English
Deutsch
Italiano
Nederlands
Español
Qu’est-ce qu’un cookie ?
Un cookie est un petit fichier texte qu’un site web enregistre dans le navigateur du visiteur. À chaque nouvelle visite, ou à chaque page, le navigateur renvoie le cookie au site. Le site peut ainsi se souvenir de vous : votre panier, votre connexion, votre langue, mais aussi, selon le cookie, les pages que vous avez vues ou les publicités sur lesquelles vous avez cliqué.
Un cookie contient en général un nom, une valeur (souvent un identifiant unique), le domaine qui l’a déposé et une date d’expiration.
Cookies internes et cookies tiers
- Cookie interne (first-party) : déposé par le domaine du site que vous visitez. Exemple : le cookie qui retient votre panier sur une boutique en ligne.
- Cookie tiers (third-party) : déposé par un autre domaine, par exemple une régie publicitaire, un réseau social ou une plateforme vidéo dont le contenu est intégré à la page. Ces cookies permettent de suivre un internaute d’un site à l’autre.
Attention : un cookie interne peut aussi servir au suivi publicitaire. Le pixel Meta ou Google Analytics, par exemple, déposent des cookies sur le domaine de votre propre site.
Cookies de session et cookies persistants
- Cookie de session : supprimé à la fermeture du navigateur.
- Cookie persistant : conservé jusqu’à sa date d’expiration, qui peut aller de quelques minutes à plusieurs années. Le cookie _ga de Google Analytics, par exemple, expire par défaut après 2 ans.
Pour les cookies de mesure d’audience exemptés de consentement, la CNIL recommande une durée de vie de 13 mois au maximum, non prolongée automatiquement à chaque visite.
Les catégories par finalité
Pour la loi, ce qui compte n’est ni le domaine ni la durée, mais la finalité. Les bannières regroupent généralement les cookies en quatre catégories :
| Catégorie | À quoi ça sert | Exemples | Consentement en France ? |
|---|---|---|---|
| Strictement nécessaires | Faire fonctionner le site à la demande du visiteur | Panier, connexion, sécurité, mémorisation du choix cookies, équilibrage de charge | Non |
| Préférences | Mémoriser un réglage attendu par le visiteur | Langue, présentation de l’interface | Non, si c’est un élément attendu du service |
| Statistiques | Mesurer la fréquentation du site | Google Analytics, Matomo | Oui, sauf mesure d’audience remplissant les conditions de la CNIL |
| Marketing | Publicité ciblée, retargeting, mesure des campagnes | Google Ads, pixel Meta, LinkedIn Insight Tag | Oui |
Le contenu intégré, comme les vidéos YouTube, Google Maps ou les boutons de partage, dépose souvent des cookies tiers à des fins publicitaires ou de suivi. Il faut alors un consentement avant de le charger.
Ce que dit la loi en France
L’article 82 de la loi Informatique et Libertés pose la règle : vous devez informer le visiteur et obtenir son consentement avant de lire ou d’écrire des informations sur son terminal. Seuls échappent à cette règle les traceurs qui ont pour finalité exclusive de permettre la communication électronique, ou qui sont strictement nécessaires à un service demandé expressément par l’utilisateur.
La CNIL précise dans ses lignes directrices du 17 septembre 2020 quels traceurs elle considère comme exemptés : ceux qui conservent le choix du visiteur sur les cookies, l’authentification, le panier d’achat, la personnalisation de l’interface, l’équilibrage de charge, la limitation de l’accès gratuit à un contenu payant et certains traceurs de mesure d’audience. Un traceur utilisé à la fois pour une finalité exemptée et une autre qui ne l’est pas exige un consentement.
Le consentement doit respecter le RGPD : libre, spécifique, éclairé et univoque. Continuer à naviguer ne vaut pas consentement, et refuser doit être aussi simple qu’accepter. Tous les détails dans notre guide Cookies et RGPD : les règles de la CNIL.
Les techniques similaires aux cookies
La règle ne se limite pas aux cookies. Selon la CNIL, elle s’applique aussi :
- au local storage du navigateur ;
- au fingerprinting, qui identifie un appareil à partir de ses caractéristiques techniques ;
- aux identifiants publicitaires des systèmes d’exploitation (IDFA, Android ID) et aux identifiants matériels.
Le CEPD a confirmé dans ses lignes directrices 2/2023 que l’article 5(3) de la directive ePrivacy ne vise pas que les cookies, mais toute opération qui stocke des informations sur l’appareil ou y accède, comme le font par exemple de nombreux pixels de suivi.
Pour savoir quels cookies votre site utilise vraiment, le plus simple est un scanner. Cookie Confirm scanne votre site chaque mois, classe les cookies par catégorie, les bloque jusqu’au consentement et génère la politique de cookies correspondante.
Sources
- CNIL : texte de la loi Informatique et Libertés (article 82)
- CNIL : lignes directrices « cookies et autres traceurs » (PDF)
- CNIL : recommandation « cookies et autres traceurs » (PDF)
- CNIL : mesurer la fréquentation de vos sites web et applications
- CEPD : lignes directrices 2/2023 sur le champ d’application technique de l’article 5(3) (PDF)
- Google Analytics : utilisation des cookies