Faut-il mettre en place ces fameuses bannières de cookies quand on lance un site Internet ? Est-ce qu’on a vraiment le choix ? Et au fond, à quoi servent ces petits fichiers qui s’invitent dans le navigateur de nos visiteurs ? Si vous êtes entrepreneur en ligne, le sujet vous concerne directement.
Car oui, même si vous n’avez pas mis les mains dans le code, vous êtes responsable de ce qui se passe sur votre site. Notamment de ce qui est collecté automatiquement dès qu’un internaute arrive sur une page. Et dans la majorité des cas, ce sont des cookies qui s’en chargent.
Avant de paniquer ou d’installer un pop-up à la va-vite, prenons le temps de comprendre ce que sont les cookies, leur utilité, et surtout ce que la loi attend de vous.
Qu’est-ce que les cookies sur un site Internet ?
Les cookies sont de petits fichiers stockés automatiquement par le navigateur de vos visiteurs lorsqu’ils consultent votre site. Ces fichiers contiennent des informations comme :
- une langue préférée,
- un identifiant de session,
- ou encore le contenu d’un panier d’achat.
Ils permettent à vos sites web de “se souvenir” d’un utilisateur, même lorsqu’il ferme son onglet ou revient plusieurs jours plus tard. Ce souvenir prend la forme d’un identifiant unique. Grâce à lui, le site peut reconnaître l’utilisateur sans qu’il ait besoin de tout reparamétrer à chaque fois.
Tous ces traceurs fonctionnent sur tous types d’appareils : ordinateur, smartphone, tablette.
Dès qu’un visiteur se connecte, ils peuvent être activés automatiquement, d’où l’intérêt de bien comprendre ce que vous installez sur vos pages, et dans quelles conditions.
À quoi servent les cookies sur le web ?
Les cookies ont un rôle très simple : ils facilitent l’expérience de navigation.
Ils permettent à un site Internet :
- de mémoriser des préférences,
- de suivre un panier,
- ou d’éviter de redemander à chaque fois le mot de passe.
Sans eux, chaque page serait comme une feuille blanche.
Concrètement, il existe 3 grands usages :
- la gestion de session : garder en mémoire que la personne est connectée, ou qu’elle a déjà validé certains réglages (comme la langue du site ou le mode sombre) ;
- la personnalisation : proposer des contenus adaptés selon les pages visitées, ou les centres d’intérêt d’un internaute ;
- la mesure d’audience : savoir combien de personnes visitent le site, combien de temps elles y passent, quelles pages fonctionnent le mieux, etc.
Certains cookies peuvent aussi être utilisés pour suivre le comportement d’un internaute sur plusieurs sites web. C’est le cas des cookies tiers : ils ne sont pas déposés par votre propre site, mais par un prestataire externe (une régie pub, un outil d’analyse, un module de partage sur les réseaux sociaux…).
Le problème ? Beaucoup de ces traceurs touchent à la vie privée. Ils collectent des données sans forcément prévenir l’utilisateur, ou les partagent sans qu’il en ait vraiment conscience.
C’est pour ça que la CNIL (et le RGPD) encadrent de près leur usage : vous n’avez pas le droit de collecter tout et n’importe quoi, ni de le faire en douce.
Quels sont les différents types de cookies ?
Tous les cookies ne se ressemblent pas. Et surtout, tous n’ont pas le même impact sur la confidentialité de vos visiteurs. Pour y voir plus clair, on peut les classer selon deux critères :
- leur durée de vie,
- et leur origine.
Selon la durée de vie, on distingue :
- Les cookies de session, qui disparaissent dès que l’on quitte le navigateur. Ils servent à maintenir une connexion temporaire ou à gérer un panier par exemple.
- Les cookies persistants, qui restent sur le terminal de l’utilisateur pendant plusieurs jours, semaines, voire années. Ils sont utilisés pour la reconnexion automatique ou pour du suivi à long terme.
Selon l’origine, on distingue :
- Les cookies propriétaires : ce sont ceux que vous, en tant qu’éditeur du site Internet, paramétrez directement. Ils sont souvent liés à des besoins fonctionnels ou techniques.
- Les cookies tiers : ces fichiers viennent de services extérieurs que vous avez intégrés à votre site (comme Google Analytics, Facebook Pixel, ou une régie publicitaire). Ce sont souvent eux qui posent le plus de questions sur la vie privée et le consentement.
Il existe aussi des cookies un peu plus… têtus. On parle alors de cookies zombies (ou flash cookies) : même après suppression, ils peuvent réapparaître. Certains outils marketing les utilisaient pour suivre l’utilisateur à la trace, mais leur usage est désormais fortement déconseillé, voire interdit dans certains cas.
Enfin, ne confondez pas cookies essentiels et cookies marketing :
- les premiers sont nécessaires au fonctionnement technique du site (comme mémoriser un panier ou sécuriser une authentification),
- les seconds relèvent de la personnalisation, du ciblage ou de la mesure d’audience.
Les cookies sont-ils obligatoires sur Internet ?
Non, les cookies ne sont pas obligatoires. Il n’existe aucune règle qui impose d’en installer sur un site Internet. Tout dépend de l’utilité que vous leur accordez. En revanche, si vous choisissez d’en utiliser, ce qui est très courant, alors vous devez respecter certaines conditions, notamment en matière de confidentialité et de consentement. Cette obligation découle de la directive ePrivacy (article 5.3) transposée en France dans l’article 82 de la loi Informatique et Libertés, mais le consentement doit être donné selon la définition stricte du RGPD (article 4.11). Les deux textes s’appliquent ensemble.
En clair, tout dépend de la nature des cookies. Si votre site utilise uniquement des cookies dits “essentiels” (par exemple pour garder un panier ou sécuriser un accès), vous n’avez pas besoin de demander une autorisation à l’utilisateur. Ces traceurs sont nécessaires au service demandé.
Mais dès qu’un cookie a une autre finalité (publicitaire, statistique, ou sociale) vous entrez dans le champ du consentement obligatoire, tel que prévu par l’article 82 de la loi Informatique et Libertés (la fameuse transposition du RGPD). Et c’est là que la CNIL intervient : elle impose des règles précises sur la façon dont ce consentement doit être obtenu.
Donc non, vous n’êtes pas obligé d’installer des cookies. Mais si vous en utilisez (même via un plugin ou une plateforme externe), vous devez être capable :
- d’ informer clairement vos visiteurs,
- de leur laisser le choix d’accepter ou de refuser,
- et de respecter leur décision sans les forcer à valider tout pour accéder à votre contenu.
Quels cookies nécessitent un consentement préalable de l’utilisateur ?
Tous les cookies ne sont pas logés à la même enseigne. Si certains sont tolérés sans formalité, d’autres nécessitent une vigilance accrue. Le point commun de ces derniers ? Ils ont un impact direct sur la vie privée ou sont utilisés à des fins de ciblage ou d’analyse.
Voici les principaux cookies qui nécessitent un consentement explicite de l’utilisateur avant d’être déposés sur son navigateur :
- les cookies tiers liés à la publicité personnalisée (type Google Ads, Facebook Ads),
- les traceurs déposés par des boutons de partage sur les réseaux sociaux (Meta, LinkedIn, Pinterest…) ;
- les cookies de mesure d’audience, dès lors qu’ils ne sont pas strictement anonymisés ou limités ;
- les traceurs utilisés pour établir des profils comportementaux, comme ceux issus de certains outils marketing,
- et les cookies qui croisent des données collectées sur plusieurs sites web pour enrichir une base de données.
*Certains cookies de mesure d’audience peuvent être exemptés de consentement, si vous respectez des conditions strictes définies par la CNIL :
- la finalité doit être limitée à la production de statistiques anonymes,
- l’adresse IP doit être tronquée,
- les données ne doivent pas être reliées à d’autres fichiers (comme un CRM ou une base client),
- la durée de vie ne doit pas dépasser 13 mois,
- et l’utilisateur doit être clairement informé de cette finalité.
👉 Des outils comme Matomo, correctement configurés, peuvent remplir ces critères. En revanche, Google Analytics (même GA4) peut être plus difficile à configurer en conformité.
À l’inverse, certains traceurs peuvent être déposés sans consentement si (et seulement si) ils sont indispensables au fonctionnement du site, comme :
- ceux qui conservent les préférences de consentement de l’utilisateur,
- ceux liés à l’authentification ou à la sécurité de connexion,
- ceux qui gèrent un panier ou une facturation,
- ceux qui adaptent automatiquement l’interface (langue, accessibilité…),
- ou ceux qui permettent le bon fonctionnement technique du serveur (répartition de charge, affichage mobile…).
En cas de doute, mieux vaut considérer que le consentement est requis.
Et attention : il ne suffit pas d’informer, il faut laisser le choix de désactiver ces cookies facilement, dès la première visite.
Comment recueillir le consentement des cookies ?
Demander un vrai consentement pour les cookies, ce n’est pas juste afficher une petite bannière vite fait en bas de votre site. La CNIL est claire : le consentement doit être
- libre,
- éclairé,
- spécifique,
- et donné par une action positive.
Ce n’est pas optionnel. Et surtout, il doit pouvoir être retiré aussi facilement qu’il a été donné.
Les bonnes pratiques de cookies à respecter
Voici les bonnes pratiques à respecter
- Avant tout dépôt : tant que la personne n’a pas cliqué sur “Accepter”, aucun cookie non essentiel ne doit être activé. Pas de mesure d’audience, pas de publicité ciblée, pas de tracking.
- Pas de cases pré-cochées : l’utilisateur doit faire un vrai choix. Il doit pouvoir refuser aussi simplement qu’il accepte. Un bouton “Continuer sans accepter” doit être visible, pas caché dans un coin.
- Pas de consentement caché dans les CGU : vous ne pouvez pas dire que l’acceptation des conditions vaut acceptation des cookies. Ça ne fonctionne pas juridiquement.
- Deux niveaux d’information sont recommandés : une première couche courte et lisible dans la bannière (ex. “Nous utilisons des cookies pour améliorer votre expérience”), et un lien “En savoir plus” vers une page qui détaille les finalités, les outils utilisés, les données collectées, la durée, etc.
- Le retrait du consentement doit être possible à tout moment, via un lien clair (ex. : dans le pied de page). L’internaute doit aussi pouvoir désactiver facilement les traceurs via son navigateur, mais cela ne vous dispense pas d’un outil intégré de gestion des préférences.
Et pour aller plus loin, vous pouvez mettre en place une CMP (Consent Management Platform) conforme. C’est un gestionnaire de consentement qui centralise tout et garde des preuves. Car oui, vous devez aussi pouvoir prouver que vous avez bien recueilli un consentement valable. C’est une obligation prévue par l’article 7 du RGPD : c’est à vous, en tant que responsable du site, de démontrer que le consentement a bien été donné, et de pouvoir en justifier en cas de contrôle.
Vous avez un doute sur votre bannière actuelle ? Vous ne savez pas si vos outils de mesure d’audience sont bien configurés ? Vous avez installé un plugin sans vérifier les cookies tiers qu’il déclenche ? Ce sont des cas très fréquents.
👉 Je vous propose un audit gratuit de votre site, pour faire le point sur la conformité de vos mentions légales, de votre politique de confidentialité, et de la gestion des cookies. L’objectif : protéger votre vie privée, celle de vos visiteurs, et éviter les mauvaises surprises en cas de contrôle.