Configurer la bannière de cookies : demander proprement le consentement pour les statistiques

Une bannière de cookies n'est pas un exercice imposé, mais l'endroit où les visiteurs décident si les statistiques et la publicité peuvent s'exécuter sur leur appareil. Pour savoir si un consentement est nécessaire et sur quelle base juridique le traitement repose ensuite, lisez Consentement ou intérêt légitime : comment décider. Cet article intervient une étape plus tard : comment configurer la bannière pour que la décision des visiteurs soit valable et démontrable ?

Il s'agit d'une orientation sobre et non d'un conseil juridique.

Les trois catégories

La plupart des bannières fonctionnent avec trois groupes :

La base juridique de l'accès à l'appareil est en Allemagne le § 25 TDDDG, en Autriche le § 165 al. 3 TKG 2021. N'est considéré comme nécessaire que ce qui est indispensable au service souhaité par le visiteur. Selon les autorités de contrôle allemandes, les statistiques n'en font en règle générale pas partie. Classez chaque script de votre site dans une catégorie. Pour dresser la liste de tous les services, un coup d'œil à l'onglet réseau du navigateur ou une liste tenue par votre développeur aide.

Accepter et refuser sur un pied d'égalité

Le défaut le plus fréquent est un grand bouton coloré « Tout accepter » à côté d'un lien caché pour refuser. Dans leur orientation sur les télémédias (Orientierungshilfe Telemedien), les autorités de contrôle allemandes attendent que le refus soit aussi simple que l'acceptation. Celui qui propose un « Tout accepter » au premier niveau devrait y proposer aussi un « Tout refuser ». Le rapport de la task force sur les bannières de cookies du Comité européen de la protection des données de janvier 2023 traite lui aussi cette question. Les autorités y considéraient majoritairement une option de refus comme nécessaire, certaines autorités défendaient un autre avis. Prévoyez donc la ligne la plus stricte.

Règles pratiques :

1. Même taille, même visibilité. Les deux boutons avec une forme, une police et un contraste semblables.
2. Même niveau. Pas de détour par les « Paramètres » uniquement pour le refus.
3. Rien de précoché. Les catégories autres que « Nécessaire » sont sur « désactivé ».
4. Des mots clairs. « Accepter » et « Refuser » sont plus compréhensibles que « Compris » ou « Continuer ».
5. Aucune contrainte. Le site doit rester utilisable même après un refus. Continuer à faire défiler ou à cliquer n'est pas un consentement (voir les lignes directrices 05/2020 du CEPD sur le consentement).

Le consentement dans le gestionnaire de balises

La bannière décide, le gestionnaire de balises exécute. Pour que les deux concordent :

• Les scripts de statistiques ne se déclenchent qu'après accord. Dans le gestionnaire de balises, vous les rattachez à la vérification du consentement ou à un événement que la bannière envoie après l'accord.
• La bannière transmet la décision au gestionnaire de balises. Sans cette transmission, les scripts tournent soit toujours, soit jamais.
• Les services Google connaissent le Consent Mode. Il transmet l'état du consentement aux balises Google (Google : Consent Mode). Il ne remplace pas la bannière. Si et comment vous l'utilisez, vous le clarifiez avec votre conseil en protection des données.
• Contre-épreuve. Ouvrez la page dans une fenêtre de navigateur neuve, refusez et vérifiez dans l'onglet réseau qu'aucune requête ne part vers des services de statistiques ou de publicité.

Retrait

Selon l'art. 7, par. 3 RGPD, le consentement doit pouvoir être retiré aussi simplement qu'il a été donné (RGPD, EUR-Lex). Cela signifie : un lien accessible en permanence (« Paramètres des cookies ») en pied de chaque page, qui rouvre la bannière. Après un retrait, les scripts s'arrêtent à la consultation de page suivante. Les services qui ont déjà reçu des données ne sont pas concernés, mais votre politique de confidentialité devrait dire comment les données sont traitées ensuite.

Documentation

Selon l'art. 7, par. 1 RGPD, vous devez pouvoir prouver qu'un consentement existe. Un journal contenant ceci est courant :

• date de la décision,
• version du texte de la bannière,
• catégories choisies,
• un identifiant aléatoire qui renvoie au visiteur sans le nommer.

Consignez en outre quels services se trouvaient dans quelle catégorie. Si vous modifiez des services ou des finalités, demandez à nouveau. Un ancien consentement ne couvre pas de nouvelles finalités.

Suisse

En Suisse, pour les scripts, une logique d'information et de refus s'applique, sans consentement préalable (art. 45c de la loi sur les télécommunications). Si vous avez des visiteurs de l'UE, une bannière unique selon la norme de l'UE est le plus souvent la solution la plus simple. Le sujet est approfondi dans Reconnaissance des visiteurs et RGPD : une analyse sobre.

Questions fréquentes

Puis-je me passer de bannière ? Seulement si votre site ne charge aucun script soumis à consentement, donc ni statistiques, ni publicité, ni services intégrés avec accès à l'appareil. Reste alors l'obligation d'information dans la politique de confidentialité.

Une mention « Nous utilisons des cookies » avec un bouton « OK » suffit-elle ? Pas pour les statistiques et le marketing. Le choix manque. Un consentement doit être libre et éclairé.

À quelle fréquence puis-je afficher à nouveau la bannière ? La loi ne fixe pas de délai. Un délai de plusieurs mois ou une modification des services est courant. Ne redemandez pas à chaque visite, cela passe pour de la pression.