# Le consentement aux cookies couvre-t-il le localStorage, les pixels et le fingerprinting ?

> Pourquoi les règles européennes sur le consentement s'appliquent au localStorage, aux pixels de suivi, au fingerprinting et aux autres technologies que les cookies, selon l'article 5(3) ePrivacy et les lignes directrices 2/2023 du CEPD.

Source: https://www.cookiesh.eu/fr/blog/consent-beyond-cookies  
Published: 2026-10-29

## Key takeaways

- La règle européenne sur les cookies, à l'article 5(3) de la directive ePrivacy, est technologiquement neutre : elle couvre le stockage de toute information sur l'appareil d'un utilisateur et l'accès à celle-ci, pas seulement les cookies.
- Le localStorage, le sessionStorage, IndexedDB, les pixels de suivi et les scripts de fingerprinting nécessitent tous un consentement, sauf s'ils sont strictement nécessaires à un service demandé par l'utilisateur.
- Les lignes directrices 2/2023 du CEPD confirment qu'un site accède à des informations lorsqu'il demande au navigateur de les envoyer, ce qui couvre les pixels et le JavaScript qui lit les caractéristiques de l'appareil.
- La règle s'applique que les informations soient ou non des données personnelles, et quiconque déclenche le stockage ou l'accès en est responsable.
- Passer des cookies à une autre technologie ne supprime pas le besoin de consentement ; seul un changement de ce que vous stockez ou lisez le peut.

Oui. La règle européenne sur les cookies, à l'article 5(3) de la directive ePrivacy, ne mentionne jamais les cookies. Elle couvre le stockage d'informations sur l'appareil d'un utilisateur et l'accès à des informations qui s'y trouvent déjà, quelle que soit la technologie employée. Le localStorage, IndexedDB, les pixels de suivi et les scripts de fingerprinting entrent tous dans son champ d'application, comme l'a confirmé le Comité européen de la protection des données (CEPD) dans ses lignes directrices 2/2023.

## Que dit réellement la loi ?

L'article 5(3) prévoit que le stockage d'informations, ou l'accès à des informations déjà stockées, dans l'équipement terminal d'un utilisateur n'est autorisé qu'avec son consentement, après qu'il a reçu une information claire et complète. Il existe deux exemptions : le stockage ou l'accès nécessaire uniquement à la transmission d'une communication, et le stockage ou l'accès strictement nécessaire à la fourniture d'un service expressément demandé par l'utilisateur.

Le mot « cookie » n'apparaît que dans les considérants, à titre d'exemple. L'obligation elle-même est définie par ce qui se passe sur l'appareil, et non par le mécanisme utilisé. C'est pourquoi l'appellation « loi cookies » est trompeuse, et pourquoi sortir les données de suivi des cookies ne les fait pas sortir du champ de la loi. Pour l'articulation de cette règle avec le RGPD, voir [directive ePrivacy et RGPD](/fr/blog/eprivacy-directive-vs-gdpr).

## Qu'ont clarifié les lignes directrices 2/2023 du CEPD ?

Le CEPD a publié les lignes directrices 2/2023 pour trancher les débats sur la portée technique de l'article 5(3), et les a finalisées en 2024. Elles décomposent la règle en plusieurs éléments et interprètent chacun d'eux de manière large.

- **Les informations** désignent toute information, pas seulement des données personnelles. Un identifiant aléatoire ou un paramètre de l'appareil entre dans cette catégorie.
- **L'équipement terminal** est tout appareil connecté à un réseau : ordinateur portable, téléphone, téléviseur connecté ou voiture connectée.
- **Le stockage** couvre toute écriture sur l'appareil, que ce soit dans des cookies, le stockage du navigateur, le cache ou des fichiers.
- **L'accès** a lieu chaque fois qu'une entité prend des mesures pour obtenir des informations depuis l'appareil. Demander au navigateur d'envoyer des informations en fait partie, même si personne ne lit directement le stockage.

Ce dernier point est le plus important. Selon cette lecture, un script qui demande au navigateur sa résolution d'écran, ses polices installées ou son empreinte graphique accède à des informations, tout comme une balise image qui amène le navigateur à envoyer une requête contenant des identifiants.

Le CEPD examine aussi des cas d'usage précis, dont les pixels de suivi, les liens de suivi, les données traitées localement puis renvoyées, certaines formes de suivi fondé sur l'adresse IP, les objets connectés et les identifiants uniques. Dans chaque cas, la question est la même : quelqu'un a-t-il provoqué le stockage d'informations sur l'appareil de l'utilisateur, ou leur envoi depuis celui-ci ?

## Quelles technologies nécessitent un consentement ?

Appliquez le même critère à chaque technologie : si elle stocke ou lit des informations sur l'appareil et n'est pas strictement nécessaire à quelque chose que l'utilisateur a demandé, elle nécessite un consentement.

| Technologie | Dans le champ de l'article 5(3) ? | Usage courant nécessitant un consentement |
| --- | --- | --- |
| Cookies HTTP et JavaScript | Oui | Identifiants de mesure d'audience et publicitaires |
| localStorage et sessionStorage | Oui | Identifiants client de mesure d'audience, tampons d'enregistrement de session (session replay) |
| IndexedDB et Cache Storage | Oui | Données publicitaires ou de suivi mises en cache |
| Pixels de suivi (web et e-mail) | Oui, selon le CEPD | Suivi des conversions, suivi des ouvertures d'e-mails |
| Scripts de fingerprinting | Oui, selon le CEPD | Identification intersites sans cookies |
| Paramètres de suivi dans les liens | C'est possible, selon la manière dont l'identifiant est défini et lu | Attribution des clics et des campagnes |

Ce tableau est un point de départ, pas un verdict. Un pixel utilisé uniquement pour charger une image décorative ne suit rien, alors qu'un script de mesure d'audience « sans cookies » qui calcule un hash stable de l'appareil assure généralement un suivi.

## L'exemption pour ce qui est strictement nécessaire s'applique-t-elle toujours ?

Oui, et elle est elle aussi technologiquement neutre. Si quelque chose est strictement nécessaire à la fourniture d'un service expressément demandé par l'utilisateur, vous pouvez le stocker ou le lire sans consentement, quel que soit le mécanisme de stockage.

Exemples typiques dans le localStorage :

```js
// Strictement nécessaire⍽: l'utilisateur a demandé ces fonctionnalités
localStorage.setItem('cart', JSON.stringify(cartItems));
localStorage.setItem('locale', 'de');
localStorage.setItem('consent', JSON.stringify(choices)); // mémoriser le choix lui-même

// Nécessite un consentement⍽: identifie l'appareil à des fins de mesure d'audience ou de publicité
localStorage.setItem('analytics_client_id', crypto.randomUUID());
```

Le critère est la finalité, pas la technologie. Une même clé peut être exemptée dans un usage et nécessiter un consentement dans un autre : ne réutilisez donc pas une valeur nécessaire, comme un identifiant de session, pour la mesure d'audience. Pour une liste plus complète, voir [ce qui relève d'un cookie strictement nécessaire](/fr/blog/strictly-necessary-cookies).

## Le fingerprinting permet-il d'éviter l'exigence de consentement ?

Non. Le fingerprinting est souvent présenté comme un moyen de contourner les bandeaux cookies, mais il repose sur la lecture des caractéristiques de l'appareil via le navigateur, ce que le CEPD considère comme un accès à des informations sur l'appareil. Il nécessite un consentement et, comme les utilisateurs ne peuvent ni voir ni effacer une empreinte comme ils effacent des cookies, les autorités ont tendance à le juger plus intrusif, et non moins.

Il en va de même pour les fournisseurs « sans cookies » qui construisent un identifiant persistant à partir des signaux de l'appareil. Si vous voulez mesurer l'audience sans consentement, la voie honnête consiste à collecter moins : des décomptes agrégés, sans identifiant persistant. Voir [mesure d'audience sans cookies : ce qui fonctionne sans consentement](/fr/blog/cookieless-analytics) pour connaître les options.

## Que faire sur mon site ?

Traitez chaque technologie de stockage ou d'accès comme s'il s'agissait d'un cookie.

1. **Inventoriez tout.** Votre [audit des cookies](/fr/blog/how-to-run-a-cookie-audit) doit recenser les clés du localStorage, du sessionStorage et d'IndexedDB, les requêtes sortantes de pixels et les scripts qui lisent les caractéristiques de l'appareil, et pas seulement les cookies.
2. **Classez par finalité.** Marquez chaque élément comme strictement nécessaire ou comme relevant de la mesure d'audience, du marketing ou des fonctionnalités, en reprenant les catégories de votre bandeau.
3. **Bloquez avant le consentement.** Retenez les scripts et les pixels qui écrivent ou lisent des données non essentielles jusqu'à ce que l'utilisateur donne son accord. Voir [comment bloquer les scripts tiers jusqu'au consentement](/fr/blog/block-scripts-until-consent).
4. **Informez.** Votre politique cookies doit aussi mentionner les technologies autres que les cookies, avec leur finalité et leur durée de vie.
5. **Faites le ménage en cas de refus ou de retrait.** Supprimez les clés non essentielles du stockage du navigateur lorsqu'un utilisateur dit non, comme vous supprimeriez des cookies.

## En résumé

Les règles européennes sur le consentement s'attachent à ce qui se passe sur l'appareil, pas au nom de la technologie. Si vous stockez ou lisez quoi que ce soit à des fins de mesure d'audience, de publicité ou de suivi, que ce soit dans un cookie, dans le localStorage, via un pixel ou par fingerprinting, vous avez d'abord besoin d'un consentement. Des outils comme Cookiesh analysent ensemble les cookies, les clés de stockage et les requêtes tierces, afin que le suivi sans cookies apparaisse dans le même inventaire que tout le reste.

*Cet article est fourni à titre d'information générale et ne constitue pas un avis juridique. Pour toute décision concernant votre situation, consultez un professionnel qualifié de la protection des données.*

## FAQ

### Le localStorage échappe-t-il au consentement aux cookies parce qu'il n'est pas envoyé au serveur ?

Non. L'article 5(3) porte sur le stockage et la lecture d'informations sur l'appareil, pas sur la manière dont elles circulent. Si un script écrit un identifiant de mesure d'audience ou publicitaire dans le localStorage et le relit plus tard, cela nécessite un consentement, comme pour un cookie.

### Le fingerprinting permet-il d'échapper à l'exigence de consentement ?

Non. Le fingerprinting consiste à faire communiquer par le navigateur des caractéristiques comme la taille de l'écran, les polices ou le rendu graphique. Le CEPD considère qu'il s'agit d'un accès à des informations sur l'appareil : un consentement est donc nécessaire, sauf si une exemption s'applique.

### Les pixels de suivi dans les e-mails nécessitent-ils aussi un consentement ?

Oui, selon le CEPD. Lorsqu'un client de messagerie charge un pixel de suivi, la requête envoie à l'expéditeur des informations provenant de l'appareil, ce qui relève de l'article 5(3). De nombreux marketeurs s'appuient désormais pour cela sur un consentement recueilli lors de l'inscription.

### Puis-je utiliser le localStorage sans consentement pour des usages comme un panier d'achat ?

Oui. L'exemption pour ce qui est strictement nécessaire s'applique à toutes les technologies de stockage. Conserver le contenu du panier, les paramètres de langue ou un choix de consentement dans le localStorage ne pose pas de problème, à condition de ne pas réutiliser ces données pour la mesure d'audience ou la publicité.

## Sources

- [Directive 2002/58/EC (ePrivacy Directive), EUR-Lex](https://eur-lex.europa.eu/eli/dir/2002/58/oj)
- [Guidelines 2/2023 on the Technical Scope of Art. 5(3) of the ePrivacy Directive, EDPB](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-22023-technical-scope-art-53-eprivacy-directive_en)