Sanctions cookies : ce qu'elles enseignent aux éditeurs de sites

Les sanctions en matière de cookies visent toujours les mêmes quelques erreurs : rendre le refus plus difficile que l’acceptation, considérer les cases pré-cochées ou la poursuite de la navigation comme un consentement, et charger des traceurs avant que quiconque ait fait un choix. Les leçons les plus claires viennent de l’arrêt Planet49 de la Cour de justice de l’UE et des amendes infligées en 2021 par la France à Google et Facebook. Corrigez ces pratiques et vérifiez votre site comme le ferait une autorité de contrôle.

Que s’est-il passé dans les décisions de la CNIL contre Google et Facebook ?

En décembre 2021, l’autorité française de protection des données, la CNIL, a infligé une amende de 150 millions d’euros à Google et de 60 millions d’euros à Facebook. Le constat central était simple : sur leurs sites, accepter les cookies prenait un seul clic, alors que les refuser en exigeait plusieurs.

La CNIL a estimé que cette asymétrie orientait les internautes vers l’acceptation, de sorte que le consentement recueilli n’était pas libre. Personne n’était contraint d’accepter, mais le chemin le plus facile menait au oui, et cela suffisait. L’autorité a également ordonné aux deux entreprises de proposer un moyen de refuser les cookies aussi simple que celui permettant de les accepter.

Ces décisions ont aussi montré que les règles sur les cookies disposent de leur propre voie de contrôle. La CNIL a agi sur le fondement de la loi française transposant la directive ePrivacy, et non via la procédure transfrontalière du RGPD : elle n’avait donc pas à s’en remettre à une autorité chef de file dans un autre pays.

La leçon : placez une option de refus dès le premier niveau, avec la même visibilité que l’option d’acceptation. Notre guide des dark patterns dans les bandeaux cookies passe en revue les artifices de design que les autorités traquent.

Qu’a tranché l’arrêt Planet49 ?

Dans l’arrêt Planet49 (C-673/17, 2019), la Cour de justice de l’Union européenne (CJUE) a jugé qu’une case pré-cochée ne permet pas d’obtenir un consentement valable aux cookies. Le visiteur doit accomplir une démarche active.

L’affaire concernait un jeu-concours promotionnel en ligne dans lequel une case autorisant les cookies était cochée par défaut. La Cour a estimé que le consentement suppose un comportement actif : laisser un réglage par défaut en place ne suffit donc pas. Elle a également confirmé que l’exigence de consentement s’applique aux informations stockées sur l’appareil, qu’il s’agisse ou non de données personnelles, et que les utilisateurs doivent être informés de la durée de fonctionnement des cookies et de la possibilité ou non pour des tiers d’y avoir accès.

La leçon : désactivez par défaut toutes les catégories non essentielles, et assurez-vous que votre bandeau ou votre panneau de paramètres indique la durée de vie des cookies et l’éventuel accès de tiers.

Quelles erreurs les autorités relèvent-elles régulièrement ?

Les mêmes quelques problèmes reviennent sans cesse. La plupart sont visibles par quiconque ouvre les outils de développement de son navigateur.

Erreur courante	Pourquoi elle pose problème	Que faire à la place
Pas de bouton de refus au premier niveau	Refuser est plus difficile qu’accepter, donc le consentement n’est pas libre	Afficher les boutons d’acceptation et de refus côte à côte, avec la même visibilité
Cases pré-cochées ou interrupteurs pré-activés	Pas un choix actif et univoque	Désactiver par défaut toutes les catégories non essentielles
Traceurs déclenchés au chargement de la page	Le consentement n’est pas obtenu avant l’accès	Bloquer les scripts jusqu’à ce que la catégorie concernée soit autorisée
Mentions « en utilisant ce site, vous acceptez »	Poursuivre la navigation n’est pas un acte positif	Exiger un clic explicite pour accepter
Cookies encore déposés après un refus	Le choix est enregistré mais pas appliqué	Tester le parcours de refus sur chaque modèle de page
Listes de cookies obsolètes	Le consentement n’est pas réellement éclairé	Relancer un scan et mettre à jour la politique quand les balises changent
Aucun moyen simple de retirer son consentement	Le retrait doit être aussi simple que le consentement	Prévoir un lien permanent qui rouvre les paramètres

Les troisième et cinquième lignes méritent d’être soulignées. Un bandeau bien conçu n’offre aucune protection si les scripts qui se trouvent derrière ignorent la réponse. Notre guide expliquant comment bloquer les scripts tiers jusqu’au consentement en couvre l’aspect technique.

Pourquoi les autorités nationales agissent-elles si souvent sur les cookies ?

Les manquements en matière de cookies sont faciles à vérifier, faciles à signaler et peuvent être sanctionnés au niveau local. Cette combinaison en fait une cible fréquente.

Les règles ePrivacy étant transposées en droit national, une autorité peut généralement agir contre tout site qui s’adresse à des personnes dans son pays, sans passer par la coordination transfrontalière du RGPD. Notre article Directive ePrivacy vs RGPD explique pourquoi les deux régimes ne sont pas appliqués de la même manière.

De nombreuses enquêtes partent de plaintes d’utilisateurs ou d’associations de défense de la vie privée, dont certaines ont déposé des plaintes en masse contre des sites aux bandeaux non conformes. Les autorités mènent aussi leurs propres opérations de contrôle et campagnes de mise en conformité. Les preuves sont simples à réunir : une capture d’écran du bandeau et la liste des requêtes envoyées avant tout choix.

Les sanctions dépendent de la voie choisie. En vertu de l’article 83(5) du RGPD, les violations les plus graves sont passibles d’amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Les sanctions prévues par les lois nationales ePrivacy relèvent des règles propres à chaque pays. Dans les deux cas, les autorités peuvent aussi ordonner des modifications, parfois assorties de délais.

Comment vérifier votre site comme le ferait une autorité ?

Chargez votre site comme un visiteur qui s’y rend pour la première fois, notez ce qui se passe avant le moindre clic, puis testez chacun des choix proposés par le bandeau. Une vérification de base tient en une seule séance de travail.

1. Partez d’un environnement vierge. Ouvrez une fenêtre de navigation privée avec les outils de développement sur les onglets Réseau et Application (ou Stockage).
2. Chargez les pages clés sans interagir. Vérifiez la page d’accueil, une page de contenu et une page de paiement ou d’inscription, en notant chaque cookie, entrée de stockage local et requête tierce.
3. Repérez tout ce qui n’est pas essentiel. Des requêtes de mesure d’audience, de publicité ou de réseaux sociaux à ce stade posent problème.
4. Comptez les clics. Comparez l’effort nécessaire pour tout accepter et celui nécessaire pour tout refuser.
5. Refusez et naviguez. Refusez tout, puis naviguez et rechargez la page. Aucun nouveau cookie ni aucune nouvelle requête non essentiels ne doivent apparaître.
6. Acceptez une seule catégorie. N’autorisez par exemple que la mesure d’audience, et vérifiez que seules les balises de mesure d’audience se chargent.
7. Retirez votre consentement. Rouvrez les paramètres, révoquez le consentement et vérifiez que les balises concernées s’arrêtent.
8. Comparez et retrouvez. Vérifiez que votre politique cookies correspond à ce que vous avez observé, et que vous pouvez retrouver l’enregistrement du consentement correspondant à votre visite de test.

Pour un inventaire complet de tout ce que dépose votre site, suivez notre guide expliquant comment réaliser un audit des cookies.

En résumé

L’historique des sanctions est d’une cohérence remarquable : les autorités sanctionnent les choix asymétriques, le consentement activé par défaut et les traceurs qui ignorent la réponse du visiteur. Aucun de ces manquements n’est difficile à détecter, et c’est pourquoi ils reviennent sans cesse dans les décisions. Des outils comme Cookiesh peuvent automatiser le scan des cookies et conserver des journaux de consentement chaînés par hachage, mais la première étape la plus utile reste un test manuel de votre propre bandeau à l’aide de la checklist ci-dessus.

Cet article est fourni à titre d’information générale et ne constitue pas un avis juridique. Pour toute décision concernant votre situation, consultez un professionnel qualifié de la protection des données.