Cookies : la CNIL fixe les nouvelles règles, six mois pour se mettre en conformité

La CNIL a publié le 1er octobre ses lignes directrices modificatives et sa recommandation sur les cookies et autres traceurs. Le message est clair, et il concerne la très grande majorité des sites : les bandeaux actuels ne suffisent plus.

Ce qui change concrètement

• Plus de consentement implicite. Le fameux « en poursuivant votre navigation, vous acceptez… » n’a plus de valeur.
• Refuser aussi facilement qu’accepter. Si un bouton « Tout accepter » est proposé au premier niveau, un moyen équivalent de tout refuser doit l’être aussi.
• Aucun traceur avant le choix. Les cookies publicitaires ou de mesure non exemptés ne doivent pas être déposés tant que le visiteur n’a rien décidé.
• Pouvoir changer d’avis à tout moment, aussi simplement qu’on a consenti.

La CNIL laisse six mois aux sites pour s’adapter. Au-delà, soit à partir de fin mars 2021, elle annonce des contrôles.

Ce qu’on trouve le plus souvent

En pratique, le problème n’est pas le bandeau lui-même, c’est ce qui se passe derrière. Il est fréquent de trouver un bandeau parfaitement conforme en apparence, alors que Google Analytics, le pixel Facebook ou une vidéo YouTube intégrée déposent leurs cookies dès le chargement de la page. Seul un relevé des traceurs réellement déposés permet de le savoir.

Une piste pour alléger le bandeau

Certains outils de mesure d’audience, configurés de façon restrictive, sont dispensés de consentement selon la CNIL. C’est le cas de Matomo, par exemple, auto-hébergé et correctement paramétré. Moins de traceurs soumis au consentement, c’est un bandeau plus simple et des statistiques qui ne dépendent plus du clic du visiteur.