Concevoir une bannière de consentement conforme au RGPD

Les bannières de cookies nous suivent partout. Certaines sont inutiles, d’autres donnent seulement l’impression de respecter le RGPD, et la plupart ne respectent pas les règles. Voici les points essentiels à connaître.

1. le RGPD n'est pas responsable de tout !

L’obligation de demander un consentement préalable pour certains services ne vient pas directement du RGPD, mais de l’article 5, paragraphe 3, de la directive ePrivacy :

Les États membres veillent à ce que le stockage d'informations ou l'accès à des informations déjà stockées dans l'équipement terminal d'un abonné ou d'un utilisateur ne soit autorisé que si l'abonné ou l'utilisateur concerné a donné son consentement sur la base d'informations claires et complètes qui lui ont été fournies ... concernant, entre autres, les finalités du traitement. .....

La directive ePrivacy prime sur le RGPD : ces services ne peuvent donc pas s’appuyer sur l’intérêt légitime prévu à l’article 6, paragraphe 1, point f). C’est le consentement, prévu au point a), qui s’applique.
Le RGPD précise, quant à lui, comment recueillir ce consentement.

2. Quand faut-il demander un consentement ?

a. Le consentement n'est pas nécessaire, par exemple, pour

• Les informations sur l’appareil, comme l’adresse IP, la résolution d’écran ou le système d’exploitation, nécessaires à l’affichage ou à la sécurité du site ou de l’application
• Les cookies strictement nécessaires aux réglages de langue et de police, à la connexion, aux préférences, au panier ou aux formulaires en ligne (cookies de session)
• Les services qui améliorent l’affichage, réduisent les temps de chargement ou optimisent le site, comme les CDN et les polices web

En règle générale, aucun consentement n’est nécessaire pour les cookies ou services indispensables au fonctionnement du site ou à un service expressément demandé par l’utilisateur. Si tu utilises uniquement ces fonctions, pas besoin de bannière : il suffit d’adapter ta politique de confidentialité.

Les bannières du type « Nous utilisons des cookies, bla bla bla… OK » sont inutiles. Elles sèment la confusion et finissent par rendre les visiteurs indifférents.

Les outils servant uniquement à l’analyse statistique du site, par exemple pour l’améliorer, ne nécessitent généralement pas non plus de consentement. Matomo entre dans cette catégorie, notamment parce qu’il peut être hébergé sur tes propres serveurs. Leur utilisation peut reposer sur l’intérêt légitime, au titre de l’article 6, paragraphe 1, point f), du RGPD. Dans certains cas, il est utile de réaliser et documenter une mise en balance des intérêts. C’est toutefois une question de protection des données, pas de conception de bannière.

Google Analytics fait exception : les autorités le considèrent comme un véritable outil de suivi, même si le responsable du site souhaite seulement obtenir des statistiques. Google Analytics nécessite donc un consentement.

b. Un consentement est nécessaire pour :

• L’analyse statistique et la mesure d’audience
• La publicité comportementale ou géolocalisée
• Les plugins de réseaux sociaux

Une alternative est la solution à deux clics de Heise (bouton Shariff). Tu peux aussi remplacer les plugins par des images ou icônes contenant un simple lien. Dans ce cas, le consentement n’est pas nécessaire ; les informations correspondantes doivent figurer dans la politique de confidentialité. Un message au survol, comme « Tu vas être redirigé vers Facebook », peut apporter une précision utile.

Pour une fonction soumise au consentement, celui-ci doit être recueilli AVANT toute collecte ou transmission de données.

3. Cartes, vidéos et plateformes de streaming

À l’époque évoquée ici, il n’y avait pas encore de consensus. Certains spécialistes estimaient que le futur règlement ePrivacy, initialement prévu en même temps que le RGPD, imposerait aussi un consentement préalable pour ces services. Les décisions de la CJUE de l’automne 2019 et de la Cour fédérale allemande de mai 2020 semblaient aller dans ce sens.

L’autorité bavaroise de protection des données (BayLDA) indiquait alors sur son site que les vidéos pouvaient être intégrées sans consentement préalable si elles ne démarraient qu’après un clic et qu’aucune donnée n’était transmise avant celui-ci, avec une solution à deux clics ou Embetty. Elle recommandait aussi le mode de confidentialité avancée de YouTube (no-cookie).

BayLDA appliquait une logique similaire à Google Maps : la carte ne devait se charger qu’à la demande explicite du visiteur, par exemple après un clic supplémentaire.

J’ai interrogé BayLDA à ce sujet. Au moment de cet échange, l’autorité confirmait cette interprétation, tout en précisant qu’elle devait encore examiner les motifs des décisions de justice. Son analyse pouvait donc évoluer.

Pour anticiper, tu peux envisager de demander dès maintenant un consentement pour ces services également. Il est toujours possible de prendre des précautions supplémentaires.

4. Les principes du consentement

Le consentement doit être PRÉALABLE, ÉCLAIRÉ et LIBRE. Concrètement :

a. PRÉALABLE :
À la première ouverture du site, les scripts susceptibles de collecter des données et de les transmettre à des tiers doivent rester désactivés.
b. ÉCLAIRÉ :
Présente les services brièvement, dans un langage simple et avec une mise en page claire. Le but est d’informer, pas de décourager.
c. LIBRE :
Aucune case de consentement ne doit être précochée. Le visiteur doit accepter activement, et non devoir décocher une option.

À retenir :
Des formules générales comme « Ce site utilise des cookies pour l’analyse et la publicité » ou « … pour améliorer ta navigation » ne suffisent pas. Elles n’expliquent pas clairement les traitements effectués.

Un choix libre implique aussi de pouvoir utiliser le site même en refusant les services facultatifs.

5. Documenter et prouver le consentement

Tu dois conserver une preuve du consentement. Selon de nombreux spécialistes, des éléments techniques suffisent : texte daté, code et version de la bannière, horodatage ou identifiant du cookie. Recueillir des données personnelles supplémentaires uniquement pour cette preuve n’est pas nécessaire et va à l’encontre de la minimisation des données.

6. Retirer son consentement : l’opt-out

Les visiteurs peuvent retirer leur consentement à tout moment. Chaque service doit donc proposer une option de retrait réellement fonctionnelle et facilement accessible.

7. À quoi peut ressembler la bannière ?

Les contenus suivants doivent obligatoirement être indiqués dans la bannière :

• Le responsable du traitement, si son identité n’est pas suffisamment claire sur le site
• Nom de l'outil
• Finalité du traitement
• Destinataire des données
• Une indication précisant que le consentement est facultatif et peut être retiré, avec une option de retrait
• Lien vers la déclaration de confidentialité
• Attention à l’emplacement : la bannière ne doit pas masquer l’accès aux mentions légales ni à la politique de confidentialité.

Les informations obligatoires sont définies, mais tu restes libre du design. Des sous-menus permettent de ne pas surcharger la présentation. Voici un exemple de premier niveau couvrant les exigences minimales :

Ce n’est qu’un exemple de présentation du premier niveau d’information, destiné à te donner une idée.

Il existe de nombreuses plateformes de gestion du consentement (CMP). Tu peux comparer leurs fonctions en ligne, notamment celles de Cookiebot, Borlabs Cookie, Usercentrics et Consentmanager.

Un outil de consentement devrait notamment permettre de :

• Afficher la bannière dès l’arrivée sur le site ou dans l’application
• Laisser accessibles les mentions légales, les conditions générales et la politique de confidentialité
• Déposer des cookies ou traiter des identifiants publicitaires mobiles uniquement après un accord actif. Naviguer, fermer la bannière ou attendre sa fermeture automatique ne constitue pas un consentement.
• Permettre l’accès au site ou à l’application même en cas de refus des cookies ou identifiants publicitaires
• Fonction opt-out
• Conserver des journaux et rapports pour faciliter la preuve du consentement

Tu trouveras des précisions dans le guide de la DSK pour les fournisseurs de télémédias et la FAQ sur les cookies et le suivi de l’autorité du Bade-Wurtemberg.

À toi de choisir la solution adaptée à ton site, avec l’aide de ton agence si nécessaire. Compare les prestataires si tu préfères éviter un développement sur mesure.
Vérifie aussi la solidité de leurs engagements de conformité au RGPD et l’emplacement de leurs serveurs.

8. et le marketing ?

Beaucoup de visiteurs ne souhaitent pas être suivis et cliqueront sur « Tout refuser ». Même si cela complique le marketing et l’analyse, ils exercent simplement leur droit de décider de l’utilisation de leurs données.

Lors d’une réunion d’information, un salarié du fournisseur suédois Consentmanager, Jaohawi AB, a présenté des chiffres intéressants :

Selon leur analyse, 40 à 50 % des visiteurs choisissaient en moyenne « Accepter tous les services ». Cela signifie que 50 à 60 % refusaient.

Selon l’intervenant, une meilleure conception pouvait porter le taux d’acceptation à environ 65 %, voire 70 % chez les clients fidèles.

Il estimait qu’après l’installation d’une bannière, environ la moitié des données marketing manquaient dans les rapports. Il proposait de tenir compte statistiquement de ces lacunes dans les prévisions.

Tu peux respecter la vie privée tout en améliorant l’emplacement, les couleurs et les formulations de la bannière pour encourager davantage de visiteurs à accepter les services facultatifs.