Cookies et bandeau de consentement : ce qu'impose la loi au site d'une petite entreprise
Le bandeau de cookies est devenu si courant qu'on le croit obligatoire partout. Ce n'est pas le cas : la loi impose le consentement pour certains traceurs seulement, et un site vitrine bien conçu peut parfois s'en passer entièrement. Quand il en faut un, en revanche, ses règles sont précises, et la CNIL contrôle régulièrement leur respect. Voici l'essentiel pour une petite entreprise.
Le texte de base
La règle vient de l'article 5, paragraphe 3, de la directive européenne 2002/58/CE, dite « ePrivacy », transposée en droit français à l'article 82 de la loi Informatique et Libertés. Elle ne vise pas seulement les « cookies » au sens strict, mais tout traceur : identifiants lus dans le navigateur, pixels, empreintes techniques. Le consentement, lui, se définit selon le RGPD : il doit être libre, spécifique, éclairé et univoque.
La CNIL a adopté des lignes directrices et une recommandation sur le sujet le 17 septembre 2020, résumées dans sa page « Cookies et traceurs : que dit la loi ? ». Service Public Entreprendre consacre aussi une fiche à la gestion des cookies sur le site d'une entreprise.
Ce qui exige un consentement
Selon la CNIL, aucun traceur soumis au consentement ne peut être déposé avant que le visiteur ait donné son accord, par une action positive, après avoir été informé des conséquences de son choix. Accepter des conditions générales d'utilisation ne vaut pas consentement. Le consentement doit être redemandé lorsqu'une nouvelle finalité soumise à consentement apparaît.
Pour un site d'artisan, les traceurs soumis au consentement viennent presque toujours de services tiers ajoutés au site : un outil publicitaire, certains outils de statistiques, un bouton de partage de réseau social, une vidéo intégrée depuis une plateforme, parfois une carte interactive. Chacun de ces services peut déposer ses propres traceurs. Demandez à votre prestataire la liste exacte de ce que charge le site.
Ce qui en est exempté
La CNIL cite parmi les traceurs exemptés de consentement ceux qui conservent le choix de l'utilisateur sur les cookies, ceux qui servent à l'authentification, ceux qui gardent en mémoire un panier d'achat, ceux qui personnalisent l'interface lorsque c'est une partie attendue du service (le choix de la langue), ceux qui répartissent la charge des serveurs, et certains traceurs de mesure d'audience.
Pour la mesure d'audience, les conditions sont précises. Les traceurs doivent servir uniquement à mesurer l'audience pour le compte exclusif de l'éditeur du site, produire seulement des statistiques anonymes, ne pas permettre de recouper les données avec d'autres traitements ni de suivre la navigation de la personne sur d'autres sites. La CNIL recommande en outre d'informer les visiteurs, de limiter la durée de vie des traceurs (elle cite treize mois, sans prolongation automatique) et de conserver les informations collectées vingt-cinq mois au plus. Elle prévient que certaines offres du marché sortent de l'exemption, notamment lorsque le fournisseur réutilise les données pour son propre compte, et invite à surveiller les transferts hors de l'Union européenne.
Si un bandeau est nécessaire : les règles
- Refuser aussi simplement qu'accepter. La CNIL l'exige : si un bouton « Tout accepter » figure au premier niveau, un bouton « Tout refuser » doit y figurer aussi, avec la même facilité d'accès.
- Rien avant le choix. Aucun traceur soumis au consentement ne doit être déposé tant que le visiteur n'a pas répondu.
- Une information claire. Elle doit être visible, complète et rédigée simplement ; une présentation en deux niveaux (un premier écran bref, un second détaillé) est possible.
- Un retrait toujours possible. Un lien du type « Gérer mes cookies », présent en permanence, permet de modifier son choix ; retirer son consentement doit être aussi simple que le donner.
- Une preuve. L'éditeur doit pouvoir démontrer le consentement recueilli ; les plateformes de gestion du consentement conservent en général ces preuves.
La solution la plus simple : ne pas en avoir besoin
Pour un site vitrine, les traceurs publicitaires ou de suivi n'apportent souvent rien d'essentiel. Un artisan veut savoir combien de personnes consultent ses pages et lesquelles ; un outil de mesure d'audience configuré dans les conditions de l'exemption suffit. Une carte peut être remplacée par une image et un lien vers le service de cartographie ; une vidéo, par une vignette qui ne charge le lecteur qu'au clic, avec un message expliquant que la plateforme déposera alors ses traceurs ; les boutons de partage, par de simples liens.
Un site sans traceur soumis au consentement n'a pas à afficher de bandeau. Il doit tout de même informer les visiteurs des traceurs exemptés qu'il utilise, par exemple dans sa page sur les données personnelles, dont nous détaillons le contenu dans notre article sur le RGPD pour un site vitrine. C'est plus léger, plus rapide à charger, et plus agréable pour les visiteurs.
Vérifier son site en dix minutes
- Ouvrez le site dans une fenêtre de navigation privée, sans rien cliquer.
- Dans les outils de développement du navigateur, rubrique de stockage, regardez quels cookies et quels domaines tiers apparaissent avant tout choix.
- Cliquez sur « Tout refuser » s'il existe, rechargez, et vérifiez que les traceurs tiers ne sont pas apparus.
- Cherchez le lien permettant de revenir sur son choix : il doit être accessible depuis toutes les pages.
- Notez ce que vous trouvez et transmettez-le à votre prestataire avec la page de la CNIL.
Les questions de cookies se règlent mieux à la conception qu'après coup : faites-les figurer dans le cahier des charges, à côté des mentions légales et de l'accessibilité.
Sources
- CNIL, « Cookies et traceurs : que dit la loi ? » (publié le 29 septembre 2020).
- CNIL, « Cookies : solutions pour les outils de mesure d'audience » (consulté le 27 octobre 2026).
- Service Public Entreprendre, « Gérer les cookies et autres traceurs sur le site internet d'une entreprise », fiche F31228 (vérifiée le 13 octobre 2026).
- Directive 2002/58/CE, article 5, paragraphe 3 ; loi n° 78-17 du 6 janvier 1978, article 82.
Obligations légalesLe RGPD pour un site vitrine
Un simple formulaire de devis suffit à faire de vous un responsable de traitement : informer, limiter, sécuriser, et savoir quoi faire en cas de fuite.
Obligations légalesLes mentions légales
Identité, adresse, immatriculation, TVA, hébergeur : la liste des mentions obligatoires d'un site d'entreprise, et où les placer.
Obligations légalesL'accessibilité numérique
Directive « Accessibilité », exemption des microentreprises, contrôles de la DGCCRF, et les bons gestes qui ne coûtent presque rien.