Cookies sur un site web : ce qu'impose vraiment le RGPD pour une PME

Beaucoup de dirigeants pensent que le bandeau de cookies est un détail technique, géré une fois pour toutes par l’agence qui a livré le site. En réalité, c’est une obligation légale à part entière, que la CNIL contrôle régulièrement — et les sanctions ne visent pas que les géants du numérique.

Cookies : de quoi parle-t-on exactement ?

Un cookie (ou plus largement un « traceur ») est une information déposée sur l’ordinateur ou le smartphone d’un visiteur lors de la consultation d’un site. Certains sont indispensables au fonctionnement du site (garder un panier d’achat, mémoriser une connexion), d’autres servent à la publicité, aux réseaux sociaux, ou à mesurer l’audience. La loi distingue clairement les deux catégories : seuls les traceurs strictement nécessaires au service demandé par l’utilisateur échappent au consentement préalable.

Le principe : pas de cookie non essentiel sans consentement

Pour tout cookie qui ne rentre pas dans les exceptions légales, le site doit :

1. Informer le visiteur, de façon claire et compréhensible, avant tout dépôt de cookie.
2. Recueillir un consentement réel : une action positive (cliquer sur « Accepter »), jamais une case pré-cochée ni la simple poursuite de la navigation.
3. Permettre un refus aussi simple que l’acceptation : si un bouton accepte tout en un clic, un bouton refuse tout doit être visible au même niveau, avec le même nombre de clics.
4. Permettre le retrait du consentement à tout moment, aussi facilement qu’il a été donné.
5. Ne rien déposer avant la réponse de l’utilisateur, hors cookies strictement nécessaires.

C’est le point 3 qui pose le plus de problèmes en pratique : un bandeau avec un bouton « Accepter » bien visible et un refus caché dans un second écran ou un lien discret n’est pas conforme.

Les cookies qui n’ont pas besoin de consentement

Certains traceurs sont dispensés, parce qu’ils sont strictement nécessaires au service demandé par l’utilisateur : mémoriser un panier, garder une préférence de langue, sécuriser une authentification, ou encore certains outils de mesure d’audience, sous conditions précises.

Le cas particulier de la mesure d’audience (Google Analytics et alternatives)

Un outil de statistiques peut être exempté de consentement s’il respecte des critères stricts fixés par la CNIL : finalité limitée à la seule mesure d’audience pour le compte exclusif de l’éditeur du site, pas de suivi de l’utilisateur d’un site à l’autre, données strictement anonymes, pas de croisement avec d’autres traitements. La CNIL recommande en plus une durée de vie du traceur plafonnée à 13 mois (sans reconduction automatique à chaque visite) et une conservation des données collectées limitée à 25 mois.

Dans sa configuration par défaut, Google Analytics ne remplit pas ces conditions (il ne se limite pas au compte de l’éditeur et peut croiser les données) : son usage nécessite donc, en principe, un consentement préalable. Des outils configurés en mode exempté, ou pensés pour l’être, permettent en revanche de suivre la fréquentation sans bandeau.

Ce que risque réellement une PME

Contrairement à une idée reçue, les sanctions de la CNIL ne concernent pas que les grandes plateformes. Sa liste officielle des sanctions montre, via sa procédure simplifiée (réservée aux dossiers moins complexes, souvent de petites structures), des amendes allant de 3 000 à 20 000 € prononcées pour un défaut de consentement ou d’information sur les cookies, parfois assorties d’une injonction de mise en conformité.

Manquement constaté	Ordre de grandeur de l’amende (procédure simplifiée)
Défaut d’information sur les cookies	À partir de 3 000 €
Absence ou défaut du consentement (cookies)	3 000 à 20 000 € selon les cas
Cumul avec d’autres manquements (prospection, conservation…)	Montants plus élevés

En pratique, un contrôle commence le plus souvent par une mise en demeure donnant un délai pour se mettre en conformité ; la sanction financière intervient surtout en l’absence de réaction ou en cas de manquement répété.

Mettre son site en conformité, concrètement

• Auditer les traceurs réellement déposés : outils de statistiques, boutons de partage, vidéos intégrées, widgets de chat, publicité. Un simple contrôle via les outils de développement du navigateur suffit souvent à lister ce qui est déposé avant tout clic.
• Installer une plateforme de gestion du consentement (CMP) qui bloque les cookies non essentiels tant que le visiteur n’a pas répondu, avec un bouton de refus au même niveau que l’acceptation.
• Documenter chaque finalité (statistiques, publicité, réseaux sociaux…) en langage clair, pas en jargon technique.
• Configurer les outils de mesure d’audience en mode exempté quand c’est possible, ou recueillir le consentement si ce n’est pas le cas.
• Revoir le dispositif régulièrement : un nouvel outil marketing ajoute souvent de nouveaux traceurs sans que personne n’y pense.

Cookies et RGPD : un chantier qui ne s’arrête pas au bandeau

La conformité des cookies est une brique du RGPD, pas l’ensemble du sujet : elle se combine avec la tenue d’un registre des traitements, l’information des personnes et la sécurisation des données collectées. Un site conforme sur les cookies mais sans politique de confidentialité à jour reste incomplet.

Chez SPOC

Que votre site soit géré en interne ou par une agence, nous pouvons auditer les traceurs réellement déposés et vous orienter vers une configuration conforme, sans bloquer vos outils marketing ni votre suivi de performance. Contactez-nous pour un point sur la conformité de votre site.