Un guide pratique de regles sur les cookies

Les règles relatives aux cookies existent parce qu'un petit fichier de navigateur peut remplir des fonctions très différentes. Un cookie peut maintenir un utilisateur connecté. Un autre peut suivre cet utilisateur sur des milliers de sites web à des fins publicitaires. Considérer les deux comme de « simples cookies » passe à côté du problème de confidentialité.

Un cookie internet est une petite donnée stockée par le navigateur pour un site web. Lorsque le navigateur demande ensuite une page ou une ressource du même domaine, il peut renvoyer ce cookie. Cela permet aux sites web de se souvenir des sessions, des préférences, des paniers, des choix de consentement et des identifiants.

Principaux types de cookies

Les cookies propriétaires sont définis par le site que le visiteur utilise. Ils peuvent prendre en charge la connexion, les paniers, les préférences, l'analyse ou l'état du produit.

Les cookies tiers sont définis par un autre domaine intégré à la page, comme un réseau publicitaire, un plugin social ou un fournisseur d'analyse. Ils servent souvent au suivi intersite.

Les cookies de session expirent à la fin de la session du navigateur. Les cookies persistants restent jusqu'à une date d'expiration définie ou leur suppression.

Les cookies essentiels sont nécessaires à un service demandé par l'utilisateur, comme l'authentification, la sécurité, l'équilibrage de charge ou le panier d'achat. Les cookies non essentiels servent à l'analyse, la publicité, la personnalisation ou d'autres finalités facultatives.

Les attributs Secure, HttpOnly et SameSite sont des contrôles de sécurité. Ils déterminent la manière dont les cookies sont transmis et consultés, mais ne rendent pas pour autant une finalité de suivi respectueuse de la vie privée.

Pourquoi les cookies sont devenus controversés

Les cookies ne sont pas mauvais en soi. La controverse vient de l'identification persistante et du suivi intersite.

Un cookie publicitaire tiers peut reconnaître le même navigateur sur de nombreux sites. Avec le temps, cela peut révéler des centres d'intérêt, des habitudes, des achats, des préoccupations de santé, des lectures politiques, des schémas de déplacement et des événements de vie. Même les cookies propriétaires peuvent présenter un risque si des scripts tiers les écrivent ou les lisent à des fins de profilage.

Les navigateurs ont réagi. WebKit, le moteur de Safari, dispose de fonctionnalités de prévention du suivi et bloque par défaut les cookies tiers dans les contextes modernes (WebKit). La Protection totale contre les cookies de Firefox isole les cookies par site pour réduire le suivi intersite (Mozilla).

Chrome se distingue de Safari et de Firefox. Google ne prévoit plus la suppression complète des cookies tiers qu'il évoquait auparavant ; en avril 2025, l'entreprise a annoncé que Chrome conserverait l'approche actuelle laissant le choix à l'utilisateur dans les paramètres de confidentialité et de sécurité (Privacy Sandbox update). Cela ne rend pas pour autant le suivi tiers durable. Cela signifie que Chrome reste davantage dépendant des paramètres utilisateur, du consentement, des politiques de plateforme et des futures évolutions en matière de confidentialité, alors que Safari et Firefox restreignent déjà le suivi intersite plus agressivement par défaut.

Règles de consentement aux cookies

Dans l'UE et au Royaume-Uni, les règles relatives aux cookies découlent principalement des lois ePrivacy, le RGPD fixant la norme de consentement lorsque des données personnelles sont concernées. Le principe clé est que le stockage ou l'accès à des informations sur l'appareil d'un utilisateur nécessite un consentement, sauf si cela est strictement nécessaire au service demandé.

L'ICO britannique indique que les organisations ont besoin d'un mécanisme de consentement permettant aux utilisateurs de contrôler les cookies non essentiels et les technologies similaires (ICO). L'EDPB explique que le consentement au titre du RGPD doit être donné librement, être spécifique, éclairé et univoque, avec possibilité de retrait à tout moment (EDPB).

Cela signifie qu'une bannière de cookies conforme ne doit pas :

• Déposer des cookies optionnels avant le consentement.
• Utiliser des cases précochées.
• Rendre le bouton « accepter » beaucoup plus facile d'accès que le bouton « refuser ».
• Regrouper l'analyse et la publicité dans un choix vague unique.
• Dissimuler la possibilité de retrait.
• Décrire le suivi en des termes peu clairs.

Cookies analytiques

Selon la plupart des règles de consentement, les cookies analytiques ne sont pas essentiels, car le site peut fonctionner sans eux. Certains régulateurs autorisent des exemptions restreintes pour la mesure d'audience lorsque des conditions strictes sont réunies, telles qu'une mesure limitée en première partie, une conservation courte, l'absence de traçage intersites et l'absence de partage à d'autres fins. La CNIL décrit de telles conditions pour les outils de mesure d'audience (CNIL).

La plupart des configurations analytiques et publicitaires courantes ne remplissent pas automatiquement ces conditions d'exemption. Si les données analytiques sont partagées avec un écosystème tiers ou utilisées à des fins publicitaires, les obligations de consentement et d'information augmentent.

Ce que les propriétaires de sites devraient auditer

Créez un inventaire des cookies et des technologies de traçage :

• Nom du cookie.
• Fournisseur.
• Domaine.
• Finalité.
• Durée de conservation.
• S'il est essentiel ou non.
• S'il implique des données personnelles.
• S'il est partagé avec des tiers.
• S'il nécessite un consentement.
• Comment les utilisateurs peuvent le retirer.

Vérifiez ensuite le site dans une session de navigation vierge avant d'accepter la bannière. Les cookies optionnels ne doivent pas apparaître avant que l'utilisateur ait fait un choix valide.

L'absence de cookies ne garantit pas automatiquement la confidentialité

Certains systèmes de traçage évitent les cookies mais utilisent le stockage local, des pixels, le fingerprinting, des identifiants côté serveur ou des emails hachés. La loi sur les cookies peut couvrir des technologies similaires, et la loi sur la protection des données peut toujours s'appliquer lorsque les données concernent une personne identifiable.

Une approche véritablement respectueuse de la vie privée évite de remplacer les cookies par des identifiants plus discrets. Elle privilégie la mesure agrégée, la minimisation des données, une conservation courte et l'absence de profilage intersites.

Les cookies ne sont qu'un outil. La vraie question est de savoir si votre site les utilise pour quelque chose que les visiteurs attendent raisonnablement et peuvent contrôler.

Un audit rapide du navigateur

Vous pouvez apprendre beaucoup sans outils spécialisés. Ouvrez le site dans une fenêtre privée, videz le stockage et chargez la page d'accueil avant d'interagir avec la bannière. Dans les outils de développement, vérifiez le stockage Application pour les cookies, le localStorage et le sessionStorage. Vérifiez ensuite l'onglet Réseau pour les appels vers des domaines d'analytique, de publicité, de heatmap, de chat et de gestionnaire de balises.

Répétez le test après avoir refusé les cookies optionnels, puis après les avoir acceptés. La différence doit correspondre aux catégories de la bannière. Si des appels publicitaires se produisent avant le consentement, ou si le refus laisse malgré tout des identifiants analytiques persistants, la bannière ne contrôle pas réellement l'implémentation. Conservez des captures d'écran et des journaux de requêtes avec votre inventaire de cookies. Ce sont de meilleures preuves qu'un tableur rempli à partir des pages marketing des fournisseurs.

Liste de vérification pour l'audit des cookies

Pour chaque cookie ou technologie similaire, notez :

• Nom, domaine, fournisseur, finalité, durée de conservation et catégorie.
• S'il s'agit d'un cookie de première ou de tierce partie dans son contexte.
• S'il soutient un service demandé ou une finalité optionnelle.
• Si un stockage similaire existe dans le localStorage, le sessionStorage, des pixels, des SDK ou une décoration de liens.
• Si Safari, Firefox, Chrome en mode normal et Chrome en navigation privée se comportent différemment.
• Si le refus du consentement empêche réellement le stockage et les requêtes optionnels.

Si l'outil revendique une exemption analytique, documentez la configuration exacte : finalité de mesure d'audience limitée, absence de traçage intersites, absence de réutilisation publicitaire, conservation courte, information claire des utilisateurs et absence de réutilisation par le fournisseur au-delà du besoin de mesure de l'éditeur.

Foire aux questions

Quelle est la différence entre un cookie propriétaire et un cookie tiers ?

Un cookie propriétaire est déposé par le site que visite l'internaute et sert des fonctions comme la connexion, le panier d'achat ou les préférences. Un cookie tiers est déposé par un autre domaine intégré à la page, comme un réseau publicitaire ou un plugin social, et sert souvent au suivi entre sites.

En quoi les cookies de session diffèrent-ils des cookies persistants ?

Un cookie de session expire à la fin de la session du navigateur et disparaît donc dès la fermeture de l'onglet ou du navigateur. Un cookie persistant reste sur l'appareil jusqu'à une date d'expiration définie, ou jusqu'à ce que l'utilisateur le supprime.

Les cookies essentiels nécessitent-ils un consentement ?

Les cookies essentiels, strictement nécessaires à un service demandé comme l'authentification, la sécurité, la répartition de charge ou le panier d'achat, ne nécessitent pas de consentement. Les cookies non essentiels, notamment ceux liés aux statistiques, à la publicité et à la personnalisation, exigent un consentement valide avant leur dépôt.

Qu'est-ce qui rend une bannière de consentement aux cookies non conforme ?

Une bannière échoue au standard lorsqu'elle dépose des cookies optionnels avant le consentement, utilise des cases précochées, ou rend l'acceptation nettement plus facile que le refus. Elle échoue aussi lorsqu'elle regroupe statistiques et publicité dans un choix flou, cache la manière de retirer son consentement, ou décrit le suivi en des termes peu clairs.

Les cookies analytiques peuvent-ils être exemptés des règles de consentement ?

Certains régulateurs autorisent des exemptions limitées pour la mesure d'audience lorsque des conditions strictes sont respectées, comme une mesure limitée en propriétaire, une conservation courte, l'absence de suivi entre sites et l'absence de partage à d'autres fins. La CNIL décrit ce type de conditions pour les outils de mesure d'audience. La plupart des configurations courantes de statistiques et de publicité ne remplissent pas automatiquement ces critères.

Définir Secure, HttpOnly ou SameSite rend-il un cookie respectueux de la vie privée ?

Secure, HttpOnly et SameSite sont des contrôles de sécurité qui déterminent comment un cookie est transmis et consulté. Ils ne changent rien à l'usage qui en est fait, donc un cookie de suivi doté des trois attributs reste un cookie de suivi.

Qu'a décidé Chrome à propos des cookies tiers en avril 2025 ?

Google a annoncé que Chrome conserverait son approche actuelle de choix utilisateur dans les paramètres de confidentialité et de sécurité, plutôt que d'aller au bout de la suppression progressive des cookies tiers évoquée précédemment. Chrome reste plus dépendant des paramètres utilisateur, du consentement et des politiques de plateforme que Safari ou Firefox, qui restreignent déjà le suivi entre sites de façon plus agressive par défaut.

Les sites web peuvent-ils suivre les visiteurs sans cookies ?

Oui, certains systèmes de suivi s'appuient sur le stockage local, les pixels, le fingerprinting, des identifiants côté serveur ou des adresses e-mail hachées plutôt que sur des cookies. La loi sur les cookies peut couvrir des technologies similaires, et le droit de la vie privée s'applique dès lors que les données concernent une personne identifiable.

Que doit contenir un inventaire des cookies et des outils de suivi ?

Un inventaire utile répertorie, pour chaque cookie utilisé, son nom, son fournisseur, son domaine, sa finalité et sa durée de conservation. Il précise aussi si le cookie est essentiel, s'il implique des données personnelles, s'il est partagé avec des tiers, s'il nécessite un consentement, et comment l'utilisateur peut retirer ce consentement.

Comment vérifier qu'une bannière de cookies bloque bien les traceurs avant le consentement ?

Ouvrez le site dans une fenêtre privée, videz le stockage, puis chargez la page d'accueil avant de toucher à la bannière. Vérifiez ensuite le stockage dans l'onglet Application et l'onglet Réseau pour repérer les appels vers des domaines d'analyse, de publicité, de heatmap, de chat ou de gestion de tags. Répétez le test après avoir refusé les cookies optionnels, puis à nouveau après les avoir acceptés. Si des appels publicitaires ont lieu avant le consentement, ou si le refus laisse subsister des identifiants analytiques persistants, la bannière ne contrôle pas réellement ce que fait le site.