Bandeau cookies RGPD : se mettre en conformité

Vous ouvrez votre site en navigation privée. Un bandeau recouvre la moitié de l'écran, un gros bouton « Accepter » attire l'œil, et un lien « Paramétrer » se cache en petits caractères. Vous vous demandez : est-ce vraiment légal, et mon propre site est-il en règle ? Il arrive qu'un dirigeant installe un bandeau « pour être tranquilles », sans jamais vérifier ce qu'il fait réellement. Or un bandeau mal configuré peut donner une fausse impression de conformité.

Ce guide explique, sans jargon, à quoi sert un bandeau cookies, quels traceurs demandent l'accord de vos visiteurs, les règles d'un bandeau conforme, comment le tester soi-même et comment choisir son outil. C'est une information générale : ce guide n'est pas un conseil juridique. Les règles évoluent et chaque site a ses particularités : faites valider votre configuration par un professionnel du droit ou du numérique.

Ce que fait un bandeau, et ce qu'il ne fait pas

Un cookie (ou plus largement un traceur) est un petit fichier ou un identifiant enregistré sur l'appareil du visiteur. Certains sont indispensables au fonctionnement du site. D'autres servent à mesurer l'audience, à faire de la publicité ou à charger des contenus venus d'ailleurs. Pour ces derniers, la règle générale est celle du consentement préalable : le visiteur doit donner son accord avant que le traceur soit déposé ou lu.

Le bandeau n'est que l'outil qui recueille ce choix. Il ne protège rien s'il s'affiche pendant que les traceurs partent déjà en arrière-plan. Ce qui compte, c'est ce que votre site fait avant et après le clic, pas la présence d'un cadre coloré en bas de l'écran.

Ce qui demande l'accord de vos visiteurs, ce qui n'en demande pas

Le tableau ci-dessous donne des repères généraux. Les exemptions sont interprétées strictement : en cas de doute sur un outil précis, vérifiez sa configuration.

Six règles pour un bandeau conforme

1. Rien avant le clic. Tant que le visiteur n'a pas accepté, aucun traceur non nécessaire ne doit être déposé : les scripts d'analyse, de publicité ou de vidéo restent bloqués.
2. Un acte positif clair. Continuer à naviguer, faire défiler la page ou fermer les yeux sur le bandeau ne vaut pas consentement. Sans choix, la réponse par défaut est le refus.
3. Refuser aussi simplement qu'accepter. Si un bouton « Tout accepter » figure au premier niveau du bandeau, un bouton « Tout refuser » doit figurer au même niveau, avec le même format. La CNIL a indiqué qu'un simple bouton « Paramétrer » à côté de « Tout accepter » tend à décourager le refus.
4. Une information lisible et un choix par finalité. Le visiteur doit savoir à quoi servent les traceurs, qui en bénéficie, et pouvoir choisir finalité par finalité, avec des cases jamais précochées. Un lien mène à la politique cookies et à la politique de confidentialité.
5. Un retrait aussi facile que le don. Un lien permanent (souvent « Gérer les cookies » dans le pied de page) permet de changer d'avis à tout moment.
6. Une preuve et une durée. Conservez la trace du choix (date, version du bandeau). La CNIL recommande de redemander l'avis après une durée de l'ordre de six mois, à adapter selon votre site.

Le piège numéro un : le bandeau décoratif

Un cas courant n'est pas un bandeau absent, c'est un bandeau qui ne bloque rien. Le visiteur clique sur « Refuser » et l'outil de statistiques, le pixel publicitaire ou la vidéo intégrée continuent de fonctionner. Bonne nouvelle : vous pouvez le vérifier vous-même, en cinq gestes.

1. Ouvrez une fenêtre de navigation privée et chargez votre page d'accueil, sans toucher au bandeau.
2. Ouvrez les outils de développement du navigateur (touche F12) : l'onglet « Application » ou « Stockage » liste les cookies, l'onglet « Réseau » montre les requêtes vers des services tiers.
3. Avant tout choix, aucun traceur publicitaire ou d'analyse non exempté ne doit apparaître.
4. Cliquez sur « Tout refuser », rechargez la page, puis parcourez deux ou trois pages : la liste ne doit pas se remplir.
5. Recommencez avec « Tout accepter » pour vérifier que les outils se déclenchent bien après l'accord, et testez aussi sur mobile.

Refaites ce contrôle à chaque ajout d'un outil : un nouveau pixel, une vidéo, un widget de chat, une police externe. C'est l'un des points à passer en revue avant une mise en ligne (voir les pages indispensables d'un site pro pour le socle légal).

Choisir son outil de gestion du consentement

Sur WordPress comme ailleurs, trois voies existent : une extension de gestion du consentement, un service en ligne spécialisé, ou un développement sur mesure. Aucune ne vous rend conforme à elle seule : ce qui compte, c'est la configuration. Voici les critères à regarder, quel que soit l'outil.

• Il bloque réellement les scripts tant que le visiteur n'a pas accepté.
• Il propose « Tout refuser » au premier niveau.
• Il conserve un journal du consentement.
• Il fonctionne avec vos outils réels (statistiques, publicité, vidéos, formulaires).
• Il s'affiche proprement sur mobile, en français, sans ralentir la page.
• Il reste maintenu et mis à jour dans le temps.

Une mention « conforme RGPD » dans la description d'un outil n'est pas une preuve : testez-le avec la méthode ci-dessus. Le choix et le paramétrage du bandeau se cadrent idéalement au moment de la création du site (voir notre service de création de site et la page Tarifs) ; les avantages de WordPress incluent un large choix d'extensions, à sélectionner avec soin.

Bandeau, politique cookies, confidentialité, mentions légales : ne pas tout mélanger

Le bandeau ne remplace aucun autre document. La politique cookies décrit vos traceurs, leur finalité et leur durée. La politique de confidentialité traite des données personnelles au sens large (voir le RGPD pour une PME). Les mentions légales identifient l'éditeur. Et si vous vendez en ligne, les CGV encadrent la vente (voir les CGV d'une boutique en ligne). Ces textes doivent rester cohérents entre eux.

Deux précisions utiles. Le panier d'une boutique repose en général sur des traceurs nécessaires, exemptés d'accord (voir créer une boutique en ligne). Et un formulaire ne dépend pas du bandeau : il collecte des données personnelles et doit avoir sa propre information (voir le formulaire de contact efficace).

Les mesures d'audience : ce que change un refus

Si vos visiteurs refusent les traceurs de statistiques non exemptés, vos chiffres seront incomplets : c'est normal et c'est le prix d'un consentement respecté. Regardez les tendances plutôt que les valeurs absolues, et vérifiez la configuration de votre outil (voir Google Analytics et RGPD).

Sept erreurs à éviter

• Un bouton « Refuser » caché, ou qui demande plusieurs clics.
• Des scripts chargés avant tout choix.
• Un message du type « en poursuivant votre navigation, vous acceptez ».
• Des cases précochées.
• Un texte copié sur un autre site, sans lister vos vrais traceurs.
• Aucun lien pour retirer son consentement.
• Ne jamais retester après avoir ajouté un outil.

Un exemple (illustratif)

Une boutique de thés artisanaux affiche un bandeau depuis le lancement. Sur son site : des statistiques, une vidéo de présentation intégrée et un pixel publicitaire. En faisant le test, la gérante constate que la vidéo et le pixel se chargent dès l'arrivée, avant tout clic. Elle reconfigure l'outil pour bloquer les deux tant que le visiteur n'a pas accepté, ajoute « Tout refuser » au premier niveau et un lien « Gérer les cookies » dans le pied de page. L'exemple est illustratif : votre situation dépend de vos propres outils et doit être validée par un professionnel.

Votre plan d'action en cinq étapes

1. Faites l'inventaire de vos traceurs réels avec le test de navigation privée.
2. Classez-les : nécessaires, mesure d'audience, publicité, contenus tiers.
3. Choisissez ou reconfigurez votre outil selon les six critères.
4. Vérifiez le refus, l'acceptation et le retrait, sur ordinateur et sur mobile.
5. Mettez à jour votre politique cookies et faites valider l'ensemble.

À lire aussi : Tester son site avant la mise en ligne.