Réponse en bref
Un bandeau cookies valide demande avant de déposer les cookies non essentiels, permet de refuser aussi facilement que d’accepter, explique les finalités et laisse changer d’avis. Google Consent Mode v2 transmet ensuite le choix aux balises Google pour que mesure et publicité le respectent. Information générale, pas un avis juridique : vérifiez votre cas avec un avocat.
À quoi sert un bandeau cookies et quelles règles se trouvent derrière
Un bandeau cookies est l’encadré qui demande au visiteur si le site peut enregistrer ou lire des informations sur son appareil. Il existe parce que les règles européennes de protection de la vie privée considèrent les technologies de suivi comme quelque chose que le visiteur doit accepter. En France, le régulateur CNIL cite l’article 82 de la loi Informatique et Libertés. Un bandeau qui se contente d’informer, ou qui décore un site qui suit quand même, ne remplit pas ce rôle.
Ce texte résume ce que disent les autorités et Google dans leurs propres documents. Ce n’est pas un avis juridique, et les règles diffèrent selon les pays et changent avec le temps. Le bandeau n’est d’ailleurs que la moitié visible. L’autre moitié, c’est ce que fait votre site derrière lui, et c’est là que se trouvent la plupart des défaillances.
D’abord le consentement : rien de non essentiel avant le clic
La CNIL indique que les utilisateurs doivent en principe consentir avant que tout cookie ou traceur soit écrit ou lu sur leur appareil, sauf exceptions. Avant de décider, ils doivent connaître les finalités des traceurs, les conséquences d’une acceptation ou d’un refus et l’identité de chaque acteur qui utilise des traceurs soumis au consentement. L’organisme doit aussi pouvoir prouver à tout moment qu’un consentement valide a été recueilli.
Les exceptions sont étroites. La CNIL cite les traceurs servant à l’authentification, à conserver le contenu d’un panier et, sous conditions, à certaines mesures d’audience. Tout le reste, c’est-à-dire en général pixels publicitaires, reciblage, widgets sociaux et la plupart des configurations de mesure, attend un oui. Le test pratique est simple : ouvrez votre site dans un navigateur vierge, ne cliquez pas sur le bandeau et regardez quels cookies et requêtes existent déjà.
Refuser doit être aussi simple qu’accepter
La FAQ de la CNIL dit qu’une option de refus doit être proposée, soit par un bouton « tout refuser » sur la première couche, au même niveau et sous la même forme que « tout accepter », soit par une autre option rendant le refus aussi aisé que l’acceptation. Le refus ne doit pas exiger d’étape supplémentaire, comme un second écran de réglages, et les boutons ne doivent pas induire en erreur ni mettre un choix plus en avant que l’autre.
L’AEPD espagnole, en annonçant la mise à jour de son guide sur les cookies, dit la même chose : accepter et refuser doivent être présentés à un endroit et sous un format visibles, au même niveau, et refuser ne peut pas être plus compliqué qu’accepter. Le guide mis à jour ajoute des exemples sur la couleur, la taille et l’emplacement des boutons. Pour un concepteur, c’est concret : deux boutons de même taille, de même poids et de même contraste sur le même écran.
Pourquoi défiler, fermer ou continuer ne valent pas un oui
La CNIL est explicite : poursuivre simplement sa navigation n’est plus considéré comme un consentement. Le consentement exige un geste positif clair, comme cliquer sur un bouton d’acceptation, et sans lui aucun traceur non essentiel ne peut être déposé. Sa FAQ ajoute que poursuivre la navigation est lu comme un refus. Un bandeau qui disparaît au bout de dix secondes ou après un défilement ne prouve donc rien.
La CNIL précise aussi que le consentement doit être libre, éclairé, spécifique et univoque, et qu’il faut conserver le choix, refus ou consentement, pour ne pas redemander à chaque page. Elle juge bonne pratique de le conserver environ six mois. Prenez-le comme un repère plutôt que comme une échéance, et consignez la durée retenue pour que le bandeau et la politique de cookies disent la même chose.
Finalités, choix et possibilité de changer d’avis
Un bandeau avec un seul oui pour tout est difficile à défendre, puisque le consentement doit être spécifique. Regroupez vos cookies par finalité, par exemple mesure, publicité et fonctionnels, expliquez chaque groupe en une phrase et laissez choisir par groupe. Employez des mots simples. Le visiteur doit comprendre ce que fait l’acceptation avant d’appuyer sur le bouton.
Le retrait compte autant que le premier choix. La CNIL dit que l’on peut retirer son consentement à tout moment et que le retrait doit être aussi simple que l’octroi. Elle recommande un lien permanent au nom clair, du type gérer mes cookies, ou une icône de cookies sur chaque page. Elle ajoute que le retrait doit être effectif : pour les cookies tiers, l’éditeur doit stopper toute lecture et écriture depuis son site, ce qui peut signifier couper les requêtes vers ces domaines.
Google Consent Mode v2 : comment le choix parvient à vos balises
Consent Mode permet aux balises Google de modifier leur comportement selon le choix du visiteur. Le guide de configuration de Google décrit deux étapes : définir un état de consentement par défaut avant tout, puis envoyer une mise à jour quand le visiteur répond. Les paramètres sont ad_storage et analytics_storage, auxquels s’ajoutent ad_user_data et ad_personalization, introduits par la mise à jour de novembre 2023 dite v2. Consent Mode ne conserve pas le choix lui-même ; votre site doit donc l’enregistrer et le renvoyer sur les pages suivantes.
L’ordre est le piège classique. Google précise que la valeur par défaut doit s’exécuter avant la balise Google, et que si elle s’exécute après, elle ne s’appliquera pas. Pour les régions, une valeur peut être limitée par code de région, et la règle la plus précise l’emporte. Google décrit aussi le mode basique, où les balises restent bloquées jusqu’à l’interaction avec le bandeau, et le mode avancé, où elles se chargent avec le consentement refusé et envoient des mesures sans cookies. Pour le trafic de l’EEE, la politique de Google demande aux annonceurs de recueillir le consentement et de transmettre les signaux, et prévient que bloquer les balises jusqu’à la réponse peut entraîner une perte de données.
Une mesure d’audience qui respecte le choix et les erreurs qui reviennent
La mesure d’audience est l’endroit où les dirigeants espèrent une exemption. La CNIL ne l’admet que sous conditions strictes : mesure d’audience propre à l’éditeur, statistiques anonymes seulement, aucun suivi entre sites ou applications, ni recoupement ni partage avec des tiers, et l’éditeur doit pouvoir démontrer sa conformité. La CNIL précise que la pseudonymisation ne répond pas à sa définition de l’anonymisation. Beaucoup de configurations courantes échouent sur une condition, partez donc du principe qu’il faut un consentement sauf confirmation d’un expert.
Les erreurs reviennent. La balise Google se charge avant que le consentement par défaut soit défini. L’option de refus se cache sur une seconde couche ou ressemble à une note de bas de page. Le choix n’est pas conservé et le bandeau revient à chaque page. Des cookies continuent d’être écrits après un refus parce qu’un script est codé en dur dans le gabarit. Il n’existe aucun lien pour retirer son consentement. Chacune se repère en quelques minutes avec un navigateur, un profil vierge et les outils de développement.
Bandeau cookies : le poser soi-même ou le confier, et ce qu’il faut préparer
Un dirigeant soigneux peut installer une plateforme de consentement, corriger l’ordre des balises et tester le résultat dans un navigateur vierge. Le plus dur est l’inventaire. Il faut repérer chaque script, pixel et contenu intégré du site, les classer par finalité, les rattacher au bon choix et tenir cette liste à jour quand quelqu’un ajoute un nouveau widget. Si le site compte beaucoup d’outils, ou si vous ignorez ce qui se charge, commander le travail fait gagner du temps.
VITON13 Studio le propose sous forme de forfait consentement aux cookies et vie privée. Il comprend un bandeau cookies de type RGPD avec un vrai consentement, configuré avec Consent Mode v2 ; une liste des cookies de votre site ; un brouillon de politique de confidentialité ; et une mesure d’audience qui respecte le choix du visiteur. Vous voyez le bandeau fonctionner sur une copie de test de votre site, en brouillon gratuit, avant de payer. Le prix est de 33 $ à prix fixe et le travail prend deux à quatre jours ouvrés. Le brouillon de politique est un texte de départ : faites-le confirmer par un avocat pour votre cas. Apportez la liste des outils utilisés et l’accès à votre site.
Checklist pratique
- Ouvrez le site dans un navigateur vierge sans cliquer sur le bandeau et notez tous les cookies déjà déposés.
- Donnez à accepter et refuser la même taille, le même poids, le même contraste et le même écran.
- Regroupez les cookies par finalité et laissez choisir par groupe avec des mots simples.
- Définissez la valeur par défaut de Consent Mode avant la balise Google, puis envoyez la mise à jour après le clic.
- Ajoutez un lien ou une icône permanents pour changer de choix et vérifiez que le retrait arrête les traceurs.
Questions et réponses
Poursuivre la navigation vaut-il consentement aux cookies ?
Pas selon la CNIL. Elle indique que poursuivre la navigation est désormais lu comme un refus et que le consentement exige un geste positif clair, comme cliquer sur un bouton d’acceptation. Un bandeau qui se ferme seul ne prouve rien.
Le bouton de refus doit-il ressembler au bouton d’acceptation ?
La CNIL exige une option de refus au même niveau et sous la même forme que l’acceptation, ou une autre option tout aussi aisée. L’AEPD dit que les deux choix doivent être au même niveau. La taille, le poids et le contraste identiques sont le plus sûr.
Qu’est-ce qui a changé avec Google Consent Mode v2 ?
Google a ajouté deux paramètres, ad_user_data et ad_personalization, aux précédents ad_storage et analytics_storage. Les annonceurs qui utilisent la personnalisation ou la mesure pour des utilisateurs de l’EEE doivent recueillir le consentement et envoyer les signaux à Google.
Les cookies de mesure d’audience sont-ils dispensés de consentement ?
Seulement sous les conditions strictes de la CNIL : mesure d’audience propre à l’éditeur, statistiques anonymes, aucun suivi entre sites ni partage avec des tiers. Les données pseudonymisées ne conviennent pas, donc la plupart des configurations exigent un consentement.
Combien de temps conserver le choix de cookies du visiteur ?
La CNIL juge bonne pratique d’environ six mois pour conserver un consentement ou un refus, afin de ne pas redemander à chaque page. C’est une recommandation, et la durée exacte gagne à figurer dans votre politique de cookies.