Consentement aux cookies et politique de cookies : quelle différence

On emploie souvent ces termes indifféremment, mais ils répondent à des problèmes différents. Une politique de cookies est de la documentation. Le consentement aux cookies est de l’application. L’une dit aux visiteurs ce que vous faites, l’autre garantit que vous ne le faites qu’après leur accord et en conserve la trace.

Bien faire la distinction compte, car avoir une politique de cookies magnifiquement rédigée pendant que les traceurs se déclenchent au chargement de la page est un manquement à la conformité, tout comme l’est un bandeau de consentement soigné qui ne renvoie vers aucune politique.

Une politique de cookies est une page ou une section statique qui explique, en langage clair, quels cookies et technologies similaires votre site dépose, qui les place, à quoi ils servent, combien de temps ils durent et comment un visiteur peut les contrôler. Elle se trouve généralement à côté de votre politique de confidentialité ou à l’intérieur de celle-ci, et elle est liée depuis votre pied de page et depuis le bandeau de consentement lui-même.

Son rôle est la transparence. Elle satisfait la part « éclairé » du consentement éclairé en donnant aux personnes le détail dont elles ont besoin pour faire un véritable choix. Une bonne politique de cookies liste les cookies par catégorie et nomme les tiers concernés, au lieu de proposer un texte type vague.

Le consentement aux cookies est le système interactif qui s’exécute dans le navigateur du visiteur. Il bloque les cookies non essentiels jusqu’à ce que le visiteur décide, présente les choix, applique la décision en libérant les traceurs ou en continuant à les bloquer, et conserve une trace de ce qui a été choisi et à quel moment.

Là où la politique est un texte sur une page, le consentement est un comportement en temps réel. C’est la partie qui empêche réellement un traceur de déposer un cookie avant l’accord du visiteur, et c’est la partie qui produit la preuve que vous présenteriez à un régulateur.

Les deux sont conçus pour se renforcer mutuellement. Le bandeau de consentement renvoie vers la politique de cookies afin que les visiteurs puissent lire le détail avant de choisir. La politique décrit les catégories que le bandeau de consentement permet d’activer ou de désactiver. Lorsque vous ajoutez ou retirez un traceur, vous mettez les deux à jour : le texte de la politique et la correspondance des catégories du bandeau.

C’est sur ce maintien en cohérence que beaucoup de sites dérivent. Un traceur est ajouté via un outil marketing, le bandeau n’est pas mis à jour pour le bloquer, et la politique n’en parle jamais. Les trois couches se contredisent alors. Une analyse de découverte qui repère chaque cookie et alimente à la fois le bandeau et la politique les garde alignés.

Dans la plupart des juridictions, oui. Le GDPR et les règles ePrivacy attendent un consentement éclairé, qui suppose l’information qu’apporte une politique de cookies, et un consentement préalable, qui suppose le mécanisme de consentement. Le DPDPA indien attend une information détaillée et un consentement vérifiable, là encore deux couches. Même les régimes d’opt-out comme la Californie attendent à la fois une information de confidentialité claire et un mécanisme d’opt-out fonctionnel.

En pratique, la politique sans consentement laisse des traceurs s’exécuter illégalement, et le consentement sans politique laisse les visiteurs mal informés. Il vous faut le document et le mécanisme, maintenus cohérents entre eux.