Cookies

Les cookies sont de petites données qu'un site enregistre sur l'appareil du visiteur via le navigateur et qu'il récupère avec les requêtes suivantes. Ils permettent à un site de « se souvenir » du panier, de la langue ou d'une connexion, et servent aussi à l'analyse d'audience et à la publicité.

Ceci n'est pas un conseil juridique : voici ce que disent les sources, avec les liens.

Comment cela fonctionne, en termes simples

Le serveur envoie au navigateur un en-tête `Set-Cookie`, le navigateur enregistre la valeur et l'ajoute à chaque requête suivante vers ce serveur. Le HTTP en lui-même ne « se souvient » pas des requêtes précédentes : ce sont donc les cookies qui permettent de conserver un panier ou une session de connexion (MDN).

La documentation MDN attribue trois rôles principaux aux cookies : la gestion de session (connexion, panier), la personnalisation (langue, thème) et le suivi du comportement des utilisateurs.

Types de cookies

Selon la durée de vie :

• Les cookies de session n'ont pas de date d'expiration ; le navigateur les supprime quand il considère que la session est terminée.
• Les cookies persistants ont `Expires` ou `Max-Age` et vivent jusqu'à l'échéance indiquée.

Selon celui qui les dépose :

• Les cookies internes (first-party) sont déposés par le site que vous avez ouvert : par exemple, votre boutique mémorise le panier.
• Les cookies tiers (third-party) sont déposés par un contenu intégré provenant d'un autre acteur (un widget, un pixel publicitaire) et fonctionnent dans les requêtes entre sites. Ce sont ceux qui permettent de suivre une personne d'un site à l'autre (MDN). Plus de détails : cookies tiers.

Selon la finalité (c'est ainsi que les bannières les regroupent en général ; la loi ne prévoit pas ce découpage) :

• Nécessaires : panier, connexion, sécurité, mémorisation du choix fait dans la bannière.
• Statistiques (analyse d'audience) : combien de personnes sont venues et ce qu'elles ont fait.
• Publicitaires : reciblage, mesure des publicités.

Pourquoi une boutique en ligne a besoin de cookies

• le panier n'est pas perdu pendant que la personne choisit des produits et passe à la commande ;
• le client reste connecté, et la langue et la devise sont mémorisées ;
• l'analyse d'audience montre d'où viennent les clients et où ils quittent le site ;
• la publicité peut mesurer ses résultats et être montrée aux personnes qui ont regardé un produit (cela exige déjà un consentement si vous travaillez avec des visiteurs de l'UE, voir la bannière de cookies).

Ce qu'il faut savoir sur les règles

• Pour les visiteurs dans l'UE, l'article 5, paragraphe 3, de la directive 2002/58/CE permet de stocker des informations sur un appareil ou de les lire uniquement avec le consentement d'une personne qui a reçu une information claire et complète, notamment sur les finalités. Exceptions : le stockage technique servant uniquement à transmettre un message, et ce qui est « strictement nécessaire » à un service expressément demandé par la personne (directive 2002/58/CE).
• La règle ne concerne pas que les cookies. Dans les lignes directrices 2/2023 (version du 7 octobre 2024), le CEPD explique qu'elle couvre aussi d'autres technologies : pixels de suivi, identifiants uniques, traitement local sur l'appareil. Le mot « information » est plus large que « donnée personnelle » (CEPD, lignes directrices 2/2023).
• Les cookies ne sont pas toujours des données personnelles, mais s'ils permettent d'identifier une personne, le RGPD s'applique aussi.

Erreurs fréquentes

• croire que les cookies « techniques » désignent tout ce que dépose mon module : un outil d'analyse, un pixel publicitaire et un widget de chat ne sont pas nécessaires du seul fait que l'entreprise en a besoin. Les autorités de contrôle vérifient directement si les cookies sont correctement classés comme « nécessaires » (CEPD, rapport de la Cookie Banner Taskforce, 2023) ;
• ne pas savoir quels cookies le site dépose réellement : regardez l'onglet Application des outils de développement du navigateur ou utilisez le scanner d'une plateforme de gestion du consentement ;
• oublier les autres technologies (localStorage, images pixel de suivi).

FAQ

Qu'est-ce que les cookies, en termes simples ? Des marques textuelles qu'un site laisse dans le navigateur pour pouvoir vous reconnaître à la requête suivante.

Une boutique en ligne a-t-elle besoin de cookies ? Pour le panier et la connexion, oui. Pour l'analyse d'audience et la publicité, il n'y a pas de besoin technique, mais l'entreprise en a besoin ; les visiteurs de l'UE doivent donc y consentir.

En quoi les cookies internes diffèrent-ils des cookies tiers ? Les cookies internes sont déposés par votre site, les cookies tiers par le contenu intégré d'un autre acteur, et ils peuvent suivre une personne d'un site à l'autre.

Les cookies sont-ils dangereux ? En eux-mêmes, ils ne font que stocker des valeurs. Le risque tient à leur usage pour le suivi, et à la sécurité des sessions (les attributs `Secure` et `HttpOnly` existent pour cela, MDN).

Termes associés

• Bandeau de cookies
• Cookies tiers et données first-party
• Google Consent Mode v2
• RGPD pour une boutique en ligne

Sources

• MDN Web Docs, Using HTTP cookies — developer.mozilla.org/en-US/docs/Web/HTTP/Guides/Cookies
• Directive 2002/58/CE (ePrivacy), art. 5, paragraphe 3, version consolidée — eur-lex.europa.eu/eli/dir/2002/58/oj
• EDPB, Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive, version 2.0 (7.10.2024) — edpb.europa.eu/system/files/documents/2024-10/edpb_guidelines_202302_technical_scope_art_53_eprivacydirective_v2_en_0.pdf
• EDPB, Report of the work undertaken by the Cookie Banner Taskforce (17.01.2023) — edpb.europa.eu/system/files/2023-01/edpb_20230118_report_cookie_banner_taskforce_en.pdf