RGPD et cookies: Ce que votre site web doit faire

Deux vérifications : accès au terminal et données personnelles

Vérification 1 : stocker des informations sur le terminal ou y lire des informations. Dans l’UE, cette règle découle de l’article 5(3) de la directive ePrivacy, tel que transposé dans le droit de chaque pays ; au Royaume-Uni, de la regulation 6 du PECR. Le consentement est requis sauf si une exception s’applique, que les informations soient ou non des données personnelles. Les lignes directrices 2/2023 du Comité européen de la protection des données (CEPD) montrent que cela peut couvrir les pixels de suivi, les liens de suivi et les identifiants uniques, et pas seulement les cookies.

Vérification 2 : traiter des données personnelles. Le RGPD, ou le RGPD britannique (UK GDPR) au Royaume-Uni, encadre ce que vous faites des données personnelles : base légale, transparence, durée de conservation, partage, transferts et droits des personnes. Les identifiants de cookies et les adresses IP peuvent constituer des données personnelles.

Les deux vérifications s’appliquent souvent au même outil. Un script d’analyse d’audience qui dépose un cookie et envoie les données de visite à un fournisseur doit respecter les règles d’accès au terminal, généralement grâce au consentement, et nécessite une base légale au titre du RGPD pour les traitements qui suivent. L’intérêt légitime ne peut pas remplacer un consentement exigé par les règles d’accès au terminal, et le consentement aux cookies ne règle ni la durée de conservation, ni les transferts, ni les utilisations ultérieures.

Le RGPD s’applique-t-il à votre entreprise ?

Le RGPD de l’UE s’applique aux traitements effectués dans le cadre des activités d’un établissement situé dans l’UE, ainsi qu’aux organisations situées ailleurs qui proposent des biens ou des services aux personnes se trouvant dans l’UE ou qui y suivent leur comportement. Le simple fait qu’un site web soit accessible depuis l’Europe ne tranche pas la question. Le RGPD britannique suit le même modèle pour le Royaume-Uni : évaluez donc les deux si vous servez les deux marchés.

La taille ne vaut pas exemption : une petite entreprise peut traiter des données personnelles via des formulaires, des comptes, des outils d’analyse et des outils publicitaires. Le guide du CEPD pour les petites entreprises explique qu’il faut une base légale pour chaque finalité.

Les différences entre les règles de l’UE et du Royaume-Uni

Les règles d’accès au terminal sont issues de la même directive européenne, mais le Royaume-Uni a depuis modifié le PECR. Vérifiez séparément vos visiteurs de l’UE et du Royaume-Uni avant de vous appuyer sur une exception.

Dans l’UE, le CEPD laisse au droit national et aux autorités nationales le soin de fixer la portée des exceptions. La mesure d’audience illustre la différence : les autorités danoises estiment que les statistiques de site web nécessitent un consentement, tandis que certaines autorités, comme la CNIL en France, admettent une exemption étroite pour une mesure d’audience limitée.

Au Royaume-Uni, le Data (Use and Access) Act 2025 a ajouté des exceptions pour les statistiques, pour l’apparence ou les fonctionnalités et pour la localisation d’un appareil en cas d’urgence. Les lignes directrices de l’ICO en fixent les limites : la finalité doit être la seule poursuivie, les visiteurs doivent recevoir une information claire et disposer d’un moyen gratuit et simple de s’y opposer, et une opposition met fin au stockage ou à l’accès. Le profilage, le suivi entre services et tout ce qui touche à la publicité en ligne nécessitent toujours un consentement.

Octobre 2026 : la proposition « omnibus numérique » (Digital Omnibus) de la Commission européenne modifierait les règles de l’UE sur les cookies, y compris les exceptions au consentement. Elle est toujours en cours de procédure législative : les règles nationales actuelles restent donc applicables.

Ce que votre site web doit faire

Recensez les finalités avant de choisir les catégories du bandeau

Listez chaque outil et ce qu’il fait réellement : fournir le service demandé, établir des statistiques, mesurer la publicité ou constituer des audiences. Pour chaque finalité, consignez les données, les destinataires, la durée de conservation et la base légale. Supprimez les outils sans finalité claire.

Vous utilisez des produits publicitaires ou de mesure de Google auprès de visiteurs de l’EEE ou du Royaume-Uni ? Les propres règles de Google ajoutent des exigences en matière de consentement, d’information et de registres : consultez notre guide sur les règles de Google relatives au consentement de l’utilisateur dans l’UE.

Faites du consentement un vrai choix

Lorsque le consentement est requis, demandez-le avant que l’activité ne commence, expliquez chaque finalité et laissez les paramètres facultatifs désactivés. Faire défiler la page, garder le silence ou poursuivre sa navigation ne vaut pas consentement, comme l’expliquent les lignes directrices du CEPD sur le consentement. Proposez une option de refus aussi claire que l’option d’acceptation et un lien permanent vers les paramètres : le RGPD exige qu’il soit aussi simple de retirer son consentement que de le donner.

Reliez le choix à ce qui s’exécute réellement

Une préférence enregistrée n’est utile que si le site web la respecte. Vérifiez les scripts du gestionnaire de balises, les plugins, les vidéos intégrées et les autres widgets, et pas seulement si le bandeau disparaît. Déplacer la collecte vers un serveur ne fait pas sortir les données du champ du RGPD.

Expliquez le parcours des données et gérez les droits

Vos informations sur la protection des données doivent indiquer qui est le responsable du traitement, les finalités et les bases légales, les destinataires, la durée de conservation, les droits et les transferts internationaux, avec les mêmes noms et finalités que dans le bandeau et la déclaration relative aux cookies. Mettez en place une procédure pour les demandes d’exercice des droits. Tous les droits ne sont pas absolus : évaluez donc chaque demande au lieu de promettre une suppression automatique.

Ce que cela change pour vos rapports

Si moins de visiteurs acceptent la mesure d’audience facultative, le trafic enregistré peut baisser sans que les visites réelles diminuent. Signalez les changements liés au consentement dans vos rapports de campagne et comparez les résultats avec les commandes et les demandes de contact. Séparez aussi les finalités : le cookie de panier d’une boutique en ligne ne doit pas devenir discrètement un identifiant marketing lorsqu’un visiteur refuse la publicité.

Liste de contrôle pour votre site web

• Champ d’application : consignez les régimes applicables : RGPD de l’UE, RGPD britannique et règles d’accès au terminal de chaque pays que vous ciblez.
• Première visite : avant tout choix, aucun cookie, stockage ou requête soumis au consentement n’apparaît.
• Refus : après rechargement et navigation, le stockage et les requêtes facultatifs restent désactivés, y compris vers les destinations côté serveur.
• Choix partiel : accepter une finalité ne déclenche que les outils correspondants.
• Retrait : après réouverture des paramètres et retrait du consentement, les outils concernés s’arrêtent.
• Exceptions britanniques : si vous vous appuyez sur l’une d’elles, l’information et l’option d’opposition gratuite sont visibles, et une opposition met fin au stockage ou à l’accès.
• Après des modifications : répétez les vérifications lorsque vous ajoutez un outil, modifiez une finalité ou entrez sur un nouveau marché.

FAQ