Tout comprendre sur les cookies

C’est un outil affiché sur une page web permettant à l’utilisateur d’être informé et de paramétrer les cookies.

Ce bandeau doit détailler les finalités pour lesquelles les cookies sont utilisés.

En complément d’information, il peut renvoyer à la politique cookies du site internet. Ce document permet de compléter les informations données dans le bandeau, la politique cookies informe les utilisateurs sur l’ensemble des cookies utilisés par le site et explique comment les gérer. 

Dans le cas où le dépôt de cookies est soumis au consentement, la personne a le droit de le retirer.

La CNIL rappelle dans ses lignes directrices que retirer son consentement doit être aussi simple que de le donner.

L’exercice du droit au retrait du consentement doit être facilité par le biais du bandeau cookies. 

Les cookie walls consistent à conditionner l’accès au site au dépôt de cookies ou obtenir de l’utilisateur une compensation s’il refuse les cookies.

Le Conseil d’État a rendu une décision le 19 juin 2020, relative aux lignes directrices de la CNIL de 2019, dans laquelle il aborde le sujet des cookie walls. Il juge que les murs de traceurs ne peuvent pas être interdits de manière générale, sur le fondement de l’exigence d’un consentement libre. La liberté du consentement des personnes doit être appréciée au cas par cas. Il faut notamment tenir compte de « l’existence d’alternative réelle et satisfaisante proposée en cas de refus des cookies ». 

La CNIL a publié en 2022 ses premiers critères d’évaluation des cookie walls. Pour synthétiser, elle suit le raisonnement suivant : 

• Le site propose-t-il une alternative équitable ? 

• Si l’alternative proposée est payante, le tarif est-il raisonnable ? 

• Le cookie wall permet-il de distinguer les cookies en fonction de leur finalité ? 

• Si l’utilisateur choisit l’accès payant, sans consentir aux cookies, dans quels cas des cookies non soumis au consentement seront déposés

• L’ensemble des finalités d’usage liées aux traceurs doit être présenté au visiteur au moment de faire son choix.

• Le visiteur doit avoir accès à une liste, régulièrement mise à jour, des responsables du ou des traitements de données accessibles directement ou indirectement.

• Le visiteur doit pouvoir consentir aux cookies par un acte positif clair (système de cases à cocher) : le silence ou la simple poursuite de la navigation doit s’interpréter comme un refus.  

• Le visiteur doit pouvoir faire un choix par finalité : il est recommandé de permettre au visiteur de donner son consentement de façon indépendante et spécifique pour chaque finalité. Il est possible de proposer à l’utilisateur de consentir de manière globale à un ensemble de finalités, en intégrant, par exemple, des boutons « tout accepter » ou « tout refuser », mais uniquement si l’ensemble des finalités est présenté préalablement. 

• Les choix du visiteur doivent, en principe, être conservés durant toute la navigation sur le site. La CNIL recommande que le choix exprimé, qu’il s’agisse d’un consentement ou d’un refus, soit enregistré de manière à ne pas les solliciter à nouveau pendant un certain laps de temps. Une durée de six mois, tant pour le consentement que pour le refus est en général considérée comme appropriée. 

• Le visiteur doit pouvoir de revenir sur sa décision à tout moment : il doit avoir la possibilité de retirer son consentement à tout moment, par exemple avec un lien en pied de page ou un autre mécanisme de gestion des cookies, accessible à tout moment sur le service concerné. 

• Les personnes doivent pouvoir refuser de donner leur consentement aussi facilement que l’accorder ; 

• Les personnes doivent pouvoir retirer leur consentement aussi facilement qu’elles l’ont donné ; 

• Les personnes doivent être informées de l’identité des responsables de traitement qui déposent des cookies : la liste contenant l’identité des responsables de traitement doit être mise à leur disposition lors du recueil du consentement et être mise à jour régulièrement ; 

• Les responsables de traitements doivent être en mesure de démontrer à la CNIL qu’ils ont recueilli un consentement valide.