Pourquoi cette exemption compte

Selon la directive ePrivacy (article 5, paragraphe 3), le stockage ou la lecture d’informations sur l’appareil d’un utilisateur nécessite normalement un consentement préalable. Il existe deux exceptions, et celle sur laquelle les éditeurs s’appuient le plus concerne le stockage strictement nécessaire pour fournir un service que l’utilisateur a explicitement demandé. Tout ce que cette exemption ne couvre pas se place derrière votre bannière de consentement.

De nombreux sites étendent cette exemption à l’analytique, aux tests A/B, au plafonnement de fréquence des annonces et à la personnalisation. Les autorités de contrôle ont à plusieurs reprises contesté cette lecture ; mieux vaut donc comprendre exactement où se situe la limite.

Le test en deux volets

L’exemption ne porte pas sur ce qui vous arrange. Elle pose deux questions :

1. L’utilisateur a-t-il explicitement demandé le service ? Charger un article est une demande. Ajouter un article au panier est une demande. Ouvrir un widget de chat que vous imposez sur chaque page n’en est pas une.
2. Le stockage est-il strictement nécessaire pour fournir exactement ce service ? Si le service fonctionnerait encore, même sous une forme moins pratique, sans le cookie ou l’identifiant, le stockage n’est probablement pas strictement nécessaire.

Notez que « nécessaire à notre modèle économique » n’est pas la même chose que « nécessaire au service demandé par l’utilisateur ». Les revenus publicitaires font vivre un site gratuit, mais les identifiants de ciblage publicitaire ne sont pas nécessaires pour afficher un article.

Exemples couramment acceptés

• Les cookies de session et d’authentification qui maintiennent un utilisateur connecté pendant une session.
• Les cookies de panier qui mémorisent les articles pendant que l’utilisateur finalise sa commande.
• Les identifiants de répartition de charge qui acheminent une requête vers le bon serveur.
• Les cookies de sécurité utilisés pour détecter des échecs de connexion répétés ou se défendre contre les requêtes falsifiées.
• L’enregistrement du consentement lui-même, car mémoriser le choix de l’utilisateur est indispensable pour le respecter.
• Les préférences d’interface définies délibérément par l’utilisateur, comme la langue, lorsqu’elles sont stockées pour la session ou parce que l’utilisateur les a choisies.

Exemples couramment mal classés

• Les cookies d’analytique. Certaines autorités autorisent une mesure d’audience limitée et respectueuse de la vie privée dans des conditions strictes, mais les balises d’analytique standard nécessitent généralement un consentement. Consultez les recommandations de l’autorité applicable à votre audience.
• Les identifiants publicitaires et de reciblage. Ils ne sont jamais nécessaires pour fournir le contenu lui-même.
• Les boutons de partage social et les widgets intégrés qui déposent des cookies tiers au chargement de la page.
• Les tests A/B et la personnalisation que l’utilisateur n’a pas demandés.
• Le plafonnement de fréquence des annonces. Il améliore l’expérience utilisateur, mais n’est pas indispensable pour livrer la page.

La durée et la portée comptent toujours

Un cookie réellement essentiel peut quand même poser problème s’il dure plus longtemps ou collecte plus que la fonction ne l’exige. Un cookie de session qui persiste un an, ou un cookie de sécurité qui écrit aussi un profil marketing, perd sa protection. Gardez la durée de vie courte et le contenu minimal.

Documentez votre raisonnement

Pour chaque cookie ou élément de stockage que vous classez comme strictement nécessaire, notez trois choses : la fonction demandée par l’utilisateur qu’il soutient, pourquoi cette fonction cesserait de marcher sans lui, et sa durée de vie. Un court tableau tenu à jour avec votre inventaire de cookies suffit. Lorsque vous révisez la liste, remettez chaque entrée en question : si le seul argument est « on a toujours fait comme ça », placez-la derrière le consentement.

L’exemption s’applique aussi à plus que les cookies. Le stockage local, le stockage de session, l’empreinte numérique de l’appareil et les identifiants de SDK dans les applications relèvent de la même logique de l’article 5, paragraphe 3 ; incluez-les donc dans votre revue.

Où se situe FlexyConsent

FlexyConsent est une CMP certifiée par Google (CMP ID 317), certifiée par IAB Europe et IAB Canada, avec une bannière disponible en 57 langues. Une CMP vous permet de retenir les balises non essentielles jusqu’à ce que l’utilisateur ait choisi, tandis que vos éléments réellement essentiels continuent de se charger. Décider de la catégorie de chaque cookie reste votre responsabilité ; gardez donc votre raisonnement documenté à jour.

Points clés à retenir

• L’exemption couvre le stockage strictement nécessaire à un service explicitement demandé par l’utilisateur, pas le stockage nécessaire à vos revenus.
• Les cookies de session, de panier, de répartition de charge, de sécurité et d’enregistrement du consentement sont les exemples types.
• L’analytique, la publicité, les widgets sociaux et la personnalisation nécessitent généralement un consentement.
• La durée et le contenu comptent : gardez les cookies essentiels de courte durée et minimaux.
• Appliquez le même test au stockage local, au stockage de session et aux identifiants d’application.
• Documentez le raisonnement pour chaque élément classé comme strictement nécessaire et révisez-le régulièrement.