Un site doit-il afficher une information sur les cookies ?

Non, pas pour tous les sites. Si vous n’écrivez que ce qui est nécessaire au service demandé, la politique suffit. Le bandeau est un choix, pas un décor.

Vous ouvrez votre nouveau site, avec l’histoire de l’entreprise, le téléphone et le formulaire de contact, et la première chose que vous voyez est un bandeau qui demande le consentement à des cookies que cette page n’écrit pas, parce que l’extension a été copiée d’un autre projet où il y avait Google Analytics, et maintenant vous payez un théâtre où le bouton « J’accepte » cache un inventaire vide. À côté, une boutique sur le même WordPress, mais avec Google Analytics 4 et le pixel Meta, n’affiche que du contenu, alors que le navigateur a déjà reçu un identifiant avant que l’acheteur ait lu un seul nom de produit, et cette différence est tout le sujet de cet article. Le premier cas est une information superflue. Le second est un stockage sans consentement, et la loi ne demande pas si le bandeau est visible, mais ce que le site inscrit dans l’équipement terminal et si cela était nécessaire au service que l’utilisateur a lui-même demandé.

Cet article répond à la question de savoir si un site doit afficher une information sur les cookies, et la réponse n’est pas « oui, pour tous », même si presque toutes les extensions se comportent ainsi, ni « non, pour personne », même s’il est commode de le dire pour un site qui veut rester sobre. La réponse est une frontière : si le site ne stocke ou ne lit que ce qui est nécessaire au service expressément demandé, une fenêtre de choix n’est pas un devoir, mais l’information sur ces cookies appartient encore à une politique joignable depuis chaque page. Si le site affiche de la publicité, charge un outil tiers avant que l’utilisateur ait demandé quoi que ce soit, ou mesure l’audience sans remplir les conditions d’exemption de la CNIL, le consentement est nécessaire avant le premier dépôt, et le bandeau n’est plus un décor, c’est le seul moyen licite d’obtenir ce consentement.

Nous nommons cette frontière parce que nous en avons vu les deux bouts dans la même semaine : un site qui achète une plateforme de gestion du consentement (CMP) pour masquer un cookie de session, et un site qui lance la mesure sans aucun choix, « puisque nous avons bien une politique de confidentialité », et aucun de ces deux états n’est une conformité. Aucun n’est non plus une raison de réécrire l’audit technique que nous avons déjà écrit ailleurs, car c’est là que se tient la question de savoir si le bandeau, lorsqu’il est nécessaire, arrête vraiment les balises. Il ne reste ici que la première question, à laquelle on répond trop souvent par une extension : avez-vous seulement quelque chose à demander, avant que l’on vous vende l’outil pour le demander.

Un site doit-il afficher une information sur les cookies

Non, pas à chaque site, et c’est la réponse que la CNIL, dans « Cookies et traceurs : que dit la loi ? », a déjà tracée : seuls les traceurs qui ne sont pas strictement nécessaires exigent un consentement préalable, et lorsque le site n’utilise que des cookies pour lesquels ce consentement n’est pas requis, le responsable du traitement peut en informer dans la politique de confidentialité ; une fenêtre de choix n’est alors pas obligatoire. Ce n’est pas notre avis et ce n’est pas non plus un « raccourci pratique » qu’une agence invente pour vendre moins de travail ; c’est la limite du devoir du responsable, que l’autorité a elle-même écrite, et elle mérite d’être lue avant que l’on vous vende une plateforme de gestion du consentement pour un site où il n’y a rien à gérer. Si vous voulez quand même montrer un bandeau alors qu’il n’y a pas de choix, il peut être informatif — « J’ai compris » et un lien vers la politique — et « J’accepte » n’a pas à s’y trouver, parce que vous ne demandez pas de consentement à cet instant, et qu’un bouton qui en a l’air est une mauvaise pratique.

Cette frontière est aussi l’endroit où les noms commencent à tromper, parce que l’information sur les cookies, dans la langue de tous les jours, désigne n’importe quel texte qui dit que le site stocke quelque chose, alors que le bandeau cookies est l’interface de choix par laquelle on obtient le consentement pour ce que l’exemption ne couvre pas, et que la politique relative aux cookies est le document où la CNIL veut voir la finalité, le destinataire et la durée. La loi n’exige nulle part un design précis de bandeau, et elle n’exige pas non plus que chaque page munie d’un jeton de sécurité de formulaire demande d’abord à l’utilisateur la permission de fonctionner. Confondre ces trois mots, c’est soit poser un choix là où il n’y en a pas, soit s’imaginer qu’une politique, à elle seule, autorise une mesure que personne n’a demandée et qui n’entre pas dans l’exemption.

Les conséquences du mauvais côté coûtent plus cher qu’il n’y paraît, parce qu’un « J’accepte » superflu sur un site purement technique apprend au visiteur que le consentement est une formalité, et vous apprend à vous-même que la conformité est l’installation d’une extension, non le contrôle de l’inventaire. Un choix manquant là où une mesure non exemptée écrit déjà n’est pas « un petit risque, puisque nous avons une politique », c’est un stockage avant consentement, que la CNIL place encore, dans ses contrôles et ses sanctions, parmi les manquements les plus fréquents. Dans les deux cas, vous avez fait un travail qui ne correspond pas à ce qui se passe sur le site, et c’est un état pire qu’une page vide, parce qu’il a l’air d’un ordre et reste donc plus longtemps sans être vérifié.

Avant d’acheter le moindre outil, écrivez ce que le site inscrit dans le navigateur à la première seconde d’un profil vierge, et pour chaque ligne demandez-vous si elle est nécessaire au service que l’utilisateur a demandé à cet instant, non au service que vous voulez mesurer. Si la réponse est oui pour toutes les lignes, vous avez besoin d’une politique, pas d’un bandeau, et cet article ne vous vend ensuite que cette phrase. Si une seule ligne est de la publicité, un outil tiers, ou une mesure qui ne remplit pas les conditions d’exemption, vous avez besoin du consentement avant cette ligne, et ce n’est qu’alors qu’il est utile de parler du texte du bandeau, que nous écrirons aussi ici, mais pas plus tôt.

La loi nomme le stockage et l’accès, pas le bandeau

L’article 82 de la loi Informatique et Libertés dit que l’accès à des informations déjà stockées dans l’équipement terminal de communications électroniques, ou l’inscription d’informations dans cet équipement, n’est possible qu’après une information claire et complète et le consentement de l’abonné ou de l’utilisateur, et la même phrase, dans l’Union, se trouve à l’article 5, paragraphe 3, de la directive ePrivacy, et en Allemagne à l’article 25 du TDDDG. Dans aucun de ces textes on ne lit le mot « bandeau », parce que le devoir porte sur l’action dans l’équipement terminal, et que le bandeau n’est qu’une façon de recueillir ce consentement, s’il est seulement nécessaire. Celui qui commence par l’achat d’une extension commence par le mauvais bout, comme si la loi parlait d’un cadre en bas de l’écran, et non de ce qui se passe avant le cadre.

Les exceptions sont au nombre de deux, et elles sont étroites : le consentement n’est pas nécessaire si le stockage ou l’accès a pour finalité exclusive de permettre ou de faciliter une communication par voie électronique, ou s’il est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur. La CNIL traduit cette seconde branche dans la pratique — identifiant de session pour un formulaire ou un panier, authentification, sécurité contre les attaques, session d’un lecteur, équilibrage de charge, choix de langue ou de présentation que l’utilisateur a fait et qui n’est pas réemployé à une autre fin — et cette liste n’est pas un menu dans lequel on peut glisser tout ce qui vous arrange. « Nécessaire pour nous, afin de comprendre si le site fonctionne » n’est pas une exception, si souvent qu’on l’écrive dans une offre, parce que l’utilisateur, en ouvrant la page d’accueil, n’a pas demandé une mesure.

Le champ n’est pas attaché au fichier dont le nom contient « cookie », parce que les lignes directrices 2/2023 du Comité européen de la protection des données sur le champ technique de l’article 5, paragraphe 3, adoptées le 7 octobre 2024 en seconde version, rappellent que l’article parle d’informations, non de données à caractère personnel, et de stockage ou d’accès, non d’une seule technique. Les pixels, le localStorage et l’empreinte du terminal tombent dans la même question, et la Cour, dans l’affaire Planet49 (C-673/17), le dit de l’autre côté : la protection vise toute information dans l’équipement terminal, même lorsqu’il ne s’agit pas de données à caractère personnel. Une politique qui promet « nous n’utilisons pas de cookies » n’a donc pas encore répondu à la question de savoir si le site accède autrement à ce qui se trouve déjà dans l’appareil. Cette réponse compte davantage que la présence du mot « cookie » dans le nom du fichier.

C’est aussi l’erreur que nous voyons dans les achats, lorsqu’on achète une « solution cookies » comme si la loi portait sur le bandeau, puis qu’on s’étonne que l’audit trouve encore des requêtes que le bandeau ne mentionne pas. Une solution qui commence par l’extension commence par le mauvais bout, parce qu’il faut d’abord comprendre ce qui est stocké et à quoi cela est nécessaire, et seulement ensuite choisir s’il suffit d’une politique, ou s’il faut une interface de choix qui exécute vraiment ce choix. Nous n’inventons pas cet ordre pour ralentir le projet ; nous le demandons pour que le projet, après la mise en ligne, corresponde encore à l’inventaire avec lequel il a été commandé.

Deux couches : l’équipement terminal et les données à caractère personnel

La première couche est ePrivacy et sa transposition — l’article 82 — qui demande si vous avez seulement le droit d’écrire ou de lire quoi que ce soit, et la seconde est le règlement général sur la protection des données, qui demande, si des données à caractère personnel sont ensuite traitées, sur quel fondement juridique et avec quelle transparence. La CNIL a déjà rappelé cette articulation : le consentement de l’article 82 est celui des articles 4, point 11, et 7 du RGPD, et les autorités allemandes dessinent la même chose comme deux dimensions que l’on n’a pas le droit de fondre en un seul « bandeau RGPD ». Une couche n’annule pas l’autre. Une seule coche verte ne répond pas aux deux, aussi commode soit-il d’acheter un seul outil contre les deux questions.

Cette différence est la raison pour laquelle une politique de confidentialité n’est pas un bandeau cookies, parce que la politique exécute le devoir d’information — ce qui est fait, à quelle fin, combien de temps, à qui les données parviennent — et qu’on peut le faire aussi lorsqu’aucun choix n’est nécessaire. Le bandeau exécute le recueil du consentement là où l’exemption ne suffit pas, et il doit satisfaire à l’article 4, point 11, du règlement : une manifestation de volonté libre, spécifique, éclairée et univoque, par un acte positif clair, que ne donnent ni le silence, ni une case précochée, ni l’inactivité. La Cour l’a dit en 2019 dans l’affaire Planet49, et le règlement l’a écrit aussi au considérant 32, si bien qu’un bouton qui compte sur le fait que l’on ne verra pas la case n’est pas un consentement, même si la politique en dessous est longue.

Le texte de la loi Informatique et Libertés porte encore le millésime de 1978, et on n’a pas le droit de le lire comme si la loi d’origine fixait encore la qualité du consentement, parce que la CNIL a déjà reporté cette exigence sur le règlement. La référence d’ePrivacy à la directive 95/46/CE est, depuis l’article 94 du règlement, une référence au règlement lui-même, et « consentement » signifie ce que dit l’article 4, point 11, non ce dont quelqu’un se souvient d’un régime abrogé. Nous nommons cet écart pour que vous n’alliez pas chercher l’article de l’ancienne loi là où l’autorité lit déjà le RGPD.

En pratique, cela donne deux questions que l’on n’a pas le droit de poser dans le même souffle : d’abord, cette action a-t-elle seulement le droit d’avoir lieu avant tout choix, ou est-elle une exception, ensuite, si les données sont des données à caractère personnel, sur quel fondement vous les traitez plus loin et où l’utilisateur peut le lire. Un site qui ne répond qu’à la seconde par une longue politique, et pas à la première, a écrit un essai sur ce qu’il fait, et n’a pas demandé s’il avait le droit de le faire. Le second essai, qui ne répond qu’à la première et oublie la transparence de l’article 13, est un bandeau sans contenu, et nous voyons les deux plus souvent qu’un inventaire qui répond aux deux.

Quand le consentement n’est pas nécessaire — et quand l’information l’est encore

Le consentement n’est pas nécessaire là où le cookie est nécessaire au service demandé lui-même et n’est pas utilisé à une autre fin, et c’est une condition plus étroite qu’il n’y paraît. Un formulaire qui, sans jeton de session, ne peut pas distinguer votre envoi de celui d’un inconnu, un panier qui, sans identifiant, oublie l’article, un équilibrage de charge qui dit seulement quel serveur répond, une langue que l’utilisateur a choisie et dont le cookie ne fait que se souvenir — c’est le noyau de l’exemption, non « tout ce sans quoi nous sommes gênés ». La CNIL a laissé le cookie de langue dans cette liste lorsque la personnalisation est un élément intrinsèque et attendu du service, mais le même test laisse dehors l’identifiant d’un site de voyage qui suit la personne de visite en visite pour lui proposer des destinations, parce que la finalité n’est plus la fonction que l’utilisateur a demandée.

C’est ici que se cache le plus souvent l’excès, parce que l’on déclare la mesure « nécessaire pour améliorer le site », la fenêtre de discussion « nécessaire pour répondre au client », le pixel publicitaire « nécessaire pour comprendre si la campagne fonctionne », et qu’aucune de ces phrases n’est une exception. L’utilisateur, en ouvrant la page d’accueil, n’a pas demandé une mesure, une discussion ni une campagne, et l’exemption appartient à la fonction qu’il utilise à cet instant, non à la fonction que vous voulez mesurer. Si vous ne pouvez pas écrire cette nécessité en une phrase sans le mot « nous », ce n’est pas un cookie strictement nécessaire. Cela vaut d’être dit à voix haute dès que l’on veut seulement ajouter l’outil, non lorsqu’il écrit déjà.

L’information demeure pourtant, parce que la CNIL dit que le responsable qui n’utilise que des cookies strictement nécessaires, ou des traceurs de mesure d’audience qui remplissent les conditions d’exemption, peut en informer dans une politique de confidentialité accessible sur le site, et que la fenêtre de choix n’est alors pas obligatoire. Le BfDI, en Allemagne, le dit avec d’autres mots : il faut informer sur les outils techniquement nécessaires, on peut le faire dans une politique de confidentialité joignable, mais le responsable doit pouvoir justifier pourquoi cet outil-là est nécessaire. L’article 13 du règlement exige cette information aussi lorsque des données à caractère personnel sont collectées sans bandeau, parce que la transparence n’est pas un accessoire du consentement et que la politique n’est pas un cadeau que l’on peut remettre à plus tard, jusqu’à la première plainte.

Nous-mêmes, sur notre site, tenons la session, le jeton de sécurité et la conservation du choix de consentement parmi les cookies strictement nécessaires et n’en demandons pas le consentement, parce que sans eux cette page ne peut pas accepter un formulaire ni se souvenir de ce que vous avez déjà choisi. C’est une décision d’inventaire, non une citation de la CNIL qui aurait tranché le cookie de préférence pour tout le monde, et nous ne la cachons pas derrière un « tout le monde fait ainsi », parce qu’une telle ligne n’est pas une exemption universelle. Si votre site n’a pas ces lignes et n’a pas non plus de mesure, une politique vous suffit ; si vous voulez pourtant montrer un bandeau informatif, montrez « J’ai compris » et un lien, non « J’accepte », faute de quoi vous demandez ce que la loi, à cet instant, ne demande pas.

Quand le consentement est nécessaire avant le premier dépôt

Pour la publicité, le marketing et la personnalisation, le consentement est nécessaire, et la CNIL l’a écrit comme une règle, non comme un conseil : les cookies liés à la publicité personnalisée et les traceurs des réseaux sociaux exigent une information préalable et un recueil préalable du consentement. Ce n’est pas le lieu où « nous ne faisons que compter les pages » devient une exception, parce que compter est une mesure d’audience, et qu’une mesure d’audience n’est exemptée que si elle remplit les conditions que la CNIL a énoncées : finalité strictement limitée à la mesure de l’audience de ce site ou de cette application, pour le compte exclusif de l’éditeur ; statistiques anonymes uniquement ; pas de recoupement avec d’autres traitements ni de transmission de données non anonymes à des tiers ; pas de suivi de la personne d’un site à l’autre. L’utilisateur doit en être informé, en pratique dans la politique. Une configuration habituelle de Google Analytics 4 ou du pixel Meta ne tient pas dans ce cadre. Un site public n’y gagne pas non plus un droit de faire de la publicité sans choix.

Le moment fait partie de cette règle, ce n’est pas une note au bas, parce que, si un identifiant est inscrit ou lu avant que l’utilisateur ait choisi, le consentement n’est pas obtenu, si beau soit le bandeau qui apparaît une demi-seconde plus tard. La CNIL le dit encore ainsi : tant que la personne n’a pas consenti, les cookies soumis au consentement ne peuvent pas être déposés ni lus sur son terminal, et une animation plus rapide ne répare pas cette seconde. La question n’est donc pas « avons-nous un bandeau ? », mais « que se passe-t-il à la première seconde d’un profil vierge ? », et cette seconde, dans un audit, nous la fixons avec un journal, non avec l’impression que le bandeau est apparu assez tôt.

Les outils tiers ne déplacent pas cette frontière, ils la rendent seulement plus visible, parce que, si une vidéo YouTube est intégrée, les cookies YouTube sont des cookies tiers, et YouTube en est le responsable du traitement. Ce n’est pas encore dire que chaque lecteur intégré exige automatiquement un bandeau de choix avant le premier pixel, parce que, si la vidéo ne se charge qu’après un clic de l’utilisateur, il peut n’y avoir rien à stocker à la première seconde. Le test reste le même — un stockage ou un accès a-t-il déjà eu lieu avant l’action demandée — et, s’il a eu lieu, le consentement était nécessaire plus tôt, mais, s’il n’a pas eu lieu, vous avez laissé le choix là où il se trouve.

Le cookie first party ou le cookie tiers ne tranche pas ce test, et la CNIL le montre assez clairement : l’un comme l’autre peut être nécessaire, et l’un comme l’autre peut ne pas l’être, si bien qu’un identifiant que vous écrivez vous-même comme cookie first party pour mesurer ensuite le comportement n’est pas « plus sûr » qu’un pixel tiers au seul motif que le domaine est le vôtre. La loi interroge l’action et la finalité, non le serveur où vit le fichier, et une politique qui s’enorgueillit de « nous n’utilisons pas de cookies tiers » n’a pas encore répondu à ce que fait votre propre mesure. C’est aussi l’endroit où nous demandons d’ordinaire d’ouvrir le journal Network, plutôt que de discuter le mot « first-party ». Le journal termine cette discussion plus vite.

L’information sur les cookies n’est pas le bandeau cookies

L’information renseigne, le bandeau recueille un choix, et la politique est l’endroit où l’information reste lorsque le bandeau est fermé, mais ces trois mots fusionnent au quotidien en un seul « cookie notice », et c’est pourquoi l’on cherche l’obligation d’informer et l’obligation d’un bandeau comme s’il s’agissait d’un seul devoir. Ce n’est pas le cas, parce que l’on peut informer dans la politique, sans bandeau, si l’exemption couvre tout ce que le site fait, alors que le choix ne s’obtient que par une interface qui permet aussi de refuser, et que cette interface est le bandeau. Les confondre, c’est soit demander une signature là où il ne faut qu’un texte, soit s’imaginer que le texte, à lui seul, autorise une mesure.

Cette différence se voit le plus clairement sur un site qui n’utilise que des cookies strictement nécessaires, mais affiche un bouton « J’accepte » : il demande ce qu’il n’a pas à demander, et il apprend que le consentement est le seul bouton qui ferme quelque chose. La bonne pratique, au même endroit, est un texte informatif, un lien vers la politique et un « J’ai compris » qui n’admet rien, qui retire seulement le bandeau, et, si vous rebaptisez ce « J’ai compris » en consentement, vous êtes revenus à l’exemple mauvais, seulement avec un mot plus poli. Nous ne racontons pas cet exemple pour nous moquer des extensions ; nous le racontons parce que c’est la façon la moins chère de voir qu’un objet à l’écran n’est pas encore un devoir.

Du côté de la CNIL, le consentement aux outils qui l’exigent se recueille par un bandeau de choix, et le refus doit être aussi simple que l’acceptation, au premier regard, non dans un troisième menu, et cela appartient au cas où le consentement est nécessaire, non au cas où il n’y en a pas. Un cookie-wall — un mur qui n’autorise pas à lire le contenu tant qu’il n’y a pas de choix — n’est admissible que s’il existe une véritable alternative, le refus ou un accès payant, et que le consentement reste libre ; le devoir d’informer demeure alors aussi. C’est la lecture de l’article 82 et de la CNIL, et elle suffit déjà pour ne pas confondre l’information et le choix.

Cette différence est aussi la raison pour laquelle nous n’écrivons plus un second document technique sous un autre titre, parce que les lignes directrices parlent d’une politique relative aux cookies, et que le tableau, dans le même document, a une place pour la finalité, le destinataire et la durée. Un second fichier sous un autre titre ne crée pas une seconde conformité ; il donne seulement un second endroit où l’inventaire peut prendre du retard, et nous l’avons assez vu pour ne plus promettre un second fichier comme un cadeau. Si vous avez une politique où ces lignes se trouvent, vous avez une information sur les cookies ; si vous n’avez qu’un bandeau sans ces lignes, vous avez un décor, et un décor, pour l’audit, n’est pas une preuve.

Que rédiger dans l’information sur les cookies si le consentement est nécessaire

Si le consentement est nécessaire, l’information doit être telle que la personne comprenne à quoi elle consent, avant de consentir, et la Cour, dans l’affaire Planet49, a dit qu’une information claire et complète comprend la durée de vie des cookies et le fait que des tiers y accèdent ou non. La CNIL découpe la même chose en finalités, en catégories et en responsables, et dit que cette information doit se trouver à la fois dans le bandeau, suffisamment pour que le choix soit éclairé, et dans la politique, où l’on peut la raconter plus largement. Un texte général avec des citations de la loi n’est pas une information, c’est un écran, et un écran reste un écran même s’il est traduit en douze langues.

Au premier regard, l’acceptation et le refus doivent être également visibles, parce que la CNIL traite toujours comme un consentement invalide le « J’accepte » mis en couleur, le refus caché derrière « Personnaliser », et les boutons « fermer », « j’ai compris » ou « continuer » pris pour une acceptation. La poursuite de la visite et la fermeture du bandeau ne sont pas, à elles seules, un consentement valable, et Planet49 ajoute qu’une case précochée n’en est pas un non plus, parce que le consentement exige une action, non un silence dans lequel vous avez espéré que l’on ne verrait pas la case. Ces lignes appartiennent à cet article, parce qu’elles sont la forme du devoir, non les étapes DevTools que nous avons laissées à l’autre texte.

Le retrait du consentement doit être aussi simple que de le donner, parce que l’article 7, paragraphe 3, du règlement le dit exactement, et que la CNIL le traduit par un lien qui reste lorsque le bandeau a disparu, d’ordinaire dans le pied de page, depuis chaque page. Un bouton qui enregistre le nouveau choix mais ne le signale pas aux balises déjà chargées est la même erreur dont nous avons écrit dans l’audit technique, seulement de l’autre côté : ici c’est la forme du devoir, là-bas l’absence de preuve. Nous ne terminons pas cet article par les étapes du journal Network, parce qu’elles appartiennent à l’autre texte ; ici il suffit de dire qu’un retrait que l’on ne trouve pas n’est pas un retrait, même si la politique l’a promis.

Le texte que nous écrivons pour les clients vient de l’inventaire, non d’un modèle, parce que l’exemple de politique montre un tableau avec le nom, la finalité et la durée pour chaque catégorie, et c’est aussi ce que nous exigons de nous-mêmes : chaque ligne doit pouvoir être vérifiée contre ce qui se passe sur le site. Un modèle qui reste du projet précédent est pire qu’une page vide, parce qu’il nomme des cookies qui n’y sont plus et tait ceux qui y sont, et c’est aussi le moment où nous cessons d’écrire un essai juridique. Le travail qui suit est une vérification, non une signature de plus sous un texte que personne n’a comparé à ce qui se passe à la première seconde.

Ce que coûte un bandeau dont le site n’a pas besoin

Un bandeau de trop n’est pas de la prudence. Il vole le premier écran, apprend au visiteur à cliquer sans lire et vous apprend que la conformité est le réglage par défaut d’une extension, non l’accord de l’inventaire avec ce qui se passe sur le site. L’exemple de mauvaise pratique, avec « J’accepte » sur un site technique, est exactement cette facture : vous avez posé un choix là où il n’y en a pas, et vous devez maintenant entretenir un choix qui ne change rien, parce qu’il n’y a rien à éteindre en dessous.

C’est un état pire que le silence. Un objet à l’écran donne l’impression d’un ordre, et c’est précisément cet « ordre » qui fait que nous tenons le bandeau superflu pour une erreur.

Nous ne vendons pas de plateforme de gestion du consentement à un site auquel une politique suffit, et cela sonne comme une affaire perdue, et c’en est une. Nous préférons perdre une mission où il faudrait installer Cookiebot, OneTrust ou un bandeau sur mesure là où l’inventaire n’a qu’une session et un jeton de sécurité, plutôt que de gagner un client qui, six mois plus tard, demande pourquoi il paie un bandeau qui ne gère rien. C’est la phrase que l’on saute d’ordinaire dans une présentation commerciale, et c’est pourquoi nous l’écrivons ici. Un article qui se termine toujours par « achetez notre audit » n’est pas une réponse à la question de savoir si l’information est obligatoire.

L’autre prix est juridique, pas seulement esthétique, parce qu’un bandeau qui demande le consentement à ce qui n’en a pas besoin, ou qui cache le refus, est la même tromperie contre laquelle la CNIL agit aussi là où le consentement est nécessaire. Vous ne pouvez pas vous défendre par « nous avons bien un bandeau » si le bandeau a été bâti pour le mauvais inventaire, parce que la conformité n’est pas la présence d’un objet à l’écran, c’est l’accord entre ce que le site fait et ce que vous en avez dit. Un objet de trop n’abîme pas cet accord moins qu’un objet manquant, et c’est aussi pourquoi nous conseillons parfois de retirer le bandeau, non de l’ajouter, même si cela sonne à l’envers de ce que l’on attend d’une agence.

Si le bandeau est nécessaire, la question suivante n’est pas son apparence

Si l’inventaire montre de la publicité, un autre outil que l’exemption ne couvre pas, ou une mesure d’audience qui n’entre pas dans les conditions de la CNIL, alors oui, vous avez besoin d’un choix avant le premier dépôt, et le périmètre de cet article s’arrête là, parce que la question suivante est de savoir si le bandeau, maintenant nécessaire, arrête vraiment ce qu’il promet d’arrêter. Nous y avons répondu dans l’article sur ce que « Refuser » arrête vraiment : un « Refuser » qui ferme le cadre mais n’éteint pas la balise n’est pas un refus, et ce texte ne le réécrit pas, parce qu’il est déjà écrit. Répéter ici sept erreurs, ce serait voler à l’autre article sa question, et nous ne le faisons pas non plus lorsque le lien interne, à cet endroit, a l’air d’une vente.

Notre prestation d’audit des cookies commence à 800 € et prend généralement 1 à 4 semaines, selon les gabarits, les langues, la CMP et le conteneur de balises, et cet « à partir de » est un plancher, non une facture. Cela appartient à l’inventaire, à la configuration et à la vérification, non à la promesse que toute la protection des données de l’organisation sera rangée avec un seul bandeau, et le mode Consentement de base ou le mode Consentement avancé, nous le choisissons d’après votre analyse juridique et vos besoins de mesure. Nous ne promettons pas de données modélisées là où la propriété Google ne remplit pas les conditions de Google, parce que ces lignes sont les mêmes que celles de la page de service, et que cet article ne les relève pas et ne les abaisse pas.

Avant de nous écrire, faites le même contrôle par lequel ce texte a commencé : profil vierge, première seconde, liste de ce qui a été inscrit, et une ligne pour chaque « pourquoi », parce que cette liste est moins chère que n’importe quelle offre. Si la liste est vide ou n’y figure que l’exemption, vous avez besoin d’une politique, et nous le dirons aussi, même si cela signifie que l’audit n’est pas l’affaire de cette semaine. Si la liste contient une ligne pour laquelle le consentement était nécessaire hier, alors le bandeau qui a aujourd’hui l’air poli n’est pas encore une réponse, et il vaut alors la peine de lire l’autre article, non celui-ci une seconde fois.

Si vous voulez que nous lisions cette liste avec vous et disions de quel côté vous êtes, écrivez-nous, parce que parfois la réponse la plus honnête est qu’une politique suffit et que l’argent vaut d’être gardé pour le contenu, non pour le bandeau, et parfois la réponse est que le consentement est nécessaire et qu’il faut maintenant vérifier s’il fonctionne. Les deux valent, et une seule, sur chaque site, est juste, et nous préférons perdre un audit où il faudrait poser un bandeau sur un inventaire vide, plutôt que de gagner un projet dans lequel ce bandeau, après la mise en ligne, devient un reproche.