Le bandeau cookies est devenu un réflexe : on en met un parce que tout le monde en met un. C’est doublement dommage. Beaucoup de sites en affichent un dont ils n’ont aucun besoin, et beaucoup d’autres en affichent un qui ne les protège de rien, parce qu’il est mal construit.
Ce qui déclenche l’obligation
Le déclencheur n’est pas le cookie en tant que tel : c’est le fait de lire ou d’écrire quelque chose sur le terminal du visiteur sans que ce soit strictement nécessaire au service demandé. Un cookie de session qui garde un panier est nécessaire. Un cookie de mesure d’audience ne l’est pas, même s’il est déposé par votre propre domaine.
C’est le point que la plupart des gens manquent : la distinction pertinente n’est pas « première partie » contre « tierce partie », mais « nécessaire » contre « pas nécessaire ». Un outil de mesure hébergé chez vous reste soumis à consentement s’il trace les visiteurs. Et le stockage local du navigateur est traité comme un cookie.
Le cas le plus confortable : ne rien déposer
Un site vitrine n’a besoin de rien pour fonctionner. Pas de mesure, pas de police chargée ailleurs, pas de carte embarquée, pas de bouton de réseau social, pas de vidéo intégrée. Dans ce cas, il n’y a pas de consentement à recueillir, donc pas de bandeau à afficher, donc rien à maintenir ni à défendre.
Attention aux dépendances qu’on oublie : une police appelée depuis un service externe transmet l’adresse IP de vos visiteurs à ce service. Une vidéo intégrée dépose des traceurs avant même la lecture. Une carte affiche vos visiteurs à son éditeur. Chacune de ces commodités a un coût réglementaire, et il est presque toujours possible de l’héberger soi-même.
Si vous voulez mesurer votre audience
Trois familles de solutions, par ordre de contrainte décroissante. Les outils classiques imposent un vrai bandeau de consentement, et rien ne doit se charger avant l’accord. Les outils sans cookie réduisent la surface, sans supprimer mécaniquement la question. Enfin, certaines solutions peuvent être configurées pour être dispensées de consentement (la CNIL en publie la liste) et il existe aussi l’analyse des journaux du serveur, qui ne pose rien du tout sur le terminal.
Cette dernière voie est la plus simple à défendre : la donnée existe déjà, le serveur la note à chaque requête. On y perd les événements côté navigateur, on y gagne l’absence totale de démarche.
Le bandeau qui ne protège pas
Les sanctions prononcées en France ne visent presque jamais l’absence de bandeau. Elles visent des bandeaux construits pour décourager le refus : bouton « Tout accepter » bien visible et refus caché derrière deux écrans, dépôt des traceurs avant tout choix, ou impossibilité de revenir sur son accord.
La règle tient en une phrase : refuser doit être aussi simple qu’accepter, et retirer son accord aussi simple que de le donner. Un bandeau où le refus demande trois clics de plus que l’acceptation est un bandeau qui aggrave votre situation au lieu de l’améliorer.
Ce qui est surestimé
Les modules de consentement clés en main donnent un sentiment de sécurité disproportionné. Ils gèrent l’affichage, pas le comportement de votre site : si un script se charge malgré un refus, le module n’y changera rien. C’est la vérification technique qui compte, pas l’interface.
Par où commencer
Faites l’inventaire de ce que votre site charge réellement : l’onglet réseau du navigateur suffit à voir les appels externes. Supprimez ce qui peut l’être, hébergez ce qui peut l’être, et ne conservez de bandeau que pour ce qui reste. Dans bien des cas, il ne reste rien.
Nous faisons cet inventaire et la mise en conformité qui suit dans notre prestation conformité RGPD et cookies.