Cookies et traceurs : ce qui suppose un consentement
La question des traceurs se traite à part, et c’est ce qui la rend piégeuse : elle obéit à son propre texte, en amont de la base légale du traitement qui suivra.
Deux couches, pas une
Déposer ou lire une information dans le terminal d’un utilisateur suppose son consentement préalable, sauf lorsque l’opération est strictement nécessaire à la fourniture du service qu’il a demandé. C’est une règle propre, distincte de celle qui gouverne le traitement des données collectées ensuite.
D’où l’erreur la plus fréquente : raisonner uniquement en base légale. Une personnalisation fondée sur l’intérêt légitime, mais alimentée par un traceur posé sans consentement, est irrégulière à la source — la base légale ne rattrape pas le dépôt.
Loi informatique et libertés art. 82Ce qui est dispensé, et ce qui ne l’est pas
Sont dispensés les traceurs strictement nécessaires : panier, session, authentification, répartition de charge, mémorisation du choix de l’utilisateur sur les traceurs eux-mêmes. La mesure d’audience peut l’être aussi, à condition de rester strictement limitée à cette finalité et de ne pas être recoupée.
Tout le reste — publicité, réseaux sociaux, tests A/B, personnalisation, outils de session enregistrée — suppose un consentement. Y compris lorsque l’outil est installé par une équipe marketing sans passer par personne : c’est le scénario type.
Loi informatique et libertés art. 82Ce qui vaut consentement
Le consentement est libre, spécifique, éclairé et univoque, et il doit être préalable au dépôt. Continuer à naviguer ne vaut pas accord. Une case pré-cochée non plus. Et refuser doit être aussi simple qu’accepter : un bouton contre trois clics, c’est un consentement contraint.
Il doit aussi pouvoir être retiré aussi facilement qu’il a été donné, et sa preuve conservée. La qualification des flux qui suivent est traitée dans le dossier Données personnelles.
RGPD art. 4 · art. 7À retenir
- Le dépôt de traceurs obéit à son propre texte, en amont de la base légale.
- Dispense limitée : strictement nécessaire au service demandé.
- Publicité, personnalisation, tests, réseaux sociaux : consentement.
- Préalable au dépôt ; naviguer ne vaut pas accord.
- Refuser aussi simple qu’accepter, retrait aussi facile, preuve conservée.
Questions fréquentes
Mon bandeau vient d’une solution du marché : suis-je couvert ?
Le bandeau recueille le consentement ; il ne garantit pas que les traceurs attendent ce consentement. Le point à vérifier est technique : rien ne doit être déposé avant le choix, y compris par les balises insérées via un gestionnaire de tags.
Puis-je conditionner l’accès au site à l’acceptation ?
C’est le point le plus discuté, et il dépend de l’existence d’une alternative réelle et du caractère libre du choix. En pratique, un service accessible uniquement contre acceptation publicitaire expose à la contestation : le sujet se traite au cas par cas, pas par principe.
La mesure d’audience est-elle vraiment dispensée ?
Seulement si elle reste strictement limitée à cette finalité, sans recoupement avec d’autres traitements et sans transmission à des tiers pour leur propre compte. Beaucoup d’outils courants sortent de ce cadre par défaut.
Vos traceurs attendent-ils le consentement ?
Inventaire des traceurs, moment du dépôt, symétrie du refus, preuve : le diagnostic examine ce qui part avant le clic. Livré sous 48 heures.
Vos procédures tiennent-elles ?
Signalement, exposé des motifs, réclamation interne : le diagnostic dit ce qui existe, ce qui manque, et dans quel ordre le reprendre. Livré sous 48 heures.
Cet article présente une information juridique générale. Il ne constitue pas une consultation : l’application de ces règles à une situation particulière suppose l’analyse du dossier. Joseph David Atias, avocat au Barreau de Paris.