Beaucoup de sites en ont une, mais peu d’entrepreneurs savent quand elle est obligatoire et ce qu’elle doit exactement contenir : la politique de cookies. Il s’agit souvent d’un texte générique de trois paragraphes, copié un jour depuis un autre site. Cela ne suffit pas. Une politique de cookies doit décrire quels cookies votre site dépose réellement, et indiquer un certain nombre d’informations obligatoires pour chacun d’eux.
Quand avez-vous besoin d’une politique de cookies ?
Vous avez besoin d’une politique de cookies si votre site ou votre application dépose des cookies ou des identifiants similaires qui traitent des données personnelles ou pour lesquels les règles ePrivacy exigent un consentement. C’est la condition, et tous les sites ne la remplissent pas.
Le terme « cookies » est ici plus large que le petit fichier texte classique. Les règles ePrivacy s’appliquent à toute technique qui stocke ou lit des informations sur l’appareil du visiteur. Cela couvre aussi :
- Le local storage et le session storage du navigateur, que les applications et widgets utilisent souvent à la place des cookies
- Les pixels de suivi des plateformes publicitaires et d’e-mailing, qui reconnaissent un visiteur sans cookie visible
- Le fingerprinting, qui combine les caractéristiques du navigateur et de l’appareil en un identifiant unique
Votre site ne dépose que des cookies strictement nécessaires, comme un cookie de session pour le panier ou le cookie qui mémorise le choix cookies ? Alors vous n’avez pas besoin de bandeau cookies, et un court paragraphe dans votre politique de confidentialité qui mentionne ces cookies suffit. Une politique de cookies distincte n’est pas obligatoire dans ce cas. Dès que s’ajoutent des cookies analytiques, des pixels marketing, des widgets de chat ou des intégrations, cela change : il vous faut alors un consentement, et donc une véritable politique de cookies.
Vous préférez déposer le moins de cookies possible, pour que votre bandeau reste discret ou disparaisse complètement ? Lisez Alternatives à Google Analytics respectueuses de la vie privée : vous y verrez comment des analytics sans cookies, des polices hébergées localement et des intégrations respectueuses de la vie privée rendent souvent la demande de consentement superflue.
Comment savoir si vous déposez des cookies ?
La plupart des entrepreneurs n’en sont pas sûrs, et deviner est risqué. Le scan gratuit GDPRWise visite votre site comme un vrai visiteur et rapporte les cookies et traceurs trouvés sur votre domaine, avec le fournisseur et la catégorie. S’il ne trouve que des cookies strictement nécessaires, vous savez qu’un paragraphe dans votre politique de confidentialité suffit. S’il en trouve davantage, vous disposez immédiatement de la base de votre politique de cookies.
Scan gratuit
Scan de site web
Saisissez votre domaine et découvrez en quelques minutes quels cookies, traceurs et scripts tiers tournent sur votre site. Sans carte, sans compte.
Pourquoi vous avez besoin d’une politique de cookies
L’obligation provient de deux directions à la fois.
Les règles ePrivacy (transposées dans les législations nationales de toute l’UE) exigent un consentement avant de déposer des cookies non essentiels. Ce consentement doit être éclairé : un visiteur ne peut valablement accepter que ce qui lui a été clairement expliqué.
Le RGPD ajoute par-dessus une obligation de transparence pour chaque traitement de données personnelles. De nombreux cookies collectent des données identifiables comme un identifiant unique de visiteur ou une adresse IP ; ils relèvent donc de cette obligation.
La Cour de justice de l’Union européenne l’a rendu concret dans l’arrêt Planet49 (2019) : les visiteurs doivent savoir, entre autres, combien de temps les cookies restent actifs et si des tiers y ont accès. Exactement les informations qui doivent figurer dans une politique de cookies.
Ce qui doit être indiqué pour chaque cookie
Une bonne politique de cookies contient un tableau reprenant, pour chaque cookie déposé par votre site :
Nom. Le nom technique du cookie, comme _ga ou PHPSESSID. Cela permet à un visiteur (ou à une autorité) de vérifier que votre politique correspond à ce qu’affiche le navigateur.
Fournisseur. Qui dépose le cookie ? Vous (première partie) ou un service externe comme Google, Meta ou HubSpot (tierce partie) ? Pour les cookies tiers, les lecteurs attendent aussi un renvoi vers la politique de confidentialité de cette partie.
Finalité. À quoi sert le cookie ? “Marketing” seul est trop vague ; mieux vaut, par exemple, “mesure l’efficacité publicitaire en reconnaissant les visiteurs d’un site à l’autre”.
Catégorie. Nécessaire, fonctionnel, analytique ou marketing. Cette classification doit correspondre aux choix proposés dans votre bandeau cookies : un visiteur qui refuse les cookies analytiques ne doit en recevoir aucun.
Durée de conservation. Combien de temps le cookie reste-t-il sur l’appareil ? Une session, 24 heures, 13 mois, 2 ans ? C’est l’information que la Cour de justice a explicitement rendue obligatoire.
Base juridique. Pour les cookies nécessaires, il s’agit généralement de l’intérêt légitime ; pour toutes les autres catégories, c’est le consentement.
La politique doit également couvrir : comment les visiteurs peuvent retirer ou modifier leur consentement, si des données sont transférées hors de l’EEE, et à quelle date la politique a été mise à jour pour la dernière fois.
Le vrai problème : savez-vous quels cookies vous déposez ?
C’est là que la plupart des sites échouent. Non pas parce que les propriétaires veulent cacher quoi que ce soit, mais parce que les sites modernes déposent des cookies dont le propriétaire n’a pas conscience.
Quelques exemples tirés de la pratique :
- Un gestionnaire de balises (comme Google Tag Manager) charge des scripts qui déposent leurs propres cookies. Il suffit qu’un collègue du marketing ajoute une balise pour que votre paysage de cookies change.
- Un widget de chat comme Intercom ou Tawk.to dépose des cookies pour relier les conversations aux visiteurs.
- Une vidéo YouTube intégrée peut déposer des cookies de suivi Google, même si le visiteur ne lance jamais la lecture.
- Les boutons de partage social et les pixels de Meta ou LinkedIn déposent des cookies qui suivent les visiteurs d’un site à l’autre.
Rédiger une politique de cookies à partir de ce que vous pensez utiliser aboutit donc presque à coup sûr à une politique inexacte. Et une politique inexacte n’est pas un détail : cela signifie que le consentement recueilli n’est pas valablement éclairé.
La seule approche fiable consiste à mesurer plutôt qu’à deviner : analysez votre site tel qu’un vrai visiteur l’expérimente, et construisez votre tableau de cookies à partir de ce qui se passe réellement. Vous pouvez utiliser notre générateur de politique de cookies gratuit pour cela, ou le faire manuellement avec notre modèle d’audit de cookies.
Outil gratuit
Générateur de politique cookies
Nous scannons votre site comme un visiteur et détectons chaque cookie avec son fournisseur, sa finalité et sa durée de conservation. Générez la politique avec un compte gratuit.
Politique de cookies et bandeau cookies : deux choses différentes
Les termes sont souvent confondus, mais chacun résout une partie différente du puzzle :
- Le bandeau cookies demande le consentement avant que des cookies non essentiels ne soient déposés, et mémorise le choix du visiteur.
- La politique de cookies documente quels cookies existent, avec toutes les informations obligatoires, afin que le consentement soit éclairé.
Un bandeau sans politique correcte recueille un consentement juridiquement fragile. Une politique sans bandeau signifie que vous déposez des cookies sans consentement. Vous avez besoin des deux, et ils doivent se renvoyer l’un à l’autre : votre bandeau doit renvoyer directement à votre politique de cookies.
Une politique de cookies n’est jamais terminée
C’est peut-être l’enseignement le plus important : une politique de cookies n’est pas un document que l’on rédige une fois pour toutes. Chaque modification de votre site peut changer le paysage des cookies. Le nouveau module de réservation, l’outil d’analytics remplacé, le pixel de campagne ajouté “temporairement” : autant de nouveaux cookies potentiels qui doivent figurer dans votre politique.
Planifiez donc une vérification périodique, ou mieux : automatisez-la. GDPRWise réanalyse votre site à intervalles réguliers et met à jour votre politique de cookies automatiquement lorsque de nouveaux cookies apparaissent. Ainsi, ce que vous publiez reste conforme à ce que fait votre site, y compris des mois après la mise en ligne.
Indiquez votre domaine et nous détectons chaque cookie de votre site, y compris le fournisseur, la finalité, la durée de conservation et la classification. Le scan est gratuit ; générez la politique avec un compte gratuit.