Consentement aux cookies : ce qui l'oblige, ce qui en dispense, ce qui le prouve

Consentement aux cookies : ce que le mot recouvre

La page CNIL « Cookies et traceurs : que dit la loi ? », publiée le 29 septembre 2020 et lue le 14 septembre 2026, commence par élargir le sujet. Sous le terme de traceur, elle range les cookies HTTP, les cookies flash, les pixels invisibles, tout identifiant généré par un logiciel ou un système d'exploitation, et « le résultat du calcul d'une empreinte unique du terminal ».

Le support ne limite rien non plus : ces traceurs peuvent être déposés ou lus « lors de la consultation d'un site web, d'une application mobile », ou encore de l'installation ou de l'utilisation d'un logiciel, « quel que soit le type de terminal utilisé : ordinateur, smartphone, tablette numérique ou console de jeux vidéo connectée à internet ». Une application mobile qui n'utilise aucun cookie peut donc être pleinement concernée.

Le cadre juridique, en deux articles

La CNIL renvoie à l'article 5(3) de la directive 2002/58/CE modifiée en 2009, qui pose le principe « d'un consentement préalable de l'utilisateur avant le stockage d'informations sur son terminal ou l'accès à des informations déjà stockées sur celui-ci », « sauf si ces actions sont strictement nécessaires à la fourniture d'un service de communication en ligne expressément demandé par l'utilisateur ou ont pour finalité exclusive de permettre ou faciliter une communication par voie électronique. »

Côté français : « L'article 82 de la loi Informatique et Libertés transpose ces dispositions en droit français. » Et le consentement à recueillir n'est pas un consentement au rabais : il renvoie aux définitions du RGPD, donc « Il doit donc être libre, spécifique, éclairé, univoque et l'utilisateur doit être en mesure de le retirer, à tout moment, avec la même simplicité qu'il l'a accordé. »

Pour mémoire, « la CNIL a adopté le 17 septembre 2020 des lignes directrices, complétées par une recommandation visant notamment à proposer des exemples de modalités pratiques de recueil du consentement. »

Ce qui exige un consentement, ce qui en est dispensé

La ligne de partage ne tient pas au nom du fichier mais à sa finalité. La CNIL donne les deux listes.

Qui doit recueillir ce consentement

La réponse surprend les petites structures qui délèguent leur site : l'obligation vise plusieurs acteurs à la fois. Elle s'impose notamment « aux éditeurs de sites web et d'applications mobiles », « aux régies publicitaires » et « aux réseaux sociaux qui fournissent des modules de partage sur les réseaux sociaux ».

Et ces acteurs ne se partagent pas la responsabilité en cascade : « Ces derniers sont réputés être responsables conjoints du traitement dans la mesure où ils déterminent conjointement les finalités et les moyens des opérations de lecture et écriture sur l'équipement terminal des utilisateurs. » La CNIL ajoute que l'éditeur, « du fait d'un contact direct avec l'utilisateur », est souvent le mieux placé pour informer et recueillir. Autrement dit : c'est votre bandeau, même si le traceur est celui d'un tiers.

Les quatre règles du recueil, et l'erreur la plus fréquente

Première règle, l'antériorité : « Le consentement doit être préalable au dépôt et/ou à la lecture de cookies », et « Tant que la personne n'a pas donné son consentement, les cookies ne peuvent pas être déposés ou lus sur son terminal. »

Deuxième règle, la symétrie : « L'utilisateur doit pouvoir accepter ou refuser le dépôt et/ou la lecture des cookies avec le même degré de simplicité. » Troisième, la réversibilité : « Il doit être aussi simple de retirer son consentement que de le donner. » Quatrième, la spécificité : le consentement « doit être requis à chaque fois qu'une nouvelle finalité nécessitant le consentement vient s'ajouter aux finalités initialement prévues. »

L'erreur la plus fréquente tient en une phrase de la CNIL : « L'acceptation de conditions générales d'utilisation ne peut être une modalité valable de recueil du consentement. » Renvoyer aux CGU, c'est n'avoir rien recueilli. Sur la mesure d'audience qui peut s'exempter, voir notre page dédiée ; sur le pixel dans un e-mail, nos repères.

Prouver le consentement : quatre modalités citées

Le point que les bandeaux tout faits laissent souvent de côté : « Chaque acteur se prévalant du consentement doit être en mesure d'en apporter la preuve. » La CNIL en cite quatre, « non exclusives ».

Une mise sous séquestre du code chez un tiers, ou « la publication horodatée sur une plate-forme publique d'un condensat » de ce code. Une conservation horodatée des captures d'écran : « Une capture d'écran du rendu visuel affiché sur un terminal mobile ou fixe peut être conservée, de façon horodatée, pour chaque version du site ou de l'application ». Des audits réguliers par des tiers mandatés. Et la conservation horodatée, par l'éditeur de la solution de recueil, des configurations successives de celle-ci.

Trois de ces quatre modalités reposent sur une date opposable : c'est exactement ce que fournit un horodatage électronique qualifié.

Ce que cette page ne dit pas

Elle ne traite ni les cookie walls, ni la durée de conservation des traceurs et du consentement, ni le cas des transferts hors Union européenne, ni les sanctions prononcées par la CNIL. Elle ne recommande aucune solution de recueil du consentement. Page CNIL publiée le 29 septembre 2020, lue le 14 septembre 2026 ; les lignes directrices et la recommandation citées datent du 17 septembre 2020. Sur votre registre et vos obligations générales, voir notre page RGPD TPE.