Bandeau cookies : ce que la loi exige vraiment, et ce qu'elle n'exige pas

Le bandeau cookies est devenu le symbole du RGPD, au point qu'on lui attribue des exigences qu'il n'a pas et qu'on lui en oublie d'autres, plus contraignantes. Deux erreurs symétriques en découlent : demander le consentement pour tout, y compris là où il n'est pas requis, et le demander mal, en déposant les traceurs avant d'avoir posé la question.

Le bandeau ne vient pas du RGPD

L'obligation est posée par l'article 82 de la loi Informatique et Libertés. Il prévoit que l'accès à des informations déjà stockées dans l'équipement terminal d'un utilisateur, ou l'inscription d'informations dans cet équipement, ne peut avoir lieu qu'à condition que l'utilisateur ait exprimé son consentement après avoir été informé de manière claire et complète des finalités poursuivies et des moyens de s'y opposer.

La distinction n'est pas académique. Elle explique pourquoi le texte parle d'équipement terminal et non de données personnelles : la règle s'applique à ce qui est écrit ou lu sur la machine de l'utilisateur, même quand aucune donnée personnelle n'est en jeu. Le RGPD intervient ensuite, pour définir ce qu'est un consentement valable et ce qu'il advient des données collectées. Un article qui ne parle que du RGPD à propos des cookies passe donc à côté du texte qui fonde l'obligation.

Tout ne demande pas un consentement

Le même article 82 prévoit deux exceptions. La première vise l'accès dont la finalité exclusive est de permettre ou faciliter la communication par voie électronique. La seconde vise ce qui est strictement nécessaire à la fourniture d'un service de communication en ligne expressément demandé par l'utilisateur. C'est ce qui couvre, en pratique, le panier d'achat, la session de connexion ou la mémorisation du choix de langue.

S'y ajoute un cas que beaucoup ignorent : la mesure d'audience peut être exemptée de consentement, mais à des conditions strictes. La CNIL exige que la finalité soit strictement limitée à la mesure de l'audience du site, que les statistiques produites soient anonymes, que les données ne soient pas recoupées avec d'autres traitements ni transmises à des tiers, et qu'aucun suivi de la navigation entre plusieurs sites ne soit possible. Elle recommande en outre de limiter la durée de vie du traceur à treize mois, non prolongée automatiquement, et la conservation des données à vingt-cinq mois au plus.

Demander le consentement pour un cookie de session qui n'en a pas besoin n'est pas une précaution : cela allonge le bandeau, noie ce qui compte vraiment, et fait fuir un choix éclairé.

Refuser doit coûter le même effort qu'accepter

C'est la règle la plus visible et la plus contournée. La CNIL formule que l'utilisateur doit pouvoir accepter ou refuser le dépôt ou la lecture des cookies avec le même degré de simplicité. Un bandeau où « Tout accepter » se règle en un clic tandis que le refus impose d'ouvrir un panneau, de décocher des catégories puis d'enregistrer, ne respecte pas cette symétrie.

Le retrait suit la même logique : il doit être aussi simple de retirer son consentement que de le donner. En pratique, cela suppose un point d'accès permanent au choix, et non un bandeau qui disparaît définitivement au premier clic.

Le manquement le plus fréquent est aussi le plus simple à constater

La CNIL est explicite : tant que la personne n'a pas donné son consentement, les cookies ne peuvent pas être déposés ou lus sur son terminal. Or c'est exactement ce que fait un site dont les balises se déclenchent au chargement de la page, avant tout choix. Le bandeau est là, correctement rédigé, et l'infraction a déjà eu lieu.

C'est un manquement qui se vérifie en quelques secondes, sans expertise juridique : ouvrir le site en navigation privée, regarder les traceurs présents avant d'avoir cliqué sur quoi que ce soit. Si la liste n'est pas vide au-delà des cookies strictement nécessaires, la question est réglée. C'est aussi pour cette raison que le contrôle en ligne est le plus facile à mener pour une autorité.

Le consentement doit se prouver, pas se déclarer

La règle qui structure tout le reste tient en une phrase de la CNIL : chaque acteur se prévalant du consentement doit être en mesure d'en apporter la preuve. Ce n'est pas au visiteur de démontrer qu'il n'a jamais accepté. C'est à l'éditeur de montrer ce qui lui a été présenté, quand, et ce qu'il en a fait.

La CNIL cite plusieurs modalités possibles, non exclusives : la mise sous séquestre du code de la solution utilisée, des captures d'écran horodatées du bandeau tel qu'il était affiché, des audits réguliers, ou la conservation horodatée des configurations successives de l'outil de recueil. Le point commun de ces modalités est qu'elles portent sur l'état du site à une date donnée, pas sur une intention. Un bandeau posé et jamais documenté ne prouve rien un an plus tard, quand la question se pose.

Ce qu'on peut vérifier aujourd'hui

• Ouvrez votre site en navigation privée et listez les traceurs déposés avant tout clic : c'est le contrôle le plus rapide et le plus révélateur.
• Comptez les clics nécessaires pour refuser, puis pour accepter. S'ils diffèrent, la symétrie exigée n'est pas tenue.
• Vérifiez qu'un visiteur peut revenir sur son choix après coup, sans avoir à vider son navigateur.
• Pour chaque traceur, demandez-vous s'il relève d'une des deux exceptions de l'article 82, ou des conditions d'exemption de la mesure d'audience. Ce qui n'en relève pas exige un consentement.
• Conservez une trace datée de ce que votre bandeau affichait et de la façon dont il était configuré : c'est cette trace, et non le bandeau lui-même, qui répondra le jour où on vous le demandera.

La difficulté du sujet ne tient pas à sa complexité juridique, qui est modeste, mais au fait que le résultat dépend d'outils tiers dont le comportement change sans prévenir. Un site correct en janvier peut ne plus l'être en mars parce qu'une balise a été ajoutée par quelqu'un d'autre. C'est une raison de plus pour dater ce qu'on constate.