Gestion des Cookies : Consentement et Traceurs en E-commerce

La réglementation des cookies ne se résume pas au RGPD. Elle repose sur un texte distinct — la directive dite « vie privée et communications électroniques », transposée en droit français — qui impose un consentement préalable à toute lecture ou écriture d'information sur le terminal de l'utilisateur, indépendamment du fait que cette information soit ou non une donnée personnelle. C'est cette autonomie qui explique la plupart des mises en demeure : un traceur non personnel reste soumis au consentement.

Ce qui est couvert, et ce qui ne l'est pas

Le champ est plus large que le mot « cookie » ne le laisse penser. Sont concernés tous les procédés de stockage ou d'accès à des informations sur le terminal : cookies HTTP, stockage local, pixels invisibles, identifiants d'appareil, empreinte numérique du navigateur.

Deux catégories échappent à l'obligation de consentement, et elles sont d'interprétation stricte :

• Les traceurs strictement nécessaires à la fourniture d'un service expressément demandé par l'utilisateur : panier d'achat, identifiant de session, mémorisation d'un choix de langue, répartition de charge.
• Les traceurs ayant pour finalité exclusive de permettre ou faciliter une communication électronique.

La mesure d'audience se situe dans une zone particulière : elle peut être exemptée de consentement à des conditions cumulatives strictes — finalité limitée à la seule mesure, pas de recoupement avec d'autres traitements, pas de transmission à des tiers, durée de conservation limitée. Une solution d'analyse largement répandue, qui croise les données entre sites ou les transmet à son éditeur, ne remplit pas ces conditions.

Les règles du recueil

Trois exigences structurent le bandeau de consentement, et chacune a fait l'objet de sanctions.

Le consentement doit être préalable. Aucun traceur non exempté ne peut être déposé avant l'action de l'utilisateur. Un dépôt au chargement de la page, avant tout clic, constitue une infraction en soi — c'est le manquement le plus fréquemment constaté.

Refuser doit être aussi simple qu'accepter. Un bandeau proposant un bouton « Tout accepter » bien visible et renvoyant le refus vers un second niveau de paramétrage ne satisfait pas cette exigence. Les deux actions doivent être accessibles au même niveau et avec le même nombre de clics.

Le consentement doit être libre, spécifique, éclairé et univoque. Il ne peut résulter de la poursuite de la navigation, du défilement de la page, ni d'une case pré-cochée. Il doit être recueilli par finalité, l'utilisateur devant pouvoir accepter la mesure d'audience sans accepter la publicité ciblée.

S'y ajoute le retrait, qui doit être aussi facile que le consentement initial et accessible à tout moment, ce qui suppose un point d'accès permanent sur le site.

Durées et conservation

Deux durées distinctes se confondent souvent.

La durée de vie des traceurs est plafonnée en pratique à treize mois, sans prolongation automatique à chaque nouvelle visite. Les informations collectées via ces traceurs ne sont conservées qu'un temps limité au-delà.

La durée de validité du consentement est distincte : le choix de l'utilisateur, qu'il soit positif ou négatif, doit être conservé afin de ne pas devoir le redemander à chaque visite. La pratique recommandée est de conserver ce choix six mois environ, un refus ne devant pas être réinterrogé plus fréquemment qu'une acceptation.

Le responsable doit enfin être en mesure de prouver le recueil valable du consentement. Cette preuve suppose de journaliser, pour chaque utilisateur, la version du bandeau affichée, les finalités présentées et le choix exprimé. Sans cette journalisation, l'affirmation « nous recueillons le consentement » n'est pas démontrable — même logique probatoire que celle qui gouverne l'acceptation des conditions générales.

Les responsabilités partagées

Un site qui intègre des traceurs tiers — régie publicitaire, réseau social, outil d'analyse — n'est pas déchargé de sa responsabilité. L'éditeur qui décide de l'implantation d'un traceur en détermine la finalité et engage sa responsabilité, y compris lorsque le traceur appartient à un tiers.

Deux conséquences pratiques. Un inventaire à jour des traceurs réellement déposés est indispensable, et il se vérifie en conditions réelles plutôt que sur la documentation des prestataires : les balises ajoutées par des outils marketing échappent fréquemment à l'inventaire déclaratif. Et les relations avec les tiers doivent être contractualisées, en identifiant qui est responsable de traitement et qui est sous-traitant.

Sanctions et contrôles

Le manquement aux règles sur les traceurs relève d'un régime propre : il est sanctionné sur le fondement du texte spécial, ce qui permet à l'autorité de contrôle nationale d'agir directement, sans passer par le mécanisme de coopération européen. C'est ce qui explique la rapidité et le montant des décisions rendues en la matière.

Les contrôles portent en priorité sur trois points objectivables depuis l'extérieur : le dépôt de traceurs avant consentement, la dissymétrie entre accepter et refuser, et la persistance de traceurs après un refus. Ces trois points se vérifient en quelques minutes avec les outils de développement d'un navigateur, ce qui rend l'exposition permanente.

Scénarios d'usage

Boutique en ligne avec publicité. Séparer les finalités — fonctionnement, mesure d'audience, publicité — et permettre un consentement distinct pour chacune. Les traceurs du panier ne relèvent pas du consentement, ceux du reciblage publicitaire toujours. C'est un point structurant du cadre légal d'une boutique.

Site vitrine avec mesure d'audience. Vérifier si la configuration retenue remplit les conditions d'exemption. Si oui, aucun bandeau n'est nécessaire pour cette finalité ; si non, le consentement est requis comme pour tout autre traceur.

Refonte de site. Réaliser l'inventaire des traceurs sur l'environnement de recette avant mise en production, puis le refaire en production : les outils ajoutés par les équipes marketing après la livraison sont la source d'écart la plus fréquente. Cette discipline rejoint les exigences décrites pour les standards de paiement sécurisé.

Questions fréquentes

Tous les cookies nécessitent-ils un consentement ? Non. Ceux strictement nécessaires à un service expressément demandé — panier, session, préférence de langue — en sont dispensés, tout comme ceux servant exclusivement à permettre une communication. L'exemption est d'interprétation stricte.

La poursuite de la navigation vaut-elle consentement ? Non. Le consentement doit être univoque et résulter d'un acte positif. Ni le défilement, ni la poursuite de la navigation, ni une case pré-cochée ne suffisent.

Refuser doit-il être aussi simple qu'accepter ? Oui. Les deux options doivent être présentées au même niveau, avec un effort équivalent. Reléguer le refus derrière un menu de paramétrage constitue un manquement caractérisé.

Combien de temps conserver le choix de l'utilisateur ? Le choix, positif comme négatif, se conserve afin d'éviter de devoir réinterroger l'utilisateur à chaque visite — six mois environ en pratique. Ceci est distinct de la durée de vie des traceurs, plafonnée à treize mois.

La mesure d'audience est-elle exemptée ? Seulement à des conditions cumulatives strictes : finalité limitée à la mesure, absence de recoupement, absence de transmission à des tiers, conservation limitée. La plupart des solutions grand public ne les remplissent pas en configuration par défaut.

Qui est responsable des traceurs tiers ? L'éditeur du site, dès lors qu'il décide de leur implantation et de leur finalité. La responsabilité n'est pas transférée au fournisseur du traceur.

À retenir

Trois manquements concentrent l'essentiel des sanctions, et tous trois se constatent depuis l'extérieur en quelques minutes : des traceurs déposés avant tout consentement, un refus plus coûteux à exprimer qu'une acceptation, et des traceurs qui persistent malgré un refus.

Deux dispositifs y répondent durablement. Un inventaire des traceurs vérifié en conditions réelles et non sur documentation, refait après chaque mise en production. Et une journalisation du consentement qui enregistre la version du bandeau, les finalités présentées et le choix exprimé — sans elle, la conformité est affirmée mais non démontrable, ce qui revient au même lors d'un contrôle.