Directive eu­ro­péenne sur les cookies en France : aperçu de la ré­gle­men­ta­tion

Grâce à la directive eu­ro­péenne sur les cookies, l’en­re­gis­tre­ment de données sur l’uti­li­sa­teur n’est autorisé que si ce dernier y consent. La procédure d’opt-in est donc obli­ga­toire, du moins pour les cookies de suivi. Découvrez ici l’état actuel de la ré­gle­men­ta­tion.

Que dit la directive eu­ro­péenne sur les cookies ?

Dans l’Union eu­ro­péenne, la directive 2009/136/CE vise à garantir et à renforcer la pro­tec­tion des données à caractère personnel. La directive sur les cookies prévoit es­sen­tiel­le­ment que les visiteurs d’un site Web soient informés de l’uti­li­sa­tion de cookies de manière simple et com­pré­hen­sible et qu’ils doivent consentir à leur stockage.

Selon cette directive, seuls les cookies stric­te­ment né­ces­saires au fonc­tion­ne­ment du site peuvent être déposés sans con­sen­te­ment préalable, notamment lorsqu’ils sont in­dis­pen­sables à un service ex­pli­ci­te­ment demandé par l’uti­li­sa­teur. Cela inclut par exemple les cookies de session, utilisés pour mémoriser la langue choisie, les iden­ti­fiants de connexion ou le contenu du panier d’achat. Dans le passé, certains contenus mul­ti­mé­dias pouvaient également recourir à des cookies Flash, aujourd’hui obsolètes.

Pour l’uti­li­sa­tion de la plupart des cookies, les ex­ploi­tants de sites Web ont donc besoin du con­sen­te­ment des visiteurs. Cela concerne tous les cookies qui ne sont pas tech­ni­que­ment né­ces­saires au fonc­tion­ne­ment du service proposé, notamment les cookies pu­bli­ci­taires utilisés pour le reciblage (ou re­tar­ge­ting), les cookies d’analyse et des réseaux sociaux.

Contenu actuel de la directive eu­ro­péenne sur les cookies

Avec la directive sur les cookies, l’Union eu­ro­péenne protège les données per­son­nelles des in­ter­nautes. Une dis­tinc­tion est faite entre les cookies tech­ni­que­ment né­ces­saires et les cookies non né­ces­saires :

1. Les cookies tech­ni­que­ment né­ces­saires : il existe des cookies ab­so­lu­ment né­ces­saires pour le fonc­tion­ne­ment d’un site Web ; par exemple, l’en­re­gis­tre­ment des données de connexion, du panier d’achat ou du choix de la langue. On parle alors de cookies de session, qui sont supprimés à la fermeture du na­vi­ga­teur.
2. Les cookies non né­ces­saires sur le plan technique : en revanche, les fichiers textes ne servant pas au bon fonc­tion­ne­ment du site Web mais col­lec­tant d’autres données sont con­si­dé­rés comme non né­ces­saires. Il s’agit notamment des :

• Cookies de suivi, qui col­lec­tent des données comme la géo­lo­ca­li­sa­tion ou le com­por­te­ment de na­vi­ga­tion.
• Cookies de ciblage (targeting), qui adaptent les annonces pu­bli­ci­taires à l’in­ter­naute.
• Cookies d’analyse, qui ren­seig­nent sur le com­por­te­ment des in­ter­nautes sur un site Web.
• Cookies de réseaux sociaux, qui relient un site Web à des pla­te­formes telles que Facebook, Twitter et autres.

Selon la directive eu­ro­péenne sur les cookies, les cookies né­ces­saires peuvent être installés dès le début de la session, c’est-à-dire même sans le con­sen­te­ment préalable de l’uti­li­sa­teur. Cependant, les in­ter­nautes doivent donner leur con­sen­te­ment avant que les cookies n’en­re­gistrent des données non né­ces­saires. Ainsi, la directive eu­ro­péenne sur les cookies exige, selon l’in­ter­pré­ta­tion ma­jo­ri­taire du texte, une solution d’opt-in pour les cookies non né­ces­saires. Dans ce cas, les cookies ne sont pas installés dès le début, mais seulement lorsque l’uti­li­sa­teur accepte le stockage des données.

Mise en pratique de la directive eu­ro­péenne sur les cookies en France

Cons­ciente de la com­plexité du cadre légal, la Com­mis­sion nationale de l’in­for­ma­tique et des libertés (CNIL) consacre une partie de son site Web à ce sujet. Elle précise à qui s’applique l’obli­ga­tion de recueil du con­sen­te­ment, quels sont les cookies concernés, et encadre les solutions de mesure d’audience exemptées de con­sen­te­ment. Depuis la mise à jour des règles en 2021, les sites doivent garantir que l’uti­li­sa­teur est clai­re­ment informé des finalités des traceurs et que refuser les cookies soit aussi simple que les accepter. La CNIL continue de mener des contrôles et d’ac­com­pag­ner les pro­fes­sion­nels pour assurer la con­for­mité. En 2025, les dis­cus­sions autour du règlement ePrivacy pour­raient encore renforcer ces exigences, notamment en matière de gestion cen­tra­li­sée du con­sen­te­ment et de pro­tec­tion des mineurs face au ciblage pu­bli­ci­taire.

Qu’est-ce qu’un cookie ? Quelles sont les données col­lec­tées ?

Les cookies, parfois appelés « traceurs » en français, sont des fichiers texte que le na­vi­ga­teur dépose sur l’or­di­na­teur de l’uti­li­sa­teur lorsqu’il consulte un site Web. Ils sau­ve­gar­dent les données relatives à la visite d’un site Web, ce qui améliore l’ex­pé­rience uti­li­sa­teur. Pour citer quelques exemples, un na­vi­ga­teur garde en mémoire les in­for­ma­tions de connexion et les iden­ti­fiants, notamment les langues de pré­fé­rence, ce qui permet aux in­ter­nautes de ne pas avoir à cons­tam­ment con­fi­gu­rer leur programme. Malgré l’aspect pratique, les critiques de ce système sou­lig­nent le fait que les cookies sont in­com­pa­tibles avec une politique stricte de con­fi­den­tia­lité. Les cookies de suivi et de ciblage, en par­ti­cu­lier, sont souvent décriés par les dé­fen­seurs de la vie privée.

Un cookie contient gé­né­ra­le­ment une date d’ex­pi­ra­tion et un iden­ti­fiant unique généré aléa­toi­re­ment, per­met­tant de re­con­naître un appareil lors de visites ul­té­rieures. En principe, ces fichiers ne con­tien­nent pas di­rec­te­ment de données per­son­nelles, mais peuvent en permettre la collecte si, par exemple, la page demande un iden­ti­fiant ou si le cookie est lié à un compte uti­li­sa­teur.

Cookies et pro­tec­tion des données : que nous réserve l’avenir ?

Depuis des années, l’UE tente, avec le règlement ePrivacy, de créer des règles uniformes per­ti­nentes au sein de tous les pays membres. On ne sait toutefois pas si ce règlement, qui devrait être adopté en com­plé­ment du RGPD, sera ef­fec­ti­ve­ment mis en œuvre.

Tant que le règlement ePrivacy n’en est qu’au stade d’idée, les cookies tombent sous l’influence des données per­son­nelles définies dans le chapitre 1 du RGPD, dans la mesure où ils col­lec­tent des données qui per­met­tent d’iden­ti­fier un uti­li­sa­teur d’une manière ou d’une autre (numéro d’iden­ti­fi­ca­tion, profil d’uti­li­sa­teur, etc.).

Veuillez consulter les mentions légales en vigueur sur cet article.