Un bandeau cookies est le message qui s'affiche quand on arrive sur un site pour demander si l'on accepte ou refuse certains cookies, ces petits fichiers qui permettent par exemple de suivre la navigation. Il est obligatoire dès que le site utilise des cookies non indispensables.
Expliqué simplement
Imaginez qu'à l'entrée de votre magasin, quelqu'un propose à chaque client de noter les rayons qu'il visite, pour lui envoyer ensuite de la publicité. Ce serait normal de lui demander son accord d'abord. Et il devrait pouvoir répondre non aussi facilement que oui.
Le bandeau cookies, c'est cette question posée à l'entrée de votre site. Les cookies sont de petits fichiers déposés dans le navigateur du visiteur. Certains sont indispensables au fonctionnement du site. D'autres servent à mesurer l'audience, à afficher de la publicité ciblée ou à intégrer des réseaux sociaux. Pour ceux-là, la loi exige l'accord préalable du visiteur.
Comment ça marche ?
Un bandeau conforme fonctionne en trois temps :
- Il bloque. À l'arrivée du visiteur, aucun cookie soumis à consentement n'est déposé.
- Il demande. Il explique en quelques mots à quoi servent les cookies et propose un vrai choix : accepter, refuser ou personnaliser.
- Il retient. Il mémorise la réponse, pour ne pas reposer la question à chaque page, et permet de changer d'avis à tout moment.
Certains cookies n'ont pas besoin d'accord : ceux qui gardent le contenu du panier, le choix de la langue ou justement la réponse au bandeau. Tous les autres attendent le feu vert du visiteur.
Les autorités belge et française s'accordent sur les grandes règles :
- Le bouton « Refuser » doit être aussi visible et aussi simple que le bouton « Accepter », dès le premier écran.
- Les cases ne peuvent pas être cochées d'avance.
- Continuer à naviguer ne vaut pas acceptation. Pour la CNIL, c'est même un refus.
- Retirer son accord doit être aussi facile que le donner.
- Conserver le choix pendant environ six mois est considéré comme une bonne pratique par la CNIL, et l'APD belge suggère une durée du même ordre.
Belgique ou France : ce qui change
Les deux pays appliquent la même directive européenne, dite « ePrivacy ». En Belgique, la règle figure à l'article 10/2 de la loi du 30 juillet 2018, et c'est l'Autorité de protection des données (APD) qui contrôle. Sa checklist cookies est un excellent point de départ. En France, c'est l'article 82 de la loi Informatique et Libertés, sous le contrôle de la CNIL, qui détaille ses attentes dans une foire aux questions.
Une nuance : l'APD refuse les « murs de cookies », qui bloquent l'accès au site tant qu'on n'a pas accepté. La CNIL, elle, les examine au cas par cas.
Un exemple concret
Prenons un institut de beauté fictif à Lille. Son site utilise un outil de statistiques, un pixel publicitaire de réseau social et un fil Instagram affiché en page d'accueil. Les trois déposent des cookies soumis à consentement.
Le bandeau propose trois boutons de même taille : « Tout accepter », « Tout refuser » et « Personnaliser ». Tant que la cliente n'a pas cliqué, le pixel et le fil Instagram restent bloqués. Un petit lien « Gérer mes cookies », en bas de chaque page, lui permet de revenir sur son choix.
Pourquoi c'est important pour votre entreprise
Les cookies sont l'un des sujets que les autorités contrôlent régulièrement, et des sanctions ont déjà été prononcées, y compris contre de grandes entreprises. Un bandeau mal réglé est aussi l'un des défauts les plus faciles à repérer sur un site.
C'est enfin une question de confiance. Un bandeau honnête montre à vos visiteurs que vous respectez leurs choix, dans l'esprit du RGPD.
Bon à savoir
- L'erreur la plus fréquente : un bandeau bien visible, mais des cookies déjà déposés avant le moindre clic. Le bandeau ne sert alors à rien.
- Une simple croix pour fermer ne remplace pas un bouton « Refuser ».
- Les couleurs trompeuses sont interdites. Un « Accepter » éclatant à côté d'un « Refuser » gris pâle pousse au oui.
- Le bandeau ne remplace pas la politique cookies. Il faut aussi une page qui détaille les cookies utilisés et leur durée.
- Pas de cookies non indispensables ? Pas de bandeau. C'est souvent la solution la plus simple pour un petit site vitrine.
Mon conseil : ouvrez votre site en navigation privée et cliquez sur « Refuser ». Si une vidéo YouTube, une carte ou un outil de statistiques continue à se charger comme si de rien n'était, votre bandeau ne bloque pas réellement les cookies.
Pour aller plus loin, lisez notre article sur les règles du bandeau cookies, et rédigez votre politique avec notre générateur gratuit de politique de confidentialité.
Questions fréquentes
Mon petit site a-t-il vraiment besoin d'un bandeau cookies ?
Seulement s'il dépose des cookies non indispensables. Un outil de statistiques classique, une vidéo YouTube intégrée, une carte Google Maps ou un bouton de réseau social en déposent souvent. Si votre site n'utilise que des cookies techniques, comme le panier ou le choix de la langue, aucun bandeau n'est nécessaire. Un audit rapide de votre site permet de le vérifier.
Google Analytics nécessite-t-il un consentement ?
Dans sa configuration habituelle, oui. La CNIL n'exempte de consentement que les outils de mesure d'audience qui produisent uniquement des statistiques anonymes pour le site, sans recoupement ni transmission des données à des tiers. Google Analytics ne remplit généralement pas ces conditions. Il faut donc le bloquer tant que le visiteur n'a pas accepté, ou choisir un outil de statistiques conçu pour être exempté.
Combien de temps le choix du visiteur doit-il être conservé ?
Aucune durée unique n'est fixée par la loi. La CNIL considère qu'une conservation du choix pendant six mois constitue une bonne pratique, et l'APD belge suggère également environ six mois. Passé ce délai, le bandeau peut s'afficher à nouveau. Entre-temps, le visiteur doit toujours pouvoir modifier son choix grâce à un lien visible sur le site.
