Consentement aux cookies : ce qu’exigent les règles ePrivacy

Les bannières de cookies sont la partie la plus visible du droit européen de la protection des données et celle qui est le plus souvent mal mise en œuvre. Les règles proviennent de deux instruments qui fonctionnent ensemble : la directive ePrivacy 2002/58/CE détermine quand un consentement est nécessaire, et le RGPD définit ce qui constitue un consentement.

La règle en une phrase

L’article 5, paragraphe 3, de la directive ePrivacy, tel que modifié en 2009, n’autorise le stockage d’informations sur l’appareil d’un utilisateur, ou l’accès à des informations déjà stockées sur celui-ci, que si l’utilisateur a donné son consentement après avoir reçu une information claire et complète, sauf si ce stockage ou cet accès vise exclusivement à effectuer la transmission d’une communication ou est strictement nécessaire à la fourniture d’un service expressément demandé par l’utilisateur. En France, cette règle est transposée à l’article 82 de la loi Informatique et Libertés.

Il en découle trois conséquences :

• Elle est technologiquement neutre. Les cookies, le stockage local, les pixels de suivi, l’empreinte numérique de l’appareil (fingerprinting) et les techniques similaires sont tous visés. Les lignes directrices 2/2023 du CEPD expliquent l’interprétation large des notions de « stockage » et d’« accès ».
• Elle ne se limite pas aux données à caractère personnel. Dans l’arrêt Planet49 (C-673/17), la Cour de justice a confirmé que l’article 5, paragraphe 3, s’applique que les informations stockées soient ou non des données à caractère personnel.
• Le consentement vient en premier. Les scripts non essentiels ne doivent pas s’exécuter avant que le visiteur ait fait son choix.

Ce qui rend un consentement valable

Comme la directive ePrivacy reprend la définition du consentement du droit de la protection des données, c’est le niveau d’exigence du RGPD qui s’applique (article 4, point 11, article 7 et article 94, paragraphe 2, qui fait renvoyer au RGPD les références à l’ancienne directive 95/46/CE). Le consentement doit être :

1. Libre : refuser ne doit pas conduire à des conditions moins favorables qu’accepter, au-delà de ce qui est strictement nécessaire. Les « murs de cookies » qui bloquent l’accès tant que le visiteur n’accepte pas sont largement considérés par les autorités de contrôle de l’UE comme incompatibles avec cette exigence.
2. Spécifique : des finalités distinctes (mesure d’audience, publicité, personnalisation) exigent des choix distincts.
3. Éclairé : le visiteur doit savoir qui collecte quoi, dans quel but et pour combien de temps. Selon l’arrêt Planet49, les informations sur la durée de fonctionnement des cookies et sur la possibilité pour des tiers d’y avoir accès en font partie.
4. Univoque : un acte positif clair. L’arrêt Planet49 a exclu les cases précochées ; faire défiler la page ou « poursuivre sa navigation » ne vaut pas non plus consentement (lignes directrices 05/2020 du CEPD).

Le RGPD ajoute deux obligations opérationnelles : le responsable du traitement doit être en mesure de démontrer le consentement (article 7, paragraphe 1), et il doit être aussi simple de retirer son consentement que de le donner (article 7, paragraphe 3). En pratique, cela suppose un enregistrement des consentements et un moyen permanent de rouvrir la bannière.

Conception des bannières : ce que les autorités ont critiqué

En janvier 2023, le CEPD a publié le rapport de sa task force « bannières de cookies », qui résume les positions communes des autorités nationales. Parmi les pratiques que la plupart des autorités jugent problématiques figurent :

• l’absence de bouton « refuser » au premier niveau alors qu’un bouton « accepter » s’y trouve ;
• des cases de finalités ou de partenaires précochées au deuxième niveau ;
• un lien trompeur au lieu d’un bouton pour l’option de refus ;
• des couleurs et des contrastes de boutons trompeurs qui font d’« accepter » le seul choix évident ;
• l’invocation de l’« intérêt légitime » pour un suivi qui exige un consentement ;
• la classification de cookies non essentiels comme « essentiels » ;
• l’absence de moyen simple de retirer son consentement par la suite.

Les contrôles nationaux suivent la même ligne. La CNIL française a par exemple sanctionné Google et Facebook fin 2021 (annonce en janvier 2022), parce que refuser les cookies demandait plus de clics que les accepter.

Ce qui est exempté

L’exemption pour le « strictement nécessaire » est étroite et s’apprécie du point de vue du visiteur : un stockage sans lequel le service ne peut pas fonctionner. Exemples typiques : un cookie de panier d’achat, un cookie de session après connexion, un cookie d’équilibrage de charge ou le cookie qui mémorise le choix de consentement lui-même. La mesure d’audience, les tests A/B, la publicité et les pixels de réseaux sociaux ne sont en général pas strictement nécessaires, même lorsqu’ils sont internes (first-party) ou « anonymisés ». Certaines autorités nationales admettent sans consentement une mesure d’audience configurée de manière restrictive ; vérifiez les règles du pays que vous ciblez avant de vous y fier.

Frameworks de consentement et gestionnaires de balises

Les plateformes de gestion du consentement (CMP) et l’IAB Transparency & Consent Framework normalisent la manière dont les choix sont transmis aux annonceurs. Dans l’arrêt IAB Europe (C-604/22), la Cour de justice a jugé que la « TC String » qui encode les préférences d’un utilisateur peut constituer une donnée à caractère personnel et que l’organisation qui gère un tel framework peut être responsable conjoint du traitement. Une CMP est un outil, pas une garantie : mal configurée, elle charge quand même des traceurs trop tôt. De même, les « modes de consentement » côté navigateur qui adaptent le comportement des balises ne remplacent pas le consentement ; ils ne modifient que ce qui est envoyé après la décision.

Tester votre propre bannière en dix minutes

1. Ouvrez une fenêtre de navigation privée, ouvrez les outils de développement sur les onglets Réseau et Application, puis chargez la page d’accueil. Ne cliquez sur rien.
2. Notez chaque cookie, chaque entrée de stockage et chaque requête vers des tiers. Tout ce qui va au-delà du strictement nécessaire est un constat.
3. Cliquez sur « refuser ». Naviguez vers deux autres pages. Les requêtes non essentielles doivent rester désactivées.
4. Effacez tout, rechargez la page et cliquez sur « accepter ». Comparez : la différence correspond à ce que votre bannière contrôle réellement.
5. Cherchez le moyen de revenir sur son choix : un lien ou une icône qui rouvre la bannière sur chaque page.

Les scanners automatisés font exactement cela à grande échelle et le répètent après chaque mise en production ; c’est là qu’ils justifient leur prix. Comparez les services que nous évaluons sur la page Comparer.