# Consentement ou intérêt légitime : comment décider

> Consentement ou intérêt légitime pour la reconnaissance des visiteurs : règles en amont, mise en balance et parcours de décision en cinq questions.

Quelle: https://whovisit.app/fr/blog/consentement-ou-interet-legitime-reconnaissance-visiteurs
Veröffentlicht: 2026-11-07
Herausgeber: Whovisit (ARAVILO, Innsbruck)

Dans la profession, il y a deux camps. L'un dit : celui qui ne reconnaît que des entreprises n'a pas besoin de consentement, l'intérêt légitime suffit. L'autre dit : sans accord dans la bannière de cookies, rien ne fonctionne. Les deux camps ont en partie raison, parce qu'ils parlent de couches différentes. Cet article sépare les couches et vous donne à la fin cinq questions.

Il s'agit d'une analyse sobre et non d'un conseil juridique. Pour votre configuration concrète, la décision revient à votre conseil en protection des données.

## Ce qui s'applique en amont : l'accès à l'équipement terminal

Avant le RGPD, une autre question se pose : le script accède-t-il à l'appareil du visiteur ? La directive ePrivacy (art. 5, par. 3) exige en principe un consentement pour le stockage d'informations dans l'équipement terminal et pour la lecture de telles informations. Est exclu ce qui est techniquement nécessaire au service expressément souhaité par l'utilisateur.

Cela est transposé en Allemagne au § 25 TDDDG et en Autriche au § 165 al. 3 TKG 2021. Les deux règles s'appliquent indépendamment du fait que des données à caractère personnel naissent ou non à la fin. C'est l'accès lui-même qui est déterminant.

Cela concerne plus que les cookies :

- Une entrée dans la mémoire de session du navigateur (sessionStorage) est un stockage dans l'équipement terminal.
- La lecture de la taille d'écran et de la langue du navigateur est une lecture d'informations de l'équipement terminal, même si chaque donnée semble inoffensive.
- Les enregistrements de clics et de mouvements de souris ne sont de toute façon rien dont un visiteur ait besoin pour l'affichage de la page.

Les autorités de contrôle allemandes défendent une ligne stricte : la mesure d'audience et les statistiques ne sont en règle générale pas considérées comme techniquement nécessaires. Celui qui utilise un script réalisant de tels accès devrait donc partir du principe qu'un consentement est nécessaire. Ce n'est pas une question de goût, mais la condition sans laquelle le reste n'est même pas atteint.

## Art. 6, par. 1, point a contre point f

Vient seulement ensuite la question de la base juridique du RGPD sur laquelle repose le traitement ultérieur, dans la mesure où il concerne des données à caractère personnel.

Pour savoir si une adresse IP est seulement une donnée à caractère personnel, lisez [Adresse IP et RGPD : est-elle une donnée à caractère personnel ?](https://whovisit.app/blog/ip-adresse-personenbezogen-dsgvo). Comment les deux étapes d'examen s'articulent, [Reconnaissance des visiteurs et RGPD : une analyse sobre](https://whovisit.app/blog/besuchererkennung-dsgvo) le montre.

**Consentement (point a).** Il doit être libre, éclairé, spécifique et univoque. Il peut être retiré à tout moment. La situation juridique est claire dès que la bannière est construite proprement.

**Intérêt légitime (point f).** Vous examinez ici trois choses : existe-t-il un intérêt légitime (par exemple la prospection commerciale en B2B) ? Le traitement est-il nécessaire pour cela ? Et les intérêts ou droits fondamentaux des personnes concernées ne prévalent-ils pas ? Le considérant 47 cite comme critère les attentes raisonnables des personnes concernées. Selon le même considérant, la prospection directe peut constituer un intérêt légitime.

S'y ajoute le droit d'opposition de l'art. 21 : les personnes concernées peuvent s'opposer au traitement fondé sur le point f. Vous devez le rendre possible dans la pratique. Les obligations d'information des art. 13 et 14 s'appliquent aussi dans les deux cas.

## Pourquoi les données de comportement compliquent la mise en balance

Une simple attribution d'entreprise est souvent encore bien justifiable dans la mise en balance : l'information est réduite. La finalité est claire. Cela devient plus difficile dès que le comportement s'y ajoute. Quelles pages quelqu'un lit, combien de temps il fait défiler et où il clique en dit long sur une personne, même si elle n'apparaît que comme visiteur d'une entreprise. Une vidéo de souris en montre encore davantage. Plus l'observation est fine, moins les visiteurs s'y attendent. Il devient d'autant plus difficile de justifier la prévalence de votre intérêt.

S'y ajoute un problème pratique : même si vous pouviez gagner la mise en balance, cela ne vous sert à rien tant que l'obligation de consentement pour l'accès à l'appareil existe. Le consentement est alors de toute façon là. Beaucoup de choses plaident pour l'utiliser aussi comme base juridique du traitement, plutôt que d'entretenir deux bases côte à côte.

## La voie pratique : catégorie Statistiques, script seulement ensuite

La solution qui fonctionne le plus souvent en pratique est simple :

1. Votre bannière a une catégorie propre, le plus souvent « Statistiques » ou « Analyse ».
2. Le script de reconnaissance des visiteurs ne se charge qu'après que le visiteur a accepté cette catégorie.
3. Sans accord, aucun accès à l'appareil n'a lieu et aucune requête n'est envoyée au service.

Techniquement, cela passe par votre gestionnaire de balises avec Consent Mode ou par la gestion du consentement de votre bannière. Vous trouverez un guide dans l'aide sous [Consentement dans le gestionnaire de balises](https://whovisit.app/hilfe/einwilligung-im-tag-manager). Whovisit fournit par exemple un modèle de balise qui attend le consentement donné aux statistiques avant de charger le script. Pour que la voie tienne, votre bannière doit toutefois représenter réellement la catégorie et transmettre proprement la décision au gestionnaire de balises.

Google Analytics tourne lui aussi en règle générale derrière la même catégorie. Ce qu'Analytics révèle sur les entreprises et ce qu'il ne révèle pas, vous le trouvez dans [Reconnaître des entreprises avec Google Analytics : ce qui est possible et ce qui ne l'est pas](https://whovisit.app/blog/firmen-erkennen-google-analytics).

## Suisse : logique d'opt-out

En Suisse, le point de départ est différent. La loi sur les télécommunications (art. 45c) exige que les utilisateurs soient informés du traitement de données sur leur appareil et puissent le refuser. C'est donc une solution d'opposition au lieu d'un consentement préalable. La loi révisée sur la protection des données (depuis le 1er septembre 2023) fonctionne elle aussi en principe avec la transparence et la possibilité d'opposition plutôt qu'avec une obligation générale de consentement.

Si vous avez des visiteurs de Suisse et de l'UE sur le même site, le droit plus strict s'applique tout de même aux visiteurs de l'UE. En pratique, cela signifie : une bannière unique avec consentement est le plus souvent la voie la plus simple, aussi parce que vous ne pouvez pas séparer sûrement les visiteurs par pays.

## Votre parcours de décision en cinq questions

1. **Le script accède-t-il à l'appareil ?** (Stockage ou lecture, y compris mémoire de session, taille d'écran, langue.) Si oui, vous avez en règle générale besoin d'un consentement pour DE et AT. Suite à la question 2.
2. **L'accès est-il techniquement nécessaire à l'affichage souhaité de la page ?** Pour les statistiques et la reconnaissance des visiteurs, presque toujours non.
3. **Votre bannière a-t-elle une catégorie qui correspond à la finalité ?** Sinon, adaptez-la avant d'intégrer le script.
4. **Le script ne se charge-t-il vraiment qu'après l'accord ?** À vérifier dans l'onglet réseau de votre navigateur : avant l'accord, aucune requête ne doit partir vers le service.
5. **L'information dans la politique de confidentialité est-elle complète ? Existe-t-il une voie de retrait ?** Finalité, base juridique, destinataires, durée de conservation.

Si vous répondez non à la question 1, vous pouvez réfléchir au point f. Avec des procédés accédant à l'équipement terminal, c'est pratiquement rare.

## Sources

- Directive 2002/58/CE (ePrivacy), art. 5, par. 3
- [RGPD](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679), art. 6, par. 1, art. 13, 14, 21 ainsi que considérant 47
- [§ 25 TDDDG](https://www.gesetze-im-internet.de/ttdsg/__25.html) (Allemagne), [§ 165 al. 3 TKG 2021](https://www.ris.bka.gv.at/GeltendeFassung.wxe?Abfrage=Bundesnormen&Gesetzesnummer=20011678) (Autriche)
- Art. 45c de la loi sur les télécommunications (Suisse), loi sur la protection des données (Suisse) dans la version du 1er septembre 2023
- Orientation de la Conférence des autorités allemandes de protection des données pour les fournisseurs de télémédias (version actuelle)