En bref
Un site sans cookie ne dépose sur l’appareil du visiteur aucun traceur soumis au consentement : il n’a donc pas de bandeau à afficher. On y arrive en se passant des services tiers qui en déposent (statistiques, publicité, vidéos et cartes intégrées, boutons de partage) ou en les remplaçant par des solutions qui n’en déposent pas. La CNIL exempte aussi certains outils de mesure d’audience, sous conditions strictes.
Qu’est-ce qu’un site sans cookie ?
Un cookie est un petit fichier qu’un site enregistre dans le navigateur du visiteur, puis relit lors des pages suivantes ou des visites suivantes. Les règles françaises ne visent pas seulement les cookies : elles s’appliquent à tous les traceurs, c’est-à-dire à tout procédé qui écrit ou lit une information sur l’appareil du visiteur, comme un pixel, un identifiant stocké dans le navigateur ou une empreinte de l’appareil.
Dans la pratique, on parle de site sans cookie pour un site qui ne dépose aucun traceur soumis au consentement. Il peut en utiliser d’autres, strictement nécessaires à un service demandé, comme le panier d’une boutique : ceux-là n’imposent pas de bandeau.
Les règles de la CNIL pour un site avec cookies, en six points
Ces règles viennent de l’article 82 de la loi Informatique et Libertés, telles que la CNIL les explique dans sa page comment mettre mon site web en conformité. Dès qu’un site dépose des traceurs non exemptés :
- le consentement est recueilli avant tout dépôt ou toute lecture du traceur ;
- il faut un acte positif et clair : continuer à naviguer ne vaut pas accord, et fermer le bandeau doit être compris comme un refus ;
- refuser doit être aussi simple qu’accepter, par exemple avec deux boutons de même format au premier niveau ;
- le visiteur est informé des finalités et des sociétés qui déposent les traceurs, avant de choisir ;
- le choix est conservé : la CNIL juge qu’une durée de six mois est en général appropriée avant de redemander ;
- le visiteur peut changer d’avis à tout moment, par exemple grâce à un lien en pied de page.
Un bandeau qui respecte tout cela demande un outil de gestion du consentement, du réglage et du suivi. Un site sans cookie évite ce travail, et ses visiteurs n’ont aucune fenêtre à fermer avant de lire.
Les traceurs exemptés de consentement
Selon la même page de la CNIL, certains traceurs sont strictement nécessaires au service demandé par le visiteur et n’ont pas besoin de son accord :
| Traceur | Consentement nécessaire ? |
|---|---|
| Mémoriser le choix du visiteur sur les cookies | Non |
| Connexion à un compte et sa sécurité | Non |
| Panier d’achat et facturation | Non |
| Personnalisation de l’interface attendue par le visiteur | Non |
| Certaines mesures d’audience | Non, sous conditions strictes |
| Publicité, ciblage, réseaux sociaux | Oui |
Pour les traceurs exemptés, la loi n’impose pas d’informer le visiteur, mais la CNIL le recommande, par exemple dans la politique de confidentialité. La liste complète et les questions fréquentes sont sur sa page site web, cookies et autres traceurs.
D’où viennent les cookies d’un site, et comment s’en passer
Sur un site de petite entreprise, les traceurs viennent rarement du site lui-même. Ils arrivent avec des services ajoutés au fil du temps, souvent par une extension ou un bout de code copié. Voici les plus courants, et ce qu’on peut faire à la place pour obtenir un site sans cookie.
| Service ajouté | Remplacement sans cookie |
|---|---|
| Statistiques d’un service tiers | Search Console pour les recherches Google, et un outil de mesure exempté si besoin (voir plus bas) |
| Vidéo intégrée | Une image et un bouton : le lecteur ne se charge qu’au clic, après information, ou un simple lien vers la vidéo |
| Carte intégrée | Une image de plan hébergée sur le site et un bouton « Itinéraire » qui ouvre l’application de cartes |
| Boutons de partage | De simples liens vers vos pages sur les réseaux, sans script du réseau |
| Polices et scripts chargés ailleurs | Les polices du système ou des fichiers hébergés sur votre site |
| Formulaire d’un service externe | Un lien e-mail préparé, ou un formulaire dont le service s’engage à ne déposer aucun traceur |
La CNIL précise dans sa FAQ que les boutons de partage permettent souvent aux réseaux sociaux de déposer des traceurs, et qu’un lecteur vidéo ne doit déposer aucun traceur soumis au consentement avant l’accord du visiteur. Pour les autres services, vérifiez au cas par cas : toute ressource chargée depuis un autre serveur lui transmet au moins l’adresse IP du visiteur.
Les sites construits avec un thème et de nombreuses extensions accumulent ces services sans qu’on s’en rende compte. Le guide WordPress ou site sur mesure compare les deux approches.
Mesurer son audience avec un site sans cookie
Se passer de bandeau ne veut pas dire travailler à l’aveugle. Deux solutions, que l’on peut combiner.
Search Console, sans rien installer sur le site
La Search Console de Google indique les recherches qui affichent votre site, le nombre de clics et les pages qui les reçoivent. Ces chiffres viennent du moteur de recherche lui-même : aucun code de suivi n’est placé sur vos pages. Pour une entreprise locale, ce sont souvent les chiffres les plus utiles.
Un outil de mesure d’audience exempté
La CNIL admet qu’un outil de mesure d’audience soit utilisé sans consentement s’il remplit toutes ces conditions, détaillées dans sa page solutions pour la mesure d’audience :
- il sert uniquement à mesurer l’audience de votre site, pour votre seul compte ;
- il produit seulement des statistiques anonymes ;
- il ne suit pas la personne sur d’autres sites et ne croise pas ses données avec d’autres traitements ;
- le fournisseur ne réutilise pas les données pour son propre compte, ce qui demande un engagement écrit de sa part.
Elle recommande aussi de limiter la durée de vie des traceurs, par exemple à treize mois, et de conserver les informations collectées vingt-cinq mois au plus. Dans sa page consacrée à la mesure de fréquentation, elle cite Google Analytics parmi les offres qui ne bénéficient pas de l’exemption : avec cet outil, le bandeau reste nécessaire.
Exemple réel : orbitoile.fr, 0 cookie
Le site d’Orbitoile, que vous lisez, ne dépose aucun cookie sur ses pages de présentation et ses guides, et n’utilise aucun outil de mesure d’audience. Le compteur ci-dessous lit les cookies présents dans votre navigateur pour ce site, au moment où vous lisez cette page :
Mesure en direct
Cookies déposés par orbitoile.fr dans votre navigateur : 0.
Voici comment le site y parvient :
- les polices sont celles de votre appareil, et aucun script ne vient d’un autre serveur ;
- les demandes de devis passent par un e-mail préparé, sans formulaire externe ;
- les réseaux sociaux sont de simples liens ;
- le testeur de site n’interroge PageSpeed Insights de Google que si vous lancez un test, avec l’adresse que vous saisissez ;
- le suivi se fait dans la Search Console.
Les mentions légales du site le disent en une phrase, dans une rubrique « Cookies et mesure ». Elles précisent aussi que l’hébergeur enregistre les connexions pour la sécurité : ces journaux restent sur le serveur et n’écrivent rien sur votre appareil.
Vérifier si votre site est un site sans cookie, en deux minutes
- Ouvrez votre site dans une fenêtre de navigation privée, sur un ordinateur, sans cliquer sur le bandeau s’il y en a un.
- Appuyez sur F12 pour ouvrir les outils de développement, puis ouvrez l’onglet « Application » dans Chrome ou Edge, « Stockage » dans Firefox.
- Dans la rubrique « Cookies », regardez la liste pour votre adresse : chaque ligne est un cookie, avec le domaine qui l’a déposé.
- Naviguez sur deux ou trois pages, lancez une vidéo s’il y en a, puis regardez à nouveau.
Des cookies apparaissent avant tout clic sur « Accepter » ? Ce sont des traceurs déposés avant le consentement, sauf s’ils sont exemptés. Notez les domaines qui reviennent : ils désignent le service à remplacer. Pour aller plus loin sur la vitesse et le poids des pages, testez votre site en direct.
Ce qu’un site sans cookie ne règle pas
- les mentions légales restent obligatoires : le guide mentions légales d’un site internet en donne la liste ;
- les données que vous recevez, par e-mail, formulaire ou réservation, restent des données personnelles : vous devez informer les personnes de leur usage, comme l’explique la CNIL dans sa page informer les personnes ;
- sans traceur publicitaire, pas de reciblage des visiteurs sur les réseaux : si la publicité en ligne est au cœur de votre activité, le bandeau sera difficile à éviter sur les pages concernées.
Ce guide est informatif et ne remplace pas un conseil juridique. Pour un site plus complexe, une boutique en ligne ou un site avec prise de rendez-vous, les outils de paiement et de réservation se choisissent aussi selon les traceurs qu’ils déposent.
À retenir
Un site sans cookie ne dépose aucun traceur soumis au consentement et n’a pas de bandeau à afficher. On y arrive en remplaçant les services tiers qui en déposent, en suivant ses visites dans la Search Console et, si besoin, avec un outil de mesure exempté qui respecte les conditions de la CNIL.