Cookies et consentement : mettre le site d’une TPE en conformité

Un bandeau « nous utilisons des cookies » ne rend pas un site conforme. Avant d’afficher une interface, il faut savoir quels traceurs partent réellement, pourquoi, pour qui et à quel moment. Certains sont strictement nécessaires et ne demandent pas de consentement ; d’autres doivent rester bloqués jusqu’à un accord valide. Cette méthode permet à une TPE d’auditer son site, de configurer un choix loyal et de garder une preuve sans transformer chaque visite en parcours juridique.

1. Inventoriez ce que le site fait réellement

Le mot « cookie » ne couvre qu’une partie des technologies concernées. L’accès ou l’écriture d’informations sur un téléphone ou un ordinateur peut passer par le stockage local, des pixels, des identifiants publicitaires ou d’autres mécanismes. Listez les scripts chargés, les domaines contactés, les valeurs enregistrées et les appels réseau au premier affichage. Testez une fenêtre privée, un mobile et les pages qui intègrent des services externes.

Partez des fonctions métier : formulaire, prise de rendez-vous, mesure d’audience, carte, vidéo, paiement, chat, publicité et partage social. Pour chaque outil, notez l’éditeur, la finalité, les traceurs, la durée, les destinataires et la règle appliquée. Un inventaire technique doit rejoindre votre démarche pour protéger les données clients selon le RGPD. Il doit aussi inclure les extensions ajoutées par le CMS : un module désactivé visuellement peut encore charger un script.

2. Classez chaque traceur selon sa finalité

L’article 82 de la loi Informatique et Libertés prévoit une exemption lorsque le traceur a pour finalité exclusive de permettre ou faciliter la communication électronique, ou lorsqu’il est strictement nécessaire à un service expressément demandé par l’utilisateur. Les autres traceurs exigent en principe une information et un consentement préalables. La décision se prend finalité par finalité : le fait qu’un fournisseur appelle son produit « essentiel » n’en fait pas une nécessité juridique.

Un traceur publicitaire, de reciblage, d’affiliation ou de suivi entre plusieurs sites nécessite généralement le consentement. Une mesure d’audience peut parfois être exemptée, mais seulement avec une configuration et des garanties strictes. Une même bibliothèque peut proposer un mode exempté et un autre non exempté. Documentez la configuration retenue, pas seulement le nom du produit. Si la finalité change, reprenez l’analyse et recueillez un nouveau choix lorsque c’est nécessaire.

3. N’utilisez l’exemption que pour le strict nécessaire

Peuvent notamment relever du strict nécessaire, selon leur mise en œuvre, la conservation d’un panier, l’authentification à un espace, le choix de langue demandé, la sécurité du service ou l’équilibrage de charge. Ils peuvent fonctionner sans bouton « accepter », mais les utilisateurs doivent recevoir une information claire. Limitez leur durée et leurs données à ce qui est nécessaire : une exemption n’autorise pas à réutiliser ensuite le même identifiant pour analyser un comportement commercial.

Pour la mesure d’audience, la CNIL décrit des conditions cumulatives : finalité limitée à la seule mesure pour le compte exclusif de l’éditeur, statistiques anonymes, absence de recoupement avec d’autres traitements, absence de transmission de données non anonymes à des tiers et absence de suivi global entre sites ou applications. Demandez au fournisseur ses réglages et justificatifs. Une offre standard réutilisant les données pour son propre compte ne devient pas exemptée par une simple phrase dans votre politique.

4. Bloquez les traceurs avant d’obtenir l’accord

Le bandeau ne doit pas arriver après les traceurs. Lors de la première visite, seuls les éléments exemptés peuvent être lus ou déposés. Les scripts soumis au consentement restent inactifs jusqu’à un choix positif pour leur finalité. La fermeture du bandeau, le défilement de la page, la poursuite de navigation ou l’absence de réponse ne constituent pas un accord. Si aucun choix n’est exprimé, le site doit rester dans l’état de refus pour les traceurs concernés.

Le blocage se vérifie dans le navigateur : effacez le stockage, rechargez sans cliquer et observez cookies, stockage local et requêtes vers les domaines tiers. Cliquez ensuite sur « tout refuser » et recommencez. Enfin, acceptez une seule catégorie et vérifiez que seules les balises correspondantes partent. Un gestionnaire de consentement mal relié au gestionnaire de balises peut afficher le bon message tout en laissant partir les données.

5. Rendez le refus aussi facile que l’acceptation

La CNIL demande qu’il soit aussi simple de refuser que d’accepter les traceurs. Une solution claire place « Tout accepter » et « Tout refuser » au même niveau, avec une présentation comparable, puis propose « Personnaliser ». Évitez une couleur dominante pour l’acceptation, un lien de refus presque invisible, une série de sous-menus pour refuser ou un interrupteur préactivé. Le design ne doit pas pousser artificiellement vers l’accord.

Le premier niveau indique les finalités de façon compréhensible, l’identité du responsable, l’accès à la liste des partenaires et la possibilité de retirer son choix. « Améliorer votre expérience » ne décrit pas une finalité suffisante. Préférez « mesurer la fréquentation », « personnaliser les publicités » ou « afficher une vidéo externe ». Si un refus empêche réellement une fonction demandée, expliquez précisément laquelle, sans faire croire que le site entier est inutilisable.

6. Reliez le bandeau à une politique exacte

Le second niveau permet de choisir par finalité et de connaître les organismes concernés. La politique détaille les noms des traceurs, finalités, responsables, destinataires, durées, base applicable et moyen de modifier le choix. Elle doit correspondre à l’inventaire du jour. Un tableau copié depuis un modèle, contenant des outils absents ou oubliant une nouvelle balise, affaiblit l’information et la preuve de votre démarche.

Reliez cette politique aux autres informations du site sans tout mélanger. Les mentions légales du site identifient notamment l’éditeur et l’hébergeur ; la politique de confidentialité explique les traitements de données ; la politique cookies décrit les traceurs et leur gestion. Pendant la création d’un site professionnel, affectez un responsable à chaque document et prévoyez une révision lors des changements techniques.

7. Conservez le choix et permettez son retrait

L’organisme doit pouvoir démontrer qu’un consentement valide, libre, spécifique, éclairé et univoque a été recueilli. Conservez les éléments nécessaires : version du bandeau, texte présenté, catégories choisies, date, version de la configuration et identifiant de preuve proportionné. Ne collectez pas plus de données que nécessaire pour cette démonstration. Testez également que le refus est bien enregistré, afin de ne pas solliciter la personne à chaque page.

La CNIL considère qu’une durée de six mois pour mémoriser le consentement comme le refus est généralement appropriée. Ce repère doit être adapté si le contexte change plus tôt. Le retrait doit être aussi simple que l’accord : ajoutez un lien « Gérer mes cookies » accessible sur toutes les pages. Après retrait, les opérations de lecture et d’écriture concernées doivent cesser ; désactiver seulement l’exploitation côté tableau de bord ne suffit pas.

8. Ne déléguez pas votre contrôle au seul prestataire

Demandez à l’agence, au développeur et aux fournisseurs la liste des balises, leur ordre de chargement, les domaines appelés et la documentation sur les durées. Définissez qui met à jour le bandeau lorsqu’un outil change. Le responsable du site ne peut pas se contenter d’un badge « conforme RGPD ». Un contrat utile prévoit l’assistance, la notification des changements, la restitution des choix et la suppression des données à la fin du service.

Les intégrations embarquées méritent une attention particulière. Une vidéo, une carte, un fil social ou un module de réservation peut contacter un tiers avant toute interaction. Utilisez si nécessaire une image locale ou un bouton qui ne charge le service qu’après le choix adapté. Contrôlez aussi les formulaires : une balise publicitaire déclenchée lors de l’envoi peut relier la demande à un profil, même si aucun cookie visible n’est apparu au chargement initial.

9. Testez quatre parcours après chaque changement

1. Première visite sans choix : aucun traceur soumis au consentement ne part.
2. Refus total : le site essentiel fonctionne, le refus reste mémorisé et les tiers restent bloqués.
3. Choix partiel : seules les finalités acceptées s’activent, sans dépendance cachée.
4. Retrait : le lien reste accessible et l’arrêt des lectures ou écritures est effectif.

Répétez le test sur les pages d’arrivée publicitaires, formulaires, paiement, blog et sous-domaines concernés. Vérifiez téléphone, ordinateur et principaux navigateurs. Gardez une capture de la version, un export de configuration et la date du test. Un audit trimestriel léger est utile pour un site qui évolue souvent ; dans tous les cas, retestez après l’ajout d’un plugin, d’une campagne, d’un widget ou d’une nouvelle agence.

La conformité ne consiste pas à maximiser le taux d’acceptation. Suivez plutôt la part de pages testées sans fuite avant choix, le nombre de traceurs sans propriétaire, le délai de mise à jour de la politique et les erreurs de catégorisation. Un site plus simple, avec moins de services tiers, réduit à la fois les risques, le temps de maintenance et parfois le temps de chargement.

Sources officielles et primaires : CNIL — questions-réponses sur les cookies et traceurs ; CNIL — mettre un site web en conformité ; CNIL — recommandation consolidée au 16 janvier 2026. Consultées le 3 août 2026. L’exemption dépend de la finalité et de la configuration réelles, pas du seul nom de l’outil.

En résumé

Commencez par l’inventaire réel des traceurs, classez-les par finalité et bloquez ceux qui nécessitent un consentement. Présentez accepter et refuser avec la même facilité, informez précisément, gardez une preuve proportionnée et permettez un retrait effectif. Retestez les quatre parcours après chaque changement technique : le bandeau n’est que la partie visible du dispositif.