Qu’est-ce qui vaut preuve du consentement aux cookies ?

Lorsqu’un traitement repose sur le consentement, l’article 7(1) du RGPD impose au responsable du traitement d’être en mesure de démontrer que la personne a consenti. Le principe de responsabilité de l’article 5(2) dit la même chose plus largement. Pour les cookies, la directive ePrivacy reprend la notion de consentement du RGPD : la charge de la preuve pèse sur l’exploitant du site, pas sur le visiteur ni sur l’autorité.

Les lignes directrices 05/2020 du CEPD sur le consentement fixent deux limites : ne pas collecter plus de données que nécessaire pour prouver le consentement, et ne conserver la preuve que le temps du traitement, plus le délai utile pour répondre à une réclamation.

Les autorités n’imposent pas de format, mais un enregistrement qui résiste à une question montre en général :

• Le choix : les catégories acceptées ou refusées.
• La date : la date et l’heure de réception du choix.
• Le texte : la version de la bannière et de la politique cookies vue par le visiteur.
• Le lieu : le site, et idéalement la page.
• Le visiteur : un identifiant pseudonyme qui relie l’enregistrement à ce navigateur sans stocker l’identité de la personne.
• Les changements : les modifications et retraits ultérieurs, conservés comme enregistrements distincts.

Conserver chaque version publiée de la bannière compte autant que le journal. Sans le texte vu par le visiteur, un enregistrement « Accepter » dit peu de chose sur le caractère éclairé du consentement.

Un journal des consentements montre qu’un choix a été transmis pour un identifiant de navigateur à un moment donné. Il n’identifie pas une personne et ne prouve pas qu’un humain a cliqué. La preuve ne rattrape pas non plus une bannière non conforme au départ : l’enregistrement d’un consentement obtenu par une case précochée est l’enregistrement d’un consentement non valable. Voir ce qui rend une bannière cookies conforme.

Dans Cookie Manager, chaque choix d’un visiteur devient une preuve de consentement qui contient les catégories choisies, la date, la version de la bannière et la politique cookies applicables, le site, un identifiant de consentement aléatoire, une adresse IP tronquée et hachée, la famille de navigateur et le chemin de la page. Elle ne contient jamais la valeur des cookies. Chaque version publiée reste archivée, les preuves se recherchent par identifiant de consentement ou par date et s’exportent en CSV ou PDF, et elles sont conservées 3 ans par défaut, réglables par site de 1 à 10 ans. L’export indique en termes simples ce qu’une preuve démontre et ce qu’elle ne démontre pas. Voir Cookie Manager.