Pourquoi la CNIL compte au-delà de la France

L'autorité française de protection des données, la CNIL, est l'un des contrôleurs les plus actifs en matière de règles sur les cookies en Europe. Ses lignes directrices ont façonné la façon dont de nombreux éditeurs de l'UE conçoivent leurs bannières, et ses décisions sont suivies de près par les équipes ad-ops et juridiques. Si vous servez des visiteurs en France, ou si vous cherchez simplement une référence pratique sur les attentes d'un régulateur strict, l'approche de la CNIL mérite d'être comprise en détail.

La base juridique

Les règles françaises sur les cookies combinent deux niveaux. Les règles ePrivacy, transposées en droit français, exigent un consentement avant que des informations ne soient stockées sur l'appareil d'un visiteur ou lues depuis celui-ci, sauf si une exemption s'applique. Le RGPD définit ensuite ce qu'est un consentement valide : libre, spécifique, éclairé et univoque. La CNIL a publié des lignes directrices mises à jour et une recommandation en septembre 2020, et a laissé aux organisations une période de transition avant le début des contrôles au printemps 2021.

Les attentes essentielles

• Refuser doit être aussi simple qu'accepter. Si le premier niveau propose un bouton d'acceptation, il doit proposer un moyen de refuser aussi simple, comme un bouton de refus bien visible au même niveau.
• Pas de consentement par la poursuite de la navigation. Faire défiler, cliquer ailleurs sur la page ou simplement continuer à utiliser le site n'est pas un choix valide.
• Pas de cases précochées. Les finalités doivent rester désactivées tant que le visiteur ne les active pas.
• Des choix spécifiques et granulaires. Les visiteurs doivent pouvoir choisir par finalité, avec des descriptions en langage clair.
• Des tiers nommés. Les acteurs dont les cookies seront déposés doivent être identifiables depuis la bannière ou son second niveau.
• Un retrait aussi simple que le consentement. Un lien ou une icône permanents qui rouvrent les choix constituent l'approche habituelle.

Durée du consentement et durée de vie des cookies

La CNIL recommande qu'un choix enregistré, qu'il s'agisse d'une acceptation ou d'un refus, soit conservé pendant une période limitée et que les visiteurs soient sollicités à nouveau après environ six mois. Séparément, elle a recommandé des limites à la durée de vie de certains identifiants de suivi. Considérez cela comme les attentes affichées du régulateur et vérifiez le texte actuel de la recommandation lorsque vous fixez vos propres durées, car les lignes directrices peuvent être révisées.

L'exemption pour la mesure d'audience

La CNIL a défini les conditions dans lesquelles certains outils d'analyse peuvent fonctionner sans consentement. L'outil doit servir à des finalités strictement limitées, comme mesurer l'audience et les performances de votre propre site, et ne doit ni croiser les données avec d'autres traitements ni suivre les utilisateurs d'un site à l'autre. De nombreuses configurations d'analyse courantes ne remplissent pas ces conditions par défaut. Ne partez pas du principe que votre fournisseur d'analyse y satisfait ; vérifiez sa configuration au regard des critères publiés par la CNIL.

Ce que la CNIL examine en pratique

1. La bannière présente-t-elle une option de refus au même niveau que l'acceptation ?
2. Les cookies et scripts non essentiels sont-ils réellement retenus tant qu'il n'y a pas de consentement ?
3. Après un refus, des cookies de suivi apparaissent-ils encore ? La CNIL peut le vérifier techniquement.
4. Un visiteur peut-il changer d'avis à tout moment ?
5. La formulation et le design sont-ils neutres, sans astuces visuelles qui poussent à accepter ?

Une routine de vérification pratique

Ouvrez votre site dans un profil de navigateur vierge avec une IP ou un réglage de région français, refusez tout et inspectez le stockage et les requêtes réseau. Puis acceptez une seule finalité et recommencez. Si des traceurs se chargent après un refus, le problème vient presque toujours d'une balise codée en dur en dehors de vos outils de consentement. Corrigez cela en premier, car c'est le type de problème qu'un régulateur peut reproduire en quelques minutes.

Comment FlexyConsent vous aide

FlexyConsent est certifié par IAB Europe et IAB Canada, est une CMP certifiée Google (ID 317), prend en charge IAB TCF 2.4 et Google Consent Mode v2, et affiche la bannière en 57 langues, dont le français. Il couvre l'UE/EEE et le Royaume-Uni, de sorte qu'une seule configuration peut servir les visiteurs français comme le reste de votre audience.

Points clés à retenir

• La CNIL attend que refuser soit aussi simple qu'accepter, sans consentement par le défilement ou la poursuite de la navigation.
• Les choix doivent être granulaires, avec des tiers nommés et un moyen simple de retirer son consentement.
• Redemandez après une période limitée ; la CNIL évoque environ six mois.
• L'exemption pour la mesure d'audience est étroite : vérifiez votre configuration d'analyse au lieu de la présumer conforme.
• Testez en refusant tout et en vérifiant que les traceurs restent réellement désactivés.