Qu'est-ce qu'un cookie ?

Imaginez qu'en entrant dans un magasin, on vous colle discrètement dans le dos une étiquette avec un numéro. Vous ne la voyez pas. Vous repartez avec.

À chaque fois que vous revenez, le magasin lit le numéro et retrouve tout ce qu'il a noté sur vous lors de vos visites précédentes. Et ce numéro n'est pas lisible que par ce magasin : d'autres commerces, dans la galerie, lisent la même étiquette.

Un cookie, c'est exactement ça. Un petit fichier déposé sur votre téléphone ou votre ordinateur, qui contient un numéro. Le cookie en lui-même ne contient presque rien d'autre. Ce qui compte, c'est ce que ce numéro permet de rassembler.

Car votre nom, lui, ne circule presque jamais. Ce n'est pas nécessaire. Un numéro suffit, et il en dit souvent bien plus long qu'un nom.

Ce que le numéro permet de rassembler

Le fichier déposé sur votre appareil pèse quelques centaines d'octets. Il ne contient ni votre identité, ni votre historique. L'historique, lui, est stocké ailleurs : sur les serveurs de celui qui a collé l'étiquette. Le numéro sert uniquement de clé pour y accéder.

Ce que cette clé ouvre, en revanche, s'accumule au fil du temps : les pages consultées, la durée de lecture, les produits regardés sans être achetés, l'heure des visites, l'appareil utilisé, la ville depuis laquelle vous vous connectez. Assemblées, ces traces dessinent des habitudes, des centres d'intérêt, parfois un état de santé, une situation familiale ou une orientation politique déduits de ce que vous avez lu.

C'est pour cette raison que le RGPD considère un identifiant de ce type comme une donnée personnelle, même sans nom associé. Un identifiant qui permet de distinguer une personne des autres et de la reconnaître d'une visite à l'autre suffit à faire d'elle une personne identifiable au sens de l'article 4 du règlement.

L'étiquette n'est pas lisible que par le magasin

Un cookie déposé par le site que vous consultez est un cookie interne. Il permet au site de vous reconnaître, et à lui seul.

Mais la plupart des pages web chargent aussi des éléments hébergés ailleurs : une vidéo, une carte, un bouton de partage, un outil de statistiques, une régie publicitaire. Chacun de ces éléments peut déposer son propre cookie, au nom d'une société tierce. Et comme cette même société est présente sur des milliers d'autres sites, elle lit son étiquette partout où elle est installée.

C'est la galerie marchande de l'analogie. Le magasin dans lequel vous êtes entré ne voit que vos visites chez lui. Le prestataire présent dans tous les magasins, lui, reconstitue votre parcours complet dans la galerie.

Tous les cookies ne se valent pas

Certains cookies sont indispensables au fonctionnement du service que vous avez demandé : garder votre panier rempli quand vous changez de page, vous maintenir connecté à votre compte, mémoriser votre choix de langue, répartir la charge entre les serveurs. Sans eux, le site cesse de fonctionner correctement.

D'autres servent à mesurer l'audience du site : combien de visiteurs, sur quelles pages, depuis quelles sources. Cette finalité peut être exemptée de consentement, mais à des conditions strictes fixées par la CNIL : mesure limitée au seul site concerné, résultats anonymes, aucun recoupement avec d'autres traitements, aucun suivi de la navigation d'un site à l'autre. Un outil comme Google Analytics dans sa configuration courante ne remplit pas ces conditions.

D'autres enfin servent la publicité ciblée, la mesure des campagnes, le profilage commercial ou la revente de segments d'audience. Ceux-là ne bénéficient d'aucune exemption.

Ce que la loi impose

Le dépôt et la lecture de traceurs sur un terminal ne relèvent pas directement du RGPD mais de l'article 82 de la loi Informatique et Libertés, qui transpose la directive ePrivacy. Le RGPD intervient ensuite, pour définir ce qu'est un consentement valable et pour encadrer les traitements réalisés à partir des données collectées.

Concrètement, quatre exigences se cumulent. Le consentement doit être recueilli avant tout dépôt, à l'exception des cookies strictement nécessaires. Il doit être libre, ce qui suppose que refuser soit aussi simple qu'accepter, dès le premier écran. Il doit être éclairé, donc reposer sur une information lisible indiquant qui dépose quoi, pour quelle finalité. Il doit être révocable à tout moment, aussi facilement qu'il a été donné.

S'y ajoute une obligation moins visible : l'éditeur du site doit être en mesure de prouver, à la demande de la CNIL, que le consentement a bien été recueilli dans ces conditions.

Un bandeau qui ne bloque rien est un bandeau décoratif

C'est le point sur lequel la majorité des sites échouent, y compris ceux qui ont installé un dispositif de recueil du consentement.

Le bandeau enregistre le choix du visiteur, mais les scripts tiers, eux, se chargent dès l'ouverture de la page, avant même que le choix ait été exprimé. Les cookies sont déjà posés quand la question est posée. Dans ce cas, le manquement est constitué exactement comme si aucun bandeau n'existait : la loi vise le dépôt effectif, pas l'affichage d'une demande.

Un dispositif conforme suppose donc deux mécanismes distincts : recueillir le signal de consentement, et conditionner le chargement des scripts à ce signal. Le premier sans le second n'a aucun effet juridique. Vous pouvez vérifier ce point sur n'importe quelle page en ouvrant les outils de développement de votre navigateur, onglet Application ou Stockage, avant de cliquer sur quoi que ce soit dans le bandeau.

Combien de temps l'étiquette reste collée

La CNIL recommande une durée de vie des traceurs limitée à treize mois, non prorogeable automatiquement à chaque nouvelle visite, et une conservation des informations collectées limitée à vingt-cinq mois. Le choix exprimé par le visiteur, qu'il soit d'accepter ou de refuser, devrait quant à lui être conservé environ six mois, afin de ne pas le solliciter à chaque passage.

Dans les faits, de nombreux traceurs publicitaires sont déposés pour deux ans ou davantage.

Les cookies ne sont plus les seuls concernés

L'article 82 ne parle pas de cookies mais d'accès à des informations stockées dans le terminal de l'utilisateur, ou d'inscription d'informations dans ce terminal. La formulation est technologiquement neutre, et couvre donc tous les procédés équivalents.

Le stockage local du navigateur, les pixels de suivi intégrés aux pages et aux courriels, les identifiants publicitaires mobiles, ou encore les techniques d'empreinte numérique qui reconstituent un identifiant unique à partir de la configuration de votre appareil sans rien y déposer : tous relèvent du même régime. Remplacer les cookies par une de ces techniques ne dispense donc pas du consentement.

Ce que risque le propriétaire d'un site

La CNIL a compétence directe sur ce sujet, sans passer par le mécanisme du guichet unique européen, puisqu'il relève de la directive ePrivacy et non du RGPD. Elle peut donc contrôler et sanctionner tout site accessible depuis la France.

Le 1er septembre 2025, elle a prononcé une amende de 325 millions d'euros contre Google et de 150 millions d'euros contre Shein, notamment pour non-respect des règles applicables aux traceurs. Dans le cas de Shein, les manquements retenus portaient sur le dépôt de traceurs sans consentement, le non-respect du choix exprimé par les internautes et une information incorrecte. Ces décisions s'inscrivent dans une série de sanctions ouverte en 2020.

Ces montants sont calculés sur le chiffre d'affaires d'acteurs mondiaux. Ils ne disent rien du risque réel pour un site ordinaire, qui se mesure ailleurs.

En 2025, la CNIL a prononcé 83 sanctions, dont 67 selon la procédure simplifiée créée en 2022. Cette procédure traite les dossiers peu complexes, ceux-là mêmes que produisent les sites de petite taille. Elle permet un rappel à l'ordre, une amende pouvant atteindre 20 000 euros et une injonction assortie d'une astreinte plafonnée à 100 euros par jour de retard. Ces décisions ne sont jamais rendues publiques, ce qui explique qu'on n'en entende pas parler alors qu'elles représentent l'essentiel de l'activité répressive. Les traceurs figurent parmi leurs motifs les plus fréquents.

Le déclenchement vient généralement d'un signalement. Un visiteur constate que des cookies sont déposés avant tout choix de sa part, il le signale, et la vérification ne demande aucun accès au site : le manquement s'observe depuis l'extérieur, en quelques secondes, et se documente par une simple capture. C'est l'une des rares non-conformités qu'un tiers peut établir seul, sans coopération de l'éditeur.

L'état de conformité d'un site ne s'examine d'ailleurs pas uniquement devant la CNIL. Dès qu'un litige s'ouvre, quelle qu'en soit l'origine, il devient une pièce que la partie adverse verse au dossier et que le juge prend en compte.

Vérifier ce que dépose réellement votre site

Un site peut afficher un bandeau irréprochable et déposer malgré tout des traceurs publicitaires dès la première milliseconde. C'est ce décalage entre l'affichage et le comportement réel que notre analyse mesure : traceurs déposés avant consentement, ressources tierces chargées hors Union européenne, présence et validité des mentions obligatoires.

Lancer une analyse gratuite de votre site