Cookies e-commerce : consentement, mesure et preuves

Décision rapide

Une boutique doit décider traceur par traceur, et non outil par outil. Un même fournisseur peut proposer une configuration soumise au consentement et une autre susceptible d’entrer dans une exemption. Le test décisif porte sur la finalité réelle, les données lues ou écrites, leurs destinataires et le comportement du site avant et après le choix.

En France, l’article 82 de la loi Informatique et Libertés impose en principe une information et un consentement avant d’accéder à des informations stockées sur le terminal ou d’y inscrire des informations. Deux cas sont exemptés : la finalité exclusive de permettre ou faciliter la communication électronique, et ce qui est strictement nécessaire à un service expressément demandé par l’utilisateur.

La finalité compte plus que le nom du cookie

La CNIL distingue les usages qui nécessitent un consentement de ceux qui peuvent en être exemptés. Le fait qu’un traceur soit interne au domaine, déposé par un tiers, persistant, de session ou présenté comme « technique » ne suffit pas à le classer.

Usage e-commerce	Position de départ	Point à vérifier
mémoriser le panier demandé	exemption possible	usage limité au panier et à la facturation
authentifier et sécuriser le mécanisme d’accès	exemption possible	nécessité réelle et absence de finalité additionnelle
conserver le choix relatif aux traceurs	exemption possible	seules données nécessaires à la mémorisation du choix
publicité personnalisée ou reciblage	consentement préalable	aucun déclenchement avant choix positif
bouton de réseau social avec suivi	consentement préalable	appels tiers et données transmises
mesure d’audience	dépend de la configuration	critères cumulatifs de l’exemption CNIL
lutte générale contre la fraude	analyse au cas par cas	la seule étiquette « sécurité » ne crée pas une exemption générale

La FAQ CNIL actualisée en avril 2026 précise notamment que le reciblage publicitaire par courrier électronique fondé sur le suivi de navigation nécessite le consentement. Elle rappelle aussi que certains traceurs limités à la sécurité d’une authentification peuvent être nécessaires, sans étendre cette exemption à toute solution antifraude.

Le dossier Email, consentement et valeur traite séparément la collecte de l’adresse, la preuve de prospection, le désabonnement et la mesure économique des campagnes.

Consentement valable : cinq contrôles

1. Avant tout dépôt ou lecture

Les traceurs soumis au consentement ne doivent pas être lus ou déposés tant que l’utilisateur n’a pas réalisé une action positive. La poursuite de la navigation ou l’acceptation globale de conditions générales ne constitue pas un consentement valable.

2. Une information compréhensible

Le premier niveau doit présenter les finalités de façon claire. Un second niveau peut détailler les responsables, destinataires, durées et outils. Une formule comme « améliorer votre expérience » ne permet pas, à elle seule, de comprendre une finalité publicitaire, de personnalisation ou de mesure.

3. Un choix spécifique

L’utilisateur doit pouvoir décider par finalité. Un bouton global peut compléter cette granularité, mais ne doit pas masquer les catégories ou partenaires réellement impliqués.

4. Refuser et retirer simplement

La CNIL exige que refuser soit aussi simple qu’accepter et que le consentement puisse être retiré aussi simplement qu’il a été donné. Le moyen de modifier le choix doit rester accessible après la fermeture de la bannière.

5. Une preuve datée

Chaque acteur qui se prévaut du consentement doit pouvoir le démontrer. La CNIL cite notamment la conservation horodatée des versions de la bannière, des captures du rendu, des configurations de la plateforme de consentement et des audits.

Un identifiant de consentement stocké ne prouve pas, à lui seul, ce que l’utilisateur a vu ni quels scripts ont réellement été déclenchés.

Mesure d’audience exemptée : conditions étroites

La CNIL indique en juillet 2025 que certains traceurs de mesure peuvent être exemptés lorsqu’ils restent strictement nécessaires à la fourniture du service. Ils doivent notamment :

• servir uniquement à la mesure de l’audience du site ou de l’application, pour le compte exclusif de l’éditeur ;
• produire seulement des données statistiques anonymes ;
• ne pas permettre un suivi global entre plusieurs sites ou applications ;
• ne pas conduire au recoupement avec d’autres traitements ;
• ne pas transmettre de données non anonymes à des tiers.

La réutilisation des données par le fournisseur pour son propre compte est incompatible avec cette configuration exemptée. Les transferts hors de l’Union doivent être examinés séparément : l’exemption de consentement au titre de l’article 82 ne règle pas la licéité d’un transfert de données personnelles.

Depuis 2025, la CNIL propose aux fournisseurs un outil d’auto-évaluation. Elle précise qu’un résultat favorable ne permet pas de présenter la solution comme « certifiée » ou « validée par la CNIL ». L’éditeur doit demander la documentation du fournisseur, appliquer la configuration annoncée et conserver sa propre preuve.

Mesurer une boutique sans inventer les données manquantes

Le refus de traceurs peut réduire la mesure de certaines visites, sources ou conversions. Ce manque ne doit être ni remplacé par zéro, ni extrapolé sans méthode documentée.

Séparer au minimum :

• les événements opérationnels nécessaires à l’exécution d’une commande ;
• les statistiques exemptées lorsqu’une configuration conforme est démontrée ;
• la mesure soumise au consentement ;
• les données publicitaires et de reciblage ;
• les journaux de sécurité et de fraude, avec leur propre qualification.

Le taux de consentement, la couverture des conversions et l’écart entre commandes et événements analytiques deviennent mesurables seulement si le périmètre, la période, les appareils et la version de la bannière sont constants.

Protocole de test recommandé

1. Ouvrir une session neuve, sans cookie ni stockage local préalable.
2. Observer les requêtes, cookies, stockage local, pixels et scripts avant toute interaction.
3. Choisir « tout refuser », puis répéter un parcours produit, panier, compte et paiement.
4. Choisir séparément chaque finalité et vérifier que seuls les traceurs attendus se déclenchent.
5. Retirer le consentement, puis contrôler l’arrêt des lectures ou écritures concernées.
6. Refaire le test sur mobile, ordinateur et, si la boutique l’utilise, application ou webview.
7. Comparer le comportement à l’inventaire et archiver une preuve horodatée.

Le dossier sur l’architecture des catégories aide à tester la mesure sur des parcours de navigation représentatifs. La stratégie antifraude traite séparément les signaux de paiement et de sécurité, qui ne doivent pas être reclassés automatiquement comme mesure d’audience.

Garde-fous de mise en œuvre

• Ne pas charger un gestionnaire publicitaire avant consentement au seul motif qu’il démarre en mode réduit.
• Ne pas confondre pseudonymisation et anonymisation.
• Ne pas considérer un déploiement côté serveur comme une exemption automatique si des informations restent lues ou écrites sur le terminal.
• Ne pas changer une finalité sans renouveler l’information et, lorsqu’il est requis, le consentement.
• Ne pas réutiliser un consentement entre terminaux ou comptes sans analyser les conditions spécifiques publiées par la CNIL.
• Ne pas dégrader le panier, le paiement ou l’accès au support après un refus.

À confirmer

L’inventaire réel des traceurs, la liste des responsables, les contrats des fournisseurs, les transferts et les durées restent à vérifier sur le site déployé. Une documentation commerciale ne remplace pas l’observation réseau et la configuration active.

Sans test avant choix, après refus et après retrait, la conformité technique est non mesurable. Sans données comparables, la perte de mesure et son impact business sont également non mesurables.

Historique

• 23 août 2026 : création à partir de l’article 82, de la doctrine CNIL consolidée et de l’outil d’auto-évaluation de la mesure d’audience publié en 2025.