Une bannière cookies non conforme est le manquement le plus facile à constater sur une boutique : il suffit d’ouvrir la page d’accueil et l’inspecteur du navigateur. C’est aussi celui que la CNIL sanctionne le plus régulièrement, avec des montants qui n’ont rien de symbolique pour les grandes plateformes.
Voici la checklist, et les erreurs qui reviennent systématiquement.
Les cinq règles de fond
Le consentement doit être libre. Le refus ne doit entraîner aucune conséquence sur l’accès au service, sauf cas encadré du mur de traceurs.
Spécifique. Le consentement se donne par finalité : mesure d’audience, publicité, réseaux sociaux, personnalisation. Un accord global unique ne satisfait pas cette exigence.
Éclairé. Le visiteur doit savoir qui dépose, pourquoi, et pour combien de temps, avant de choisir.
Univoque. Il suppose un acte positif. Ni case précochée, ni consentement déduit du défilement de la page, ni de la poursuite de la navigation.
Aussi facile à retirer qu’à donner. Un lien permanent doit permettre de revenir sur son choix à tout moment.
Les huit erreurs classiques
- Le bouton de refus au second niveau. Accepter en un clic, refuser après avoir ouvert un panneau de préférences. C’est le manquement le plus fréquent et le plus sanctionné. Les deux boutons doivent être au même niveau, dans le premier écran.
- Le refus visuellement dévalorisé. Bouton accepter en couleur vive, refuser en gris clair ou en simple lien souligné. La différence de traitement visuel est retenue comme un obstacle au refus.
- Le dépôt avant le choix. Les scripts se chargent au chargement de la page, la bannière apparaît ensuite. À ce stade, les traceurs sont déjà déposés et le consentement ne sert à rien. C’est la faute technique la plus courante.
- Le consentement déduit du défilement. Pratique abandonnée depuis plusieurs années et pourtant encore présente sur des sites en production.
- L’absence de retrait. Aucun lien pour revenir sur son choix, ou un lien enfoui dans les mentions légales.
- La durée illimitée. Un consentement enregistré sans échéance, jamais renouvelé.
- Les traceurs exemptés traités comme les autres, ou l’inverse. Bloquer le cookie de panier jusqu’au consentement casse la boutique ; considérer un traceur publicitaire comme exempté est une infraction.
- La bannière décorative. Le bandeau existe, les choix sont enregistrés, et aucun script n’est réellement conditionné. Le dispositif ne bloque rien.
DataFirefly Cookie Manager — propulsé par le moteur open-source tarteaucitron.jsLe bandeau cookies conforme CNIL, sans renoncer à la mesure.€220.00
Ce qui est exempté
Tous les traceurs ne relèvent pas du consentement. Sont exemptés ceux strictement nécessaires à la fourniture du service demandé.
Sur une boutique, cela couvre le panier, l’authentification, la session, la préférence de langue ou de devise, la répartition de charge, et le cookie qui enregistre le choix de consentement lui-même.
La mesure d’audience peut également être exemptée, à des conditions strictes : finalité limitée à la mesure pour le compte de l’éditeur, absence de recoupement avec d’autres traitements, pas de suivi de navigation entre applications ou sites, données non transmises à des tiers, et durée de conservation limitée. Une configuration standard d’un outil grand public ne remplit pas ces conditions par défaut.
La preuve du consentement
Vous devez pouvoir démontrer que chaque consentement a été valablement recueilli. Cela suppose de conserver, pour chaque visiteur, un enregistrement horodaté comprenant : la date et l’heure, les finalités acceptées et refusées, la version du bandeau affichée, et un identifiant technique permettant de rattacher l’enregistrement.
Point souvent négligé : la version du bandeau. Si vous modifiez vos finalités ou vos partenaires, les consentements antérieurs ne couvrent plus le nouveau périmètre.
Les durées
Trois durées distinctes, souvent confondues.
La durée de validité du consentement, au terme de laquelle vous devez à nouveau solliciter le visiteur. Six mois est la durée recommandée par la CNIL.
La durée de vie des traceurs déposés, qui ne devrait pas excéder treize mois.
La durée de conservation des données collectées via ces traceurs, limitée à vingt-cinq mois.
Un point pratique : le refus doit être conservé aussi longtemps que l’acceptation. Redemander à chaque visite à quelqu’un qui a refusé est à la fois désagréable et considéré comme une pratique visant à obtenir le consentement par lassitude.
Tester sa bannière en dix minutes
Cinq vérifications, dans cet ordre.
1. Ouvrez le site en navigation privée avec l’onglet réseau actif. Avant tout clic, regardez les requêtes sortantes et les cookies déposés. Seuls les traceurs exemptés doivent apparaître.
2. Comptez les clics pour accepter, puis pour refuser. Le nombre doit être identique.
3. Refusez, puis rechargez et vérifiez qu’aucun traceur soumis à consentement n’est présent.
4. Cherchez le lien de retrait. S’il vous faut plus de dix secondes pour le trouver, un visiteur ne le trouvera pas.
5. Vérifiez que les scripts de vos modules tiers passent bien par le mécanisme de blocage. Un module de chat, de carte ou de vidéo installé après la mise en place du bandeau est souvent oublié.
Le Cookie Manager pour PrestaShop met en place ce dispositif sur PrestaShop 8 et 9 : blocage préalable des scripts avant consentement, refus au même niveau que l’acceptation, gestion par finalité, enregistrement horodaté des choix et lien de retrait permanent.
