Cookies, intégrations et consentement

Module 7: Confidentialité et règles · Temps de lecture : 11 minutes

Objectif pédagogique: À l'issue de cette leçon, vous saurez expliquer quand un consentement est nécessaire pour les cookies et les codes de mesure, configurer la bannière cookies de votre site AI Builder, connecter des services de mesure pour qu'ils ne se chargent qu'après consentement, et vérifier avec votre navigateur que rien n'est mesuré avant le choix d'un visiteur.

Notions clés: cookie, équipement terminal, consentement, cookies nécessaires, traceurs de mesure d'audience exemptés, cookies de suivi, bannière cookies, intégration, identifiant de mesure, code personnalisé, Paramètres des cookies

Cette leçon explique les règles telles qu'elles s'appliquent au 10 novembre 2026. Il ne s'agit pas d'un conseil juridique. En cas de doute sur votre situation, adressez-vous à un juriste ou à votre organisation professionnelle.

Ce que dit la règle

Un cookie est un petit fichier qu'un site web dépose dans le navigateur du visiteur. La règle s'applique aussi aux autres formes de stockage dans le navigateur, aux pixels et aux scripts qui reconnaissent un appareil.

Dans l'UE, la base se trouve dans la directive ePrivacy (2002/58/CE), article 5, paragraphe 3: stocker des informations sur l'appareil d'un utilisateur, ou y lire des informations, n'est permis que si cet utilisateur a reçu une information claire et complète et a donné son consentement. Une exception existe pour ce qui est techniquement nécessaire pour assurer la communication, ou strictement nécessaire au service que le visiteur demande lui-même.

Chaque pays de l'UE a transposé cette règle dans sa propre loi. En France, il s'agit de l'article 82 de la loi Informatique et Libertés. La France prévoit en outre une exemption pour la mesure d'audience: la CNIL dispense de consentement les traceurs de mesure d'audience, à condition qu'ils aient un impact strictement limité sur la vie privée. Ces conditions sont strictes: finalité limitée à la mesure d'audience du site, statistiques anonymes agrégées, pas de recoupement ni de transmission à des tiers, durée limitée. On parle alors de traceurs de mesure d'audience exemptés. Google Analytics ne remplit en général pas ces conditions. Retenez deux choses:

• Même sans obligation de consentement, vous traitez souvent des données personnelles (une adresse IP). Le RGPD s'applique alors: il vous faut une base légale et vous le mentionnez dans votre politique de confidentialité (leçon 7.1).
• D'autres pays sont parfois plus stricts; si vous avez beaucoup de visiteurs étrangers, vérifiez ce qu'en dit l'autorité de contrôle du pays concerné. Pour la France, consultez la CNIL.

Les cookies de suivi et tout ce qui suit les visiteurs, établit des profils ou sert à la publicité exigent toujours un consentement préalable. Ce consentement doit être libre et spécifique: ne rien faire ou poursuivre la navigation ne vaut pas consentement. L'autorité néerlandaise de protection des données, l'Autoriteit Persoonsgegevens (AP), donne par exemple quatre règles pratiques pour une bannière claire: indiquez à quoi servent vos cookies, rendez le refus aussi simple que l'acceptation, rendez la possibilité de modifier son choix plus tard tout aussi simple, et séparez bien consentement et opposition.

Comment l'AI Builder s'en charge

Le constructeur classe tout ce qui, sur votre site, provient de tiers en quatre catégories, avec l'explication que voient aussi vos visiteurs:

Si quelque chose qui n'est pas Nécessaires fonctionne sur votre site, le constructeur active la bannière cookies automatiquement. Dans les paramètres, vous voyez alors La bannière cookies est activée automatiquement, avec les services qui l'exigent, et l'interrupteur ne peut pas être désactivé tant que ces services sont actifs. Tout ce qui ne relève pas de Nécessaires ne se charge qu'une fois que le visiteur a donné son consentement pour cette catégorie:

• Une intégration (comme Google Analytics) figure dans la page sous forme de script inactif. Ce n'est qu'après consentement pour Statistiques que le site l'active.
• Un widget (carte, outil de prise de rendez-vous, vidéo) affiche d'abord un encadré avec « Ce bloc provient de Google Maps et ne se charge que si vous autorisez Fonctionnels. » et un bouton Autoriser et afficher. Une vidéo YouTube utilise la variante sans cookies jusqu'à sa lecture; elle aussi attend le consentement.
• Si un visiteur retire son consentement, le site supprime les cookies connus de cette catégorie. Si un service est ajouté plus tard, la bannière redemande le consentement.

En bas de chaque page figure alors le bouton Paramètres des cookies, qui permet à un visiteur de modifier son choix à tout moment.

Paramètres > Cookies et consentement

En haut, vous voyez l'état: quels services fonctionnent et dans quelle catégorie. En dessous, vous configurez:

• Afficher la bannière cookies: activé ou désactivé. Si rien ne provient de tiers, le constructeur indique « Aucun cookie tiers » et une bannière n'est pas obligatoire.
• Affichage: Barre en bas ou Encadré en bas à droite. Vous voyez immédiatement la bannière dans l'aperçu.
• Le visiteur peut choisir par catégorie: activé, le visiteur dispose, en plus de Tout accepter et Nécessaires uniquement, de Choisir ce que vous autorisez. Désactivé, seuls les deux boutons s'affichent. Si vous utilisez des services de plusieurs catégories (une carte et Google Analytics), activez cette option: les autorités de protection des données, comme l'AP néerlandaise, demandent un choix par finalité.
• Texte de la bannière: vide, c'est le texte standard qui s'affiche. Si vous rédigez votre propre texte, indiquez réellement à quoi servent vos cookies.
• Bouton Accepter et Bouton Refuser: les textes des boutons. Gardez le bouton de refus explicite. « Nécessaires uniquement » ou « Rejeter » conviennent; « Plus tard » ou « Peut-être » non, car le visiteur ne sait alors pas ce qu'il choisit.
• Page de confidentialité: la page vers laquelle renvoie En savoir plus sur la confidentialité (leçon 7.1).

La mise en forme est gérée par le constructeur: dans la bannière, le bouton d'acceptation et le bouton de refus ont le même style, afin que refuser soit aussi simple qu'accepter. C'est aussi ce que demande l'AP néerlandaise. Vérifiez sur votre téléphone et votre ordinateur que les deux boutons sont bien visibles et faciles à toucher.

Paramètres > Intégrations

Dans Intégrations, vous saisissez uniquement le numéro ou le code fourni par le service; le constructeur ajoute le reste. La liste est répartie en trois groupes: Statistiques, Sans cookies et Marketing et publicité.

Vous pouvez également connecter LinkedIn Insight Tag, Hotjar et Microsoft Clarity. Après Connecter, le constructeur affiche « Ce service dépose des cookies, la bannière cookies est donc maintenant activée. » Sur l'adresse gratuite, Google Analytics 4, Google Ads, le pixel Meta, LinkedIn, Clarity et Plausible fonctionnent; Google Tag Manager, Hotjar et le code personnalisé ne sont disponibles que sur un site avec forfait.

Pourquoi Plausible figure-t-il sous Nécessaires? Plausible mesure sans cookies et sans rien stocker sur l'appareil, la règle sur les cookies ne s'applique donc pas et le constructeur le charge sans bannière. Le RGPD reste applicable: mentionnez-le dans votre politique de confidentialité. Le constructeur traite toujours Google Analytics 4 comme Statistiques avec consentement, même s'il tronque l'adresse IP. C'est le choix prudent: la possibilité d'utiliser Analytics sans consentement dépend de nombreux réglages.

Trois pièges:

1. Coller un code de mesure dans le chat ou dans un widget. Le constructeur vous renvoie alors vers Paramètres, Intégrations: ce n'est qu'à cet endroit que la bannière en a connaissance.
2. Déclarer un code personnalisé comme nécessaire. Sous Intégrations, vous trouvez tout en bas Code personnalisé. La bannière y bloque les scripts de services connus. Avec l'interrupteur Ce code est indispensable, le code se charge immédiatement, même sans consentement. Ne choisissez cette option que pour un code dont votre site a besoin et qui ne suit personne. Si le constructeur signale des adresses qu'il ne reconnaît pas, ne le déclarez pas comme nécessaire.
3. Tag Manager comme boîte noire. Le constructeur ne charge le conteneur qu'après consentement pour Marketing, mais il ne voit pas ce qu'il contient. Vous êtes responsable de chaque balise qui s'y trouve.

Tester vous-même

Vérifiez-le après chaque nouvelle intégration, et mettez aussi à jour votre politique de confidentialité (leçon 7.1):

1. Ouvrez votre vrai site (pas l'aperçu dans le constructeur) dans une fenêtre de navigation privée.
2. Ouvrez les outils de développement de votre navigateur (souvent F12) et choisissez l'onglet Réseau. Rechargez la page.
3. Recherchez des requêtes vers des services comme google-analytics.com, googletagmanager.com ou facebook.net. Avant votre choix, rien ne doit y figurer.
4. Cliquez sur Tout accepter et regardez à nouveau: elles apparaissent maintenant.
5. Cliquez en bas de page sur Paramètres des cookies, choisissez Nécessaires uniquement et vérifiez dans l'onglet consacré au stockage et aux cookies de votre site (dans Chrome Application, dans Firefox Stockage) que les cookies _ga ont disparu.

Résumé

• La directive ePrivacy (en France, l'article 82 de la loi Informatique et Libertés) exige un consentement pour les cookies et techniques similaires, sauf pour ce qui est strictement nécessaire; la CNIL exempte aussi certains traceurs de mesure d'audience sous conditions strictes.
• Refuser doit être aussi simple qu'accepter, et modifier son choix plus tard aussi.
• L'AI Builder active automatiquement la bannière dès qu'un élément exige un consentement et ne charge les intégrations, widgets et vidéos qu'après consentement pour leur catégorie.
• Saisissez les services de mesure dans Paramètres > Intégrations, pas dans le chat ni dans un widget; ne déclarez un code personnalisé comme nécessaire que s'il ne suit personne.
• Après chaque nouvelle intégration, testez dans une fenêtre de navigation privée avec l'onglet Réseau.

Quiz

Exercice

Exercice A7.2: Aucun code de mesure sans consentement. Connectez si vous le souhaitez un service de mesure via Paramètres > Intégrations, remettez votre site en ligne et saisissez l'adresse web de votre site AI Builder. Le programme ouvre vos pages comme le ferait un nouveau visiteur qui n'a encore rien choisi, sans cookies et sans exécuter de JavaScript. Il vérifie si un script de mesure ou de publicité (comme Google Analytics, Tag Manager, Google Ads ou le pixel Meta) se charge directement au lieu d'attendre le consentement, si des cookies de tels services sont déposés, et si une bannière cookies figure sur la page lorsque votre site utilise des services de tiers. Si vous n'utilisez aucun service de tiers, ou uniquement Plausible, c'est également correct.

Pour aller plus loin

• Règles pratiques pour des bannières cookies claires (Autoriteit Persoonsgegevens, source néerlandaise, en néerlandais): https://autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/vuistregels-heldere-cookiebanners
• Cookies (Autoriteit Persoonsgegevens, source néerlandaise, en néerlandais): https://autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies
• Mesurer les visiteurs sans bannière de cookies
• Loi néerlandaise sur les télécommunications, article 11.7a (wetten.overheid.nl, source néerlandaise): https://wetten.overheid.nl/BWBR0009950/
• Formation gratuite Être trouvé en ligne 8.1: Mesurer avec un outil d'analyse respectueux de la vie privée