Qu’est-ce qui rend une bannière cookies conforme ?

L’article 5(3) de la directive ePrivacy (2002/58/CE) n’autorise un site à stocker ou à lire des informations sur l’appareil d’un visiteur qu’avec son consentement, sauf si le cookie est strictement nécessaire au service demandé par le visiteur. Les cookies de session, de panier, de répartition de charge et de sécurité sont des cookies nécessaires typiques. Les cookies de mesure d’audience, de publicité et la plupart des cookies tiers exigent le consentement.

La directive ePrivacy reprend la notion de consentement du RGPD. L’article 4(11) du RGPD exige un consentement libre, spécifique, éclairé et univoque, donné par un acte positif clair. L’article 7(3) ajoute que le retrait du consentement doit être aussi simple que son octroi.

Les juridictions et les autorités ont traduit ces principes en critères concrets :

• Pas de cases précochées. La Cour de justice a jugé dans l’arrêt Planet49 (C-673/17, 2019) qu’une case précochée ne vaut pas consentement.
• Pas de consentement par le défilement ou la poursuite de la navigation. Les lignes directrices 05/2020 du CEPD sur le consentement indiquent que ce n’est pas un acte positif clair.
• Une possibilité de refuser au premier niveau. La plupart des autorités de la task force du CEPD sur les bannières cookies jugent non conforme un niveau qui propose d’accepter sans permettre de refuser.
• Pas de conception trompeuse. Cacher le refus dans un lien, ou le rendre bien moins visible que Tout accepter, oriente le visiteur et fragilise le consentement.
• Un choix par finalité. Le visiteur choisit par catégorie, par exemple statistiques ou marketing, et la bannière explique chacune avant sa décision.
• Rien de facultatif avant le choix. Balises et traceurs attendent la décision : une bannière qui charge la mesure d’audience avant le clic n’est pas conforme, aussi soignée soit-elle.
• Le retrait reste accessible. Un lien ou un bouton permanent permet de rouvrir les paramètres et de changer d’avis.

La Suisse n’a pas de directive ePrivacy. L’article 45c de la loi sur les télécommunications permet de traiter des données sur l’appareil d’un visiteur lorsque celui-ci est informé du traitement et de sa finalité et qu’il sait qu’il peut le refuser. La loi fédérale sur la protection des données révisée (nLPD), en vigueur depuis le 1er septembre 2023, ajoute ses principes généraux, comme la bonne foi et la transparence de l’article 6. En pratique, un site suisse qui reçoit aussi des visiteurs de l’UE applique en général la norme européenne. Voir le guide nLPD pour l’ensemble de la loi.

Cookie Manager, qui fait partie de Data Privacy dans Acuna GRC, place sur vos sites une bannière avec Tout accepter, Tout refuser et Personnaliser. Sur chaque page, la bannière vérifie que Tout refuser est visible et aussi mis en avant que Tout accepter, et revient à son style intégré pour les deux boutons si votre feuille de style le masque ou le réduit. Les scripts facultatifs que vous marquez par catégorie ne s’exécutent qu’une fois cette catégorie acceptée, et un lien de paramètres reste sur chaque page pour modifier ou retirer le choix. Chaque choix devient une preuve de consentement. Voir Cookie Manager.