Comment permettre aux visiteurs de retirer leur consentement aux cookies (et que faire ensuite)

Le RGPD donne à chacun le droit de retirer son consentement à tout moment, et son article 7(3) exige que le retrait soit aussi simple que le fait de donner son consentement. Pour les cookies, cela signifie un lien ou une icône, sur chaque page, qui rouvre les choix de consentement en à peu près autant de clics qu’il en a fallu pour accepter. Le site doit ensuite donner effet au nouveau choix : arrêter les balises, supprimer les cookies qu’il a déposés, mettre à jour les signaux comme Google Consent Mode et consigner le changement.

Qu’exige la loi ?

L’article 7(3) du RGPD fixe quatre règles. Les personnes peuvent retirer leur consentement à tout moment. Le retrait ne rend pas illicite le traitement antérieur. Elles doivent être informées de ce droit avant de donner leur consentement. Enfin, retirer son consentement doit être aussi simple que le donner.

Les lignes directrices 05/2020 du CEPD sur le consentement précisent ce dernier point : lorsque le consentement est obtenu par voie électronique en un seul clic, glissement ou frappe de touche, les personnes doivent pouvoir le retirer tout aussi facilement. Le retrait doit aussi pouvoir se faire sans préjudice : un visiteur qui change d’avis ne doit donc ni perdre l’accès au site ni être contraint de suivre une procédure plus longue. Comme la directive ePrivacy reprend la définition du consentement du RGPD, les mêmes règles s’appliquent aux cookies.

Quel degré de simplicité le retrait doit-il atteindre ?

Comparez les parcours. Si accepter a pris un clic au premier niveau du bandeau, retirer son consentement devrait prendre à peu près un clic pour ouvrir les choix et un autre pour les enregistrer.

Parcours de retrait	Est-il aussi simple que de donner son consentement ?
Lien ou icône « Paramètres des cookies » permanent sur chaque page, qui rouvre le panneau de préférences	Oui, c’est l’approche courante
Un bouton « Tout refuser » ou « Retirer mon consentement » dans ce panneau	Oui
Un lien uniquement dans la politique cookies	En général non, car il ajoute des étapes
Des instructions pour effacer les cookies dans les paramètres du navigateur	Non, cela fait reposer l’effort sur l’utilisateur
Une adresse e-mail ou un formulaire de contact	Non, pour un consentement donné en un clic

Placez le lien là où les gens le cherchent, généralement en pied de page, et donnez-lui un libellé explicite. Réutiliser le même panneau et les mêmes commandes que le bandeau initial aide les personnes à le reconnaître. Pour en savoir plus sur la mise en page du bandeau, voir comment concevoir un bandeau cookies conforme et agréable à utiliser.

Que doit-il se passer lorsqu’une personne retire son consentement ?

Le retrait doit modifier ce que fait votre site, pas seulement ce qu’il stocke. Suivez ces étapes dans l’ordre.

1. Enregistrez le nouveau choix. Écrasez l’état de consentement stocké afin que chaque page vue ultérieure tienne compte du retrait.
2. Mettez à jour les signaux en aval. Envoyez une mise à jour Consent Mode avec les types concernés réglés sur denied, et appelez les API équivalentes des autres fournisseurs, comme fbq('consent', 'revoke') pour le Meta Pixel.
3. Supprimez vos cookies et votre stockage propriétaires. Retirez les cookies et les clés de stockage du navigateur non essentiels que les balises ont déposés sur votre domaine.
4. Rechargez la page. Le code déjà exécuté ne peut pas être déchargé, et certains scripts conservent des minuteurs, des écouteurs ou des identifiants en mémoire. Un rechargement est le moyen le plus simple de repartir de zéro.
5. Informez vos serveurs. Si vous utilisez le balisage côté serveur ou envoyez des événements depuis votre backend, transmettez-leur aussi le nouvel état.
6. Consignez-le. Enregistrez le retrait avec un horodatage et la version du bandeau, avec vos autres preuves de consentement.
7. Synchronisez-le pour les utilisateurs connus. Si le visiteur est connecté et que vous synchronisez le consentement entre appareils, appliquez le retrait à son compte.

Les étapes 2 à 4 pourraient ressembler à ceci :

function withdrawConsent(categories) {
  saveConsent(categories); // votre stockage du consentement⍽; les catégories valent désormais false

  gtag('consent', 'update', {
    analytics_storage: categories.analytics ? 'granted' : 'denied',
    ad_storage: categories.marketing ? 'granted' : 'denied',
    ad_user_data: categories.marketing ? 'granted' : 'denied',
    ad_personalization: categories.marketing ? 'granted' : 'denied',
  });
  if (!categories.marketing && window.fbq) fbq('consent', 'revoke');

  deleteCookies(/^_ga($|_)/, /^_gcl_/, /^_fbp$/, /^_fbc$/);
  localStorage.removeItem('analytics_client_id');

  location.reload();
}

Comment supprimer des cookies en JavaScript ?

Redéfinissez le cookie avec le même nom, le même chemin et le même domaine que lors de sa création, et une date d’expiration dans le passé. Seule difficulté, document.cookie n’indique ni le domaine ni le chemin d’un cookie. Essayez donc les combinaisons probables :

function deleteCookies(...patterns) {
  const names = document.cookie
    .split('; ')
    .map((pair) => pair.split('=')[0])
    .filter((name) => patterns.some((re) => re.test(name)));

  // Les outils de mesure d'audience déposent souvent des cookies sur le domaine parent (".example.com")
  const labels = location.hostname.split('.');
  const domains = [''];
  for (let i = 0; i < labels.length - 1; i++) {
    domains.push(`; domain=.${labels.slice(i).join('.')}`);
  }

  for (const name of names) {
    for (const domain of domains) {
      document.cookie = `${name}=; Max-Age=0; path=/${domain}`;
    }
  }
}

Trois limites sont à connaître. Les cookies marqués HttpOnly ne peuvent pas être supprimés en JavaScript : supprimez-les donc depuis le serveur avec un en-tête Set-Cookie. Les cookies définis avec un chemin autre que / nécessitent ce chemin. Enfin, les cookies déposés sur le domaine propre d’un fournisseur ne peuvent pas du tout être supprimés par votre site : le mieux que vous puissiez faire est de cesser de charger le code du fournisseur.

Qu’en est-il des données déjà collectées ?

Le retrait n’efface pas le passé, mais il influe sur ce que vous conservez. Une fois le consentement retiré, vous devez cesser le traitement qui reposait sur lui. Si vous ne disposez d’aucune autre base légale pour les données déjà collectées, le CEPD attend de vous que vous les supprimiez, et le droit à l’effacement prévu par le RGPD couvre la même situation.

Pour les données de mesure d’audience et de publicité détenues par des fournisseurs, vérifiez quels outils de suppression ils proposent, comme des API de suppression d’utilisateurs, et intégrez-les à votre processus pour les utilisateurs connectés dont vous connaissez l’identité. Pour les visiteurs anonymes, cesser toute nouvelle collecte est généralement ce que vous pouvez faire de manière réaliste.

En résumé

Faites du retrait un parcours en un clic depuis chaque page, puis rendez-le effectif : enregistrez le choix, mettez à jour Consent Mode et les API des fournisseurs, supprimez vos cookies et votre stockage propriétaires, rechargez la page, informez vos serveurs et consignez le tout. Ne sollicitez pas de nouveau le visiteur dans la foulée. Des outils comme Cookiesh incluent un centre de préférences où les visiteurs peuvent modifier leurs choix, envoient la mise à jour Consent Mode correspondante et consignent chaque changement, y compris les retraits.

Cet article est fourni à titre d’information générale et ne constitue pas un avis juridique. Pour toute décision concernant votre situation, consultez un professionnel qualifié de la protection des données.