Cookies et RGPD : mettre le site d'une petite entreprise en conformité

Le bandeau cookies est devenu un réflexe sur les sites d'entreprise, au point que beaucoup en installent un sans savoir s'il est nécessaire, ni s'il est conforme. La règle est pourtant simple : un consentement préalable n'est exigé que pour certains traceurs. Moins votre site en utilise, moins vous avez de contraintes.

Ce guide résume les règles publiées par la CNIL, l'autorité française de protection des données.

Ce que la CNIL appelle « traceur »

La règle ne vise pas que les cookies au sens strict. La CNIL cite aussi les pixels, le stockage local du navigateur, les identifiants publicitaires et les techniques d'empreinte du navigateur (« fingerprinting »). Ce qui compte, c'est le fait de déposer ou de lire une information sur l'appareil du visiteur.

Les traceurs qui n'exigent pas de consentement

Selon la CNIL, sont exemptés de consentement les traceurs strictement nécessaires au service demandé par l'internaute, par exemple :

• ceux qui conservent le choix de l'internaute sur les cookies ;
• ceux qui servent à l'authentification, y compris pour la sécurité ;
• ceux qui gardent le contenu d'un panier d'achat ;
• ceux qui répartissent la charge entre serveurs ;
• certains outils de mesure d'audience respectant des conditions précises.

Vous pouvez informer les visiteurs de ces traceurs (par exemple sur une page « Cookies »), mais vous n'avez pas à leur demander leur accord.

La mesure d'audience exemptée

La CNIL admet une mesure d'audience sans consentement si elle remplit notamment ces conditions : servir uniquement à mesurer l'audience pour le compte exclusif de l'éditeur, produire des statistiques anonymes, ne pas recouper les données avec d'autres traitements ni les transmettre à des tiers, et ne pas suivre la personne sur d'autres sites. Elle recommande aussi de limiter la durée de vie des traceurs (par exemple 13 mois) et la conservation des données (25 mois au plus).

Certains outils peuvent être configurés pour entrer dans ce cadre ; d'autres, qui réutilisent les données pour leur propre compte, n'y entrent pas. Une mesure d'audience entièrement réalisée sur votre serveur, sans traceur sur l'appareil du visiteur, évite la question. C'est le choix fait sur Kadgen.

Les traceurs qui exigent un consentement

La CNIL cite notamment :

• la publicité, personnalisée ou non, et la mesure d'audience publicitaire ;
• les boutons et contenus de réseaux sociaux qui déposent des traceurs ;
• la mesure d'audience qui ne remplit pas les conditions d'exemption.

Attention aux contenus intégrés : une vidéo, une carte ou un widget de réseau social intégré dans une page peut déposer des traceurs dès l'affichage.

Ce que doit faire un bandeau conforme

Si vous avez besoin du consentement, la CNIL attend notamment :

• une information claire sur les finalités au moment du choix, avec accès à la liste des responsables ;
• un acte positif : continuer à naviguer ou fermer le bandeau ne vaut pas accord. La CNIL précise que toute autre action qu'une acceptation explicite doit être considérée comme un refus ;
• refuser aussi facilement qu'accepter : boutons « Tout accepter » et « Tout refuser » au même niveau et dans le même format, sans bouton grisé ou caché ;
• des choix par finalité, avec des cases non cochées par défaut ;
• la conservation du choix pendant environ six mois avant de redemander ;
• la possibilité de retirer son consentement à tout moment, par exemple via un lien permanent en pied de page.

Surtout : aucun traceur soumis à consentement ne doit être déposé avant l'accord. Un bandeau qui s'affiche alors que les traceurs sont déjà chargés n'est pas conforme.

La méthode en cinq étapes

1. Faites l'inventaire des traceurs de votre site : outil de statistiques, vidéos intégrées, cartes, boutons sociaux, pixels publicitaires, chat. L'outil de développement de votre navigateur (onglet « Application » ou « Stockage ») montre les cookies déposés.
2. Supprimez ce qui ne sert pas. Un bouton de partage peut être un simple lien ; une carte peut être une image renvoyant vers le plan.
3. Remplacez ce qui peut l'être par une solution exemptée (mesure d'audience configurée selon la CNIL, polices hébergées sur votre serveur).
4. Pour le reste, installez un outil de gestion du consentement qui bloque réellement les traceurs avant l'accord.
5. Documentez sur une page « Cookies » la liste des traceurs, leur rôle et leur durée.

Et la politique de confidentialité ?

Les cookies ne sont qu'une partie du sujet. Dès que votre site collecte des données personnelles (formulaire de contact, lettre d'information, compte client), il faut une politique de confidentialité. Voir Mentions légales d'un site professionnel.

En résumé

Pas de traceur soumis à consentement, pas de bandeau : c'est la voie la plus simple pour un site vitrine. Si vous utilisez publicité, réseaux sociaux intégrés ou une mesure d'audience non exemptée, il faut un bandeau qui bloque ces traceurs avant l'accord et permet de refuser aussi facilement que d'accepter. Pour la vérification technique de votre site, voir aussi la checklist SEO technique.