Si vous dirigez une petite entreprise, votre bannière de cookies est souvent la première chose que voit un visiteur. C'est aussi l'une des premières choses que nous regardons quand nous auditons un site. Chacun peut la vérifier en quelques secondes, et les autorités européennes de protection des données ont examiné des bannières lors d'actions coordonnées.
La plupart des problèmes de bannière sont des choix de conception, pas des casse-têtes juridiques. Voici les cinq erreurs que nous vérifions en premier, ce que dit la loi et comment corriger chacune.
D'abord, les règles en une minute
Deux textes se combinent ici :
- Directive ePrivacy, article 5, paragraphe 3 exige le consentement avant de stocker ou de lire des informations sur l'appareil d'un utilisateur, comme des cookies, des pixels ou le stockage local. L'exception concerne ce qui est strictement nécessaire pour fournir un service expressément demandé par l'utilisateur, ou nécessaire uniquement à la transmission d'une communication.
- RGPD définit ce qu'est un consentement valable. L'article 4, point 11, exige une « manifestation de volonté libre, spécifique, éclairée et univoque », donnée « par une déclaration ou par un acte positif clair ». L'article 7 ajoute des conditions, notamment que vous devez pouvoir démontrer le consentement et que le retirer doit être aussi simple que le donner.
Erreur 1 : cases précochées ou consentement « implicite »
À quoi cela ressemble : des interrupteurs d'analyse et de marketing déjà activés, ou une bannière qui dit « En poursuivant votre navigation, vous acceptez les cookies. »
Ce qu'exige la loi : Le considérant 32 du RGPD affirme sans détour que « le silence, les cases cochées par défaut ou l'inactivité ne devraient donc pas constituer un consentement ». La Cour de justice de l'UE l'a confirmé pour les cookies dans l'affaire Planet49 (C-673/17, arrêt du 1er octobre 2019) : une case précochée que l'utilisateur doit décocher pour refuser ne donne pas un consentement valable. La Cour a aussi jugé que cela s'applique que les informations stockées sur l'appareil soient ou non des données personnelles, et que les utilisateurs doivent être informés de la durée de vie des cookies et de l'accès éventuel de tiers.
Les lignes directrices 05/2020 du Comité européen de la protection des données (CEPD) sur le consentement vont plus loin : continuer simplement à utiliser un site ne vaut pas consentement, et faire défiler ou balayer l'écran ne satisfait « en aucun cas » l'exigence d'un acte positif clair.
Comment corriger :
- Désactivez par défaut toutes les catégories non essentielles.
- Supprimez toute formule du type « en poursuivant votre navigation sur ce site ».
- Ne déclenchez les balises non essentielles qu'après un clic clair sur « Accepter » ou sur une catégorie précise.
- Dans votre bannière ou votre politique de cookies, indiquez la finalité, la durée et les éventuels tiers pour chaque catégorie.
Erreur 2 : pas de bouton « Tout refuser » équivalent au premier niveau
À quoi cela ressemble : un gros bouton « Tout accepter » à côté de « Paramètres » ou « Gérer les préférences ». Pour refuser, le visiteur doit ouvrir un second écran et tout désactiver un par un.
Ce qu'exige la loi : le consentement doit être libre, et refuser ne doit pas demander plus d'efforts qu'accepter. Dans le rapport du groupe de travail du CEPD sur les bannières de cookies (adopté le 17 janvier 2023), la grande majorité des autorités ont estimé que l'absence d'option de refus au même niveau que l'option d'acceptation viole l'article 5, paragraphe 3, de la directive ePrivacy. Certains régulateurs nationaux, comme la CNIL en France, avaient déjà adopté cette position dans leurs propres lignes directrices et sanctions.
Comment corriger :
- Placez « Tout refuser » (ou « Refuser le non essentiel ») au premier niveau, à côté de « Tout accepter ».
- Gardez « Personnaliser » comme troisième option si vous le souhaitez, mais jamais comme seule voie pour dire non.
- Vérifiez sur mobile, où les boutons sont souvent empilés ou masqués.
Erreur 3 : cookies déposés avant le consentement
À quoi cela ressemble : la bannière a l'air parfaite, mais quand vous ouvrez les outils de développement du navigateur au premier chargement, des cookies d'analyse, de publicité ou de réseaux sociaux sont déjà là avant que quiconque ait cliqué.
Ce qu'exige la loi : l'article 5, paragraphe 3, exige le consentement avant de stocker des informations sur l'appareil ou d'y accéder, sauf si l'exemption pour les cookies strictement nécessaires s'applique. Une bannière qui demande le consentement après le chargement des traceurs n'est que de la décoration. En vertu de l'article 7, paragraphe 1, du RGPD, vous devez aussi pouvoir démontrer que le consentement a été obtenu.
Comment corriger :
- Chargez d'abord votre outil de consentement et bloquez tous les scripts non essentiels jusqu'au consentement. La plupart des plateformes de gestion du consentement le permettent, mais il faut le configurer.
- Vérifiez aussi les contenus intégrés : vidéos YouTube, cartes, widgets de chat et boutons sociaux déposent souvent leurs propres cookies.
- Testez vous-même. Ouvrez une fenêtre privée, chargez le site et regardez les cookies et les requêtes réseau avant de cliquer sur quoi que ce soit. Cliquez ensuite sur « Tout refuser » et vérifiez de nouveau.
- Conservez une trace des choix de consentement (horodatage, version de la bannière, choix effectués) pour pouvoir prouver le consentement si on vous le demande.
Erreur 4 : dark patterns dans les couleurs et la mise en page
À quoi cela ressemble : un bouton « Accepter » lumineux et très contrasté, et un lien « Refuser » gris pâle. Ou une option de refus écrite en petits caractères dans un paragraphe. Ou une bannière qui se ferme quand on clique sur la croix et compte discrètement cela comme un consentement.
Ce qu'exige la loi : le rapport du groupe de travail aborde plusieurs de ces pratiques. Les autorités ont convenu qu'elles ne peuvent imposer une couleur ou un contraste standard à tous les sites. Chaque bannière est donc évaluée au cas par cas pour déterminer si sa conception est manifestement trompeuse. Le rapport énumère aussi des pratiques qui peuvent invalider le consentement, dont une option de refus présentée uniquement comme un lien dans le texte et une conception de boutons trompeuse. Les lignes directrices 03/2022 du CEPD sur les interfaces trompeuses (rédigées pour les plateformes de réseaux sociaux, mais utiles pour comprendre comment raisonnent les régulateurs) décrivent des tactiques telles que « skipping », « hindering » et « stirring », qui orientent les utilisateurs vers un choix.
Comment corriger :
- Donnez à « Tout accepter » et « Tout refuser » la même taille, la même forme et le même poids visuel.
- Utilisez des libellés simples. Évitez les astuces comme « Non merci, je n'aime pas les meilleurs contenus ».
- Ne considérez pas la fermeture de la bannière comme un consentement.
Erreur 5 : retirer son consentement est plus difficile que le donner
À quoi cela ressemble : accepter demande un clic sur la page d'accueil, mais changer d'avis oblige à chercher un lien caché en bas de la politique de confidentialité, ou à écrire à l'entreprise.
Ce qu'exige la loi : l'article 7, paragraphe 3, du RGPD est très clair : « Il est aussi simple de retirer que de donner son consentement. » La personne doit en outre être informée de ce droit avant de donner son consentement. Les lignes directrices du CEPD sur le consentement ajoutent que, lorsque le consentement est donné d'un clic de souris, d'un balayage ou d'une frappe, les personnes doivent en pratique pouvoir le retirer aussi facilement, via la même interface.
Comment corriger :
- Ajoutez un moyen permanent et facile à trouver de rouvrir les paramètres des cookies, comme une petite icône flottante ou un lien clair « Paramètres des cookies » dans le pied de page de chaque page.
- Faites en sorte que le retrait prenne effet immédiatement : arrêtez les balises et supprimez ou faites expirer les cookies non essentiels lorsque c'est possible.
- Indiquez au premier niveau de la bannière que chacun peut modifier son choix à tout moment, et où.
Une vérification rapide avant de conclure
Quand nous auditons un site, nous vérifions dans cet ordre : état par défaut, premier niveau, activité avant tout clic, conception des boutons, puis retrait du consentement. Vous pouvez faire de même dans une fenêtre de navigation privée.
Si vous préférez un premier aperçu rapide, essayez l'audit IA gratuit de 30 secondes de GDPRGard. Sans inscription. Et si vous voulez savoir ce qui est en jeu, notre calculateur gratuit du risque d'amende vous donne une idée approximative de votre exposition.
FAQ
Ai-je besoin d'une bannière de cookies si je n'utilise que des cookies « essentiels » ?
Les cookies strictement nécessaires à un service demandé par l'utilisateur (par exemple un panier d'achat ou une session de connexion) sont exemptés de consentement au titre de l'article 5, paragraphe 3, de la directive ePrivacy. Les cookies d'analyse et de publicité ne sont généralement pas considérés comme strictement nécessaires.
« Accepter » plus « Paramètres » suffit-il ?
En général, non. Selon le rapport du groupe de travail du CEPD sur les bannières de cookies, la plupart des autorités européennes considèrent que le premier niveau doit offrir un moyen de refuser aussi accessible que le moyen d'accepter.
Puis-je utiliser un « mur de cookies » qui bloque le site tant que l'on n'a pas accepté ?
Les lignes directrices 05/2020 du CEPD indiquent que subordonner l'accès à un contenu à l'acceptation de cookies ne produit pas un consentement libre. Les règles et orientations nationales peuvent différer dans le détail, vérifiez donc auprès du régulateur de votre pays.
La règle du consentement aux cookies s'applique-t-elle même si les cookies ne contiennent pas de données personnelles ?
Oui. Dans l'affaire Planet49, la Cour de justice a jugé que l'exigence de consentement de l'article 5, paragraphe 3, s'applique aux informations stockées sur l'appareil de l'utilisateur, qu'il s'agisse ou non de données personnelles.
À quelle fréquence dois-je revérifier ma bannière ?
Vérifiez-la chaque fois que vous ajoutez un nouvel outil, plugin ou balise de suivi, et après les mises à jour de votre plateforme de consentement. Des contrôles périodiques aident aussi.
Sources
- GDPR, Regulation (EU) 2016/679, Articles 4(11), 7 and Recital 32, EUR-Lex
- ePrivacy Directive 2002/58/EC, Article 5(3), as amended by Directive 2009/136/EC, EUR-Lex
- CJEU, Case C-673/17, Planet49, Grand Chamber judgment of 1 October 2019, CURIA
- CJEU, Case C-673/17, Planet49, EUR-Lex
- EDPB, Guidelines 05/2020 on consent under Regulation 2016/679 (adopted 4 May 2020)
- EDPB, Report of the work undertaken by the Cookie Banner Taskforce (adopted 17 January 2023)
- EDPB, Guidelines 03/2022 on deceptive design patterns in social media platform interfaces (v2.0, 14 February 2023)
- CNIL: EDPB adopts final report of outcome of the cookie banner task force (18 January 2023)
Cet article est fourni à titre d'information générale et ne constitue pas un conseil juridique. Les règles nationales transposant la directive ePrivacy varient selon les États membres de l'UE ; consultez donc les orientations de votre régulateur local ou adressez-vous à un professionnel qualifié pour votre situation particulière.
À lire également :
- Ma petite entreprise doit-elle se conformer au RGPD ?
- Amende Google de 403 M€ : les données de localisation de votre appli sont les suivantes
- Le CEPD vient de standardiser la façon dont chaque autorité calcule votre amende