Les règles CNIL de la bannière cookies, expliquées

Depuis ses lignes directrices de 2020, la CNIL contrôle régulièrement les bannières cookies. Google, Amazon ou Meta ont été sanctionnés pour des refus trop compliqués. Les règles sont pourtant simples à appliquer.

1. Refuser doit être aussi simple qu’accepter

Si un bouton « Tout accepter » est visible au premier niveau, un bouton « Tout refuser » doit l’être aussi, avec la même taille et le même poids visuel. Cacher le refus derrière un lien « Paramétrer » n’est pas conforme.

2. Aucune case pré-cochée

Dans le détail des catégories, seules les catégories strictement nécessaires peuvent être actives par défaut. Mesure d’audience, publicité ou réseaux sociaux doivent attendre une action du visiteur.

3. Rien ne s’exécute avant le choix

Les traceurs soumis au consentement ne doivent pas se déclencher au chargement de la page. Avec RGPDCookie, il suffit d’ajouter type="text/plain" data-rgpd="analytics" sur la balise du script.

4. Un choix conservé, mais pas éternellement

La CNIL recommande de conserver le choix, y compris le refus, pendant environ six mois avant de le redemander. Les traceurs eux-mêmes ne doivent pas dépasser 13 mois.

5. Retirer son consentement à tout moment

Le visiteur doit pouvoir changer d’avis facilement, par exemple via un lien « Gérer mes cookies » en pied de page ou une pastille discrète.

6. Pouvoir le prouver

En cas de contrôle, vous devez démontrer que le consentement a été recueilli. Conservez un identifiant de preuve horodaté et la version de la bannière affichée : RGPDCookie le fait automatiquement et l’exporte en CSV.

En résumé

• Accepter et refuser au même niveau, avec la même visibilité
• Catégories optionnelles décochées par défaut
• Scripts bloqués jusqu’au choix
• Choix conservé environ six mois, modifiable à tout moment
• Preuves horodatées