Un site sans bandeau cookies, c'est possible

Oui, un site peut se passer de bandeau cookies, en toute légalité. Le bandeau n’est obligatoire que si le site dépose ou lit des traceurs soumis au consentement, comme ceux de la publicité ciblée ou des réseaux sociaux. Un site qui n’utilise que des traceurs indispensables, et qui mesure son audience sans cookie ou dans les conditions fixées par la CNIL, n’a rien à demander à ses visiteurs. Il faut simplement le vérifier, élément par élément.

Quand un bandeau cookies est-il obligatoire ?

La règle vient de la directive européenne « ePrivacy », transposée en France par l’article 82 de la loi Informatique et Libertés. Elle pose un principe simple : avant de stocker une information sur l’appareil du visiteur, ou d’y lire une information déjà présente, il faut son consentement. Sauf si cette opération est strictement nécessaire au service qu’il a demandé.

Le mot « cookie » est trompeur, car la règle va plus loin. La CNIL range parmi les traceurs les cookies classiques, les pixels invisibles, le calcul d’une empreinte de l’appareil (« fingerprinting ») et les identifiants générés par le système. La page de la CNIL Cookies et traceurs : que dit la loi ? en donne la liste.

Le bandeau n’est donc qu’un moyen de recueillir ce consentement. Pas de traceur soumis au consentement, pas de consentement à demander, et donc pas de bandeau.

Le bandeau sert à recueillir un consentement. Sans traceur qui l’exige, il n’a plus de raison d’être.

Les traceurs qui ne demandent pas de consentement

La CNIL cite plusieurs traceurs dispensés de consentement, parce qu’ils sont nécessaires au fonctionnement du site :

• celui qui garde en mémoire le choix du visiteur sur les cookies ;
• ceux qui servent à se connecter à un compte et à sécuriser cette connexion ;
• celui qui retient le contenu d’un panier sur une boutique en ligne ;
• ceux qui mémorisent un choix d’affichage attendu, comme la langue ;
• ceux qui répartissent la charge entre plusieurs serveurs ;
• certains outils de mesure d’audience, sous conditions.

Un site vitrine, un site de prise de rendez-vous ou même une boutique en ligne peuvent fonctionner uniquement avec ces traceurs-là.

D’où viennent les cookies d’un site ordinaire ?

Sur la plupart des sites, les traceurs soumis au consentement n’ont pas été choisis consciemment. Ils arrivent avec un outil ajouté un jour pour une raison pratique. Les plus fréquents :

Élément du site	Ce qu’il implique	Une alternative
Outil de mesure d’audience qui réutilise les données	Traceurs soumis au consentement	Outil sans cookie, ou configuré dans le cadre de l’exemption
Vidéo YouTube intégrée	Contenu chargé depuis les serveurs de Google	Image cliquable qui charge la vidéo à la demande
Carte Google Maps intégrée	Idem	Image de carte avec un lien vers l’itinéraire
Boutons de partage des réseaux sociaux	Traceurs des réseaux sociaux	Simples liens de partage, sans script
Pixel publicitaire	Traceur publicitaire	Aucune, si vous faites du reciblage : il faut le consentement
Module de discussion en ligne	Selon l’outil, traceurs tiers	Formulaire de contact, ou outil vérifié
Captcha d’un grand fournisseur	Selon l’outil, analyse du visiteur	Protection anti-robots discrète côté serveur

Les polices de caractères chargées depuis Google Fonts ne déposent pas forcément de cookie, mais elles transmettent l’adresse IP du visiteur à Google à chaque visite. Héberger les polices sur le site lui-même règle la question, et le site s’affiche souvent plus vite.

Mesurer son audience sans bandeau cookies

C’est le point qui fait hésiter la plupart des entreprises : renoncer au bandeau, est-ce renoncer à savoir combien de personnes visitent le site ? Non, il existe deux voies.

La mesure d’audience exemptée

La CNIL détaille les conditions dans sa page Cookies : solutions pour les outils de mesure d’audience. Pour être dispensé de consentement, l’outil doit :

• servir uniquement à mesurer l’audience du site, pour le seul compte de l’éditeur ;
• produire uniquement des statistiques anonymes ;
• ne pas recouper les données avec d’autres traitements, ni les transmettre à des tiers sous une forme non anonyme ;
• ne pas permettre de suivre la personne d’un site ou d’une application à l’autre.

La CNIL recommande aussi d’informer les visiteurs, par exemple dans la politique de confidentialité, de limiter la durée de vie des traceurs à treize mois et de ne pas conserver les informations collectées plus de vingt-cinq mois. Elle précise qu’un outil dont le fournisseur réutilise les données pour son propre compte sort de l’exemption, sauf s’il peut être configuré pour désactiver cette réutilisation.

La mesure sans aucun cookie

Certains outils ne déposent rien dans le navigateur et ne donnent que des chiffres globaux : nombre de visites, pages vues, provenance. C’est le choix que nous avons fait pour devolim.fr : le site ne dépose aucun cookie et mesure son audience avec Cloudflare Web Analytics, qui ne suit pas les visiteurs d’un site à l’autre, complété par un simple compteur anonyme de clics, sans identifiant. Notre page de confidentialité décrit les deux.

Ce type de mesure répond aux vraies questions d’une petite entreprise : quelles pages sont lues, d’où viennent les visiteurs, si une nouvelle page attire du monde. Il ne permet pas de suivre un individu, ce qui n’est presque jamais nécessaire pour un site vitrine.

Remplacer les contenus tiers sans perdre en qualité

Une vidéo ou une carte n’oblige pas à afficher un bandeau, à condition de ne pas les charger d’office.

La vidéo à la demande. À la place du lecteur intégré, le site affiche une image de la vidéo avec un bouton de lecture. Le lecteur ne se charge que lorsque le visiteur clique, avec une courte mention qui le prévient que la vidéo vient d’un service tiers. Autre option : héberger la vidéo sur le site lui-même, ce qui convient bien aux vidéos courtes.

La carte statique. Une image de carte et un lien « Voir l’itinéraire » suffisent pour un commerce ou un cabinet. Le visiteur ouvre son application de cartographie habituelle, ce qu’il fait de toute façon sur téléphone.

Les liens de partage. Un lien de partage vers un réseau social peut être une simple adresse, sans charger aucun script du réseau en question.

Ces choix allègent aussi la page. Moins de scripts tiers, c’est souvent un site plus rapide, comme nous l’expliquons dans notre article sur les Core Web Vitals.

Comment vérifier que votre site ne dépose aucun cookie ?

Pas besoin d’outil payant pour un premier contrôle. Dans Chrome, Firefox ou Safari :

1. Ouvrez votre site dans une fenêtre de navigation privée, pour partir de zéro.
2. Ouvrez les outils de développement du navigateur, puis l’onglet qui liste le stockage (« Application » dans Chrome, « Stockage » dans Firefox).
3. Regardez la rubrique des cookies et celle du stockage local : elles doivent être vides, ou ne contenir que des éléments indispensables.
4. Dans l’onglet « Réseau », rechargez la page et repérez les requêtes vers d’autres domaines que le vôtre : chacune mérite une question.
5. Refaites ce contrôle sur plusieurs pages, et après chaque ajout d’extension, de module ou de contenu intégré.

Sur un site construit avec un gestionnaire de contenu, ce sont souvent les extensions qui ajoutent des traceurs sans prévenir. Une refonte est un bon moment pour faire ce ménage.

Ce qu’un site sans bandeau change pour vous

Le premier bénéfice est l’expérience du visiteur : il arrive directement sur votre contenu, sans fenêtre à fermer, ce qui compte particulièrement sur un téléphone où le bandeau occupe une bonne partie de l’écran.

Il y en a d’autres :

• moins de risques : pas de consentement à prouver, pas de bandeau mal réglé ;
• un site plus léger, avec moins de scripts tiers à charger ;
• un message de confiance : vous pouvez dire clairement que le site ne suit pas ses visiteurs.

La contrepartie existe : sans consentement, pas de publicité reciblée ni de suivi individuel des visiteurs. Si vous faites de la publicité en ligne qui repose sur ces mécanismes, le bandeau redevient nécessaire, au moins sur les pages concernées.

Questions fréquentes

Un bandeau « En poursuivant votre navigation, vous acceptez les cookies » suffit-il ?

Non. Le consentement doit résulter d’une action positive de la personne, informée au préalable, et il doit être aussi simple de refuser que d’accepter. Continuer à naviguer ne vaut pas accord, et les traceurs ne peuvent pas être déposés avant ce choix.

Faut-il une politique de confidentialité si le site n’a aucun cookie ?

Oui. Dès que le site recueille des données personnelles, ne serait-ce que par un formulaire de contact, il doit expliquer ce qu’il en fait. La CNIL recommande aussi d’y décrire l’outil de mesure d’audience, même exempté.

Un site de vente en ligne peut-il se passer de bandeau ?

C’est possible, puisque les traceurs de panier, de connexion et de paiement sont dispensés de consentement. Il faut en revanche vérifier ce qu’ajoutent la plateforme de boutique, ses extensions et les outils de marketing, qui sont souvent la vraie source des traceurs.

Que risque un site qui dépose des cookies sans consentement ?

La CNIL contrôle régulièrement les sites et peut prononcer des sanctions, y compris financières, en cas de manquement à l’article 82. Au-delà du risque juridique, c’est surtout une question de confiance vis-à-vis de vos visiteurs.

Nos sites sont construits ainsi dès le départ : polices hébergées sur le site, pas de traceur publicitaire, mesure d’audience respectueuse. Pour en savoir plus, consultez notre page sites internet, ou parlez-nous de votre projet.