ne se chargent qu’apres consentement
- Rendez le refus aussi facile que l’acceptation
- Repetez l’audit apres chaque modification du site et au moins une fois par an
GDPRWise scanne votre site et detecte automatiquement quels cookies, traceurs et tiers sont actifs. Vous savez exactement ce qui doit changer, sans recherche manuelle.