Qu'est-ce qu'un cookie strictement nécessaire ?

Un cookie strictement nécessaire est un cookie sans lequel votre site ne peut pas fournir un service expressément demandé par l’utilisateur, comme le maintenir connecté, conserver des articles dans un panier d’achat ou mémoriser ses choix en matière de cookies. Selon les règles de l’UE, ces cookies sont exemptés de consentement. Les cookies qui servent avant tout votre activité, comme ceux de mesure d’audience, de publicité ou d’A/B testing, ne le sont généralement pas.

Que dit réellement la loi ?

L’exemption découle de l’article 5(3) de la directive ePrivacy. Le stockage d’informations sur l’appareil d’un utilisateur, ou l’accès à ces informations, requiert un consentement, sauf lorsqu’il sert uniquement à transmettre une communication sur un réseau, ou lorsqu’il est strictement nécessaire à la fourniture d’un service expressément demandé par l’utilisateur.

Deux expressions font l’essentiel du travail :

• « Strictement nécessaire » place la barre haut. Utile, efficace ou important sur le plan commercial ne suffit pas. Le service doit échouer, ou être impossible à fournir, sans le cookie.
• « Expressément demandé » signifie que le service s’apprécie du point de vue du visiteur. Un visiteur demande une page, une connexion ou un passage en caisse. Il ne demande pas de mesure d’audience ni de ciblage publicitaire.

Les PECR britanniques prévoient une exemption équivalente, dont le respect est contrôlé par l’ICO. Les États membres de l’UE transposent la directive dans leur droit national : la formulation et les recommandations des autorités varient donc légèrement d’un pays à l’autre. Pour les catégories qui entourent celle-ci, consultez les types de cookies.

Comment vérifier si un cookie est strictement nécessaire ?

Demandez-vous si le service demandé par l’utilisateur cesserait de fonctionner sans le cookie, et si le cookie fait autre chose. Passez chaque cookie au crible de ces questions :

1. Quel service l’utilisateur a-t-il demandé ? Nommez-le concrètement : afficher la page, se connecter, finaliser une commande.
2. Ce service échouerait-il sans ce cookie ? Si la réponse honnête est « il fonctionnerait, mais nous perdrions de la visibilité », le cookie n’est pas strictement nécessaire.
3. Le cookie sert-il uniquement à cette finalité ? Si le même identifiant alimente aussi la mesure d’audience ou la publicité, l’exemption ne couvre pas ces usages.
4. Sa durée de vie est-elle proportionnée ? Un cookie de session ou de courte durée est plus facile à justifier qu’un cookie qui dure des années.
5. Quelqu’un d’autre réutilise-t-il les données ? Si un fournisseur utilise les informations à ses propres fins, par exemple pour constituer des profils, l’exemption a peu de chances de s’appliquer.

Un cookie qui franchit ces cinq étapes est un bon candidat pour la catégorie des cookies nécessaires. S’il échoue à l’une d’elles, considérez qu’il requiert un consentement.

Quels cookies remplissent généralement les conditions ?

La plupart des cookies strictement nécessaires concernent les sessions, la sécurité et la mémorisation des choix faits par l’utilisateur. Le tableau présente des cas courants, mais appliquez toujours le test à votre propre configuration.

Cas d’usage	Généralement strictement nécessaire ?	Remarques
Connexion et gestion de session	Oui	Pour les espaces auxquels l’utilisateur a choisi de se connecter
Panier d’achat	Oui	Conserve les articles ajoutés par l’utilisateur
Répartition de charge	Oui	Achemine les requêtes pendant la session
Sécurité, comme les jetons CSRF ou les contrôles antifraude à la connexion	En général oui	Lorsqu’elle est liée au service demandé
Enregistrement du choix de consentement de l’utilisateur	Oui	Indispensable pour respecter ce choix
Paramètres de langue ou d’accessibilité choisis par l’utilisateur	Souvent	Lorsqu’ils sont définis par une action explicite de l’utilisateur et conservés pendant une durée raisonnable
Mesure d’audience et statistiques	En général non	Voir la section sur la mesure d’audience ci-dessous
A/B testing et personnalisation	En général non	Sert votre optimisation, pas la demande de l’utilisateur
Publicité, reciblage et suivi des conversions	Non	Nécessite un consentement dans l’UE
Contenus de réseaux sociaux intégrés qui suivent les visiteurs	Non	À ne charger qu’après consentement

Quelles erreurs transforment un cookie « nécessaire » en infraction ?

Le problème le plus courant consiste à ranger des cookies non essentiels dans la catégorie des cookies nécessaires pour qu’ils se chargent avant le consentement. C’est précisément ce que recherchent les autorités lorsqu’elles examinent les bandeaux et les listes de cookies.

Méfiez-vous de ces pratiques :

• Le raisonnement fondé sur les besoins de l’entreprise. « Nous avons besoin de la mesure d’audience pour faire tourner l’entreprise » est peut-être vrai, mais l’exemption porte sur le service demandé par l’utilisateur, pas sur vos besoins opérationnels.
• La confiance aveugle dans les libellés des fournisseurs. Un fournisseur qui qualifie son cookie d’« essentiel » fait une description de produit, pas une analyse juridique. Vérifiez ce que fait réellement le cookie.
• Les cookies à finalités multiples. Un même identifiant utilisé à la fois pour la gestion de session et l’attribution publicitaire nécessite un consentement pour l’usage publicitaire. Séparez les fonctions dans des cookies distincts lorsque c’est possible.
• Les balises qui profitent des scripts nécessaires. Un conteneur de gestionnaire de balises peut se charger avant le consentement, mais les balises qu’il contient doivent tout de même attendre le choix du visiteur.
• La confusion entre l’exemption et l’intérêt légitime. La base légale de l’intérêt légitime prévue par le RGPD ne remplace pas l’exigence de consentement de l’ePrivacy pour le stockage d’informations sur un appareil. Nous abordons ce point dans peut-on invoquer l’intérêt légitime pour les cookies ?

Les cookies strictement nécessaires doivent-ils quand même être déclarés ?

Oui, en pratique. L’exemption supprime l’obligation de consentement, mais si le cookie traite des données personnelles, les obligations de transparence du RGPD continuent de s’appliquer, et les autorités s’attendent à voir les cookies nécessaires listés avec les autres.

Cela implique trois choses. Listez chaque cookie nécessaire dans votre politique cookies avec sa finalité et sa durée, comme expliqué dans comment rédiger une politique cookies. Affichez la catégorie des cookies nécessaires dans les paramètres de votre bandeau comme « toujours active » plutôt que sous forme d’interrupteur. Et réexaminez la liste chaque fois que vous ajoutez un fournisseur, car un cookie exempté aujourd’hui peut perdre ce statut si son usage change.

Existe-t-il des exceptions pour la mesure d’audience ?

En général, non. En vertu de la directive ePrivacy, les cookies de mesure d’audience nécessitent un consentement dans la plupart des pays de l’UE. Quelques autorités nationales ont défini des conditions strictes dans lesquelles une mesure d’audience propriétaire et basique peut être exemptée, ce qui suppose généralement une finalité strictement limitée, aucun suivi intersites et des résultats agrégés.

Ces positions sont nationales, et non européennes, et leurs conditions sont strictes. Le Royaume-Uni a lui aussi entrepris d’assouplir les règles de consentement pour certains usages à faible risque, dont certaines formes de mesure d’audience, mais leur application dépend de la législation et des recommandations de l’ICO : vérifiez donc la position actuelle avant de vous y fier. Si vous souhaitez une mesure qui dépende moins du consentement, la mesure d’audience sans cookies mérite d’être étudiée, même si elle n’échappe pas automatiquement aux règles non plus.

En résumé

La catégorie des cookies strictement nécessaires est étroite : des cookies sans lesquels le service demandé par l’utilisateur ne peut pas fonctionner, qui ne servent à rien d’autre et dont la durée de vie est proportionnée. Confrontez chaque cookie à ce critère, soumettez tout le reste au consentement et déclarez quand même les cookies nécessaires. Des outils comme Cookiesh peuvent automatiser le scan des cookies, ce qui permet de repérer plus facilement les nouveaux cookies avant qu’ils n’atterrissent dans la mauvaise catégorie.

Cet article est fourni à titre d’information générale et ne constitue pas un avis juridique. Pour toute décision concernant votre situation, consultez un professionnel qualifié de la protection des données.