Consentement aux cookies : modalités de mise en conformité recommandées par la CNIL

Le consentement doit résulter d’un acte positif, libre et spécifique. Le refus doit être proposé avec la même simplicité que l’acceptation, sans interface trompeuse ni présélection. Le consentement peut être retiré à tout moment, selon une procédure aussi accessible que celle de son recueil. Les choix doivent être conservés pendant une durée appropriée ; six mois constitue une bonne pratique générale selon la Commission.

Les responsables de traitement doivent pouvoir démontrer la validité du consentement. Une clause contractuelle imposant à un tiers de recueillir ce consentement ne suffit pas : la preuve doit être effectivement transmise aux responsables qui souhaitent s’en prévaloir.

La recommandation est explicitement non prescriptive et non exhaustive. Des modalités différentes peuvent être employées si elles respectent les textes applicables. Certains traceurs, notamment ceux nécessaires à la navigation ou certaines mesures d’audience, peuvent être exemptés du consentement sous les conditions rappelées par la Commission.

⬇️Télécharger la décision version officielle

Ce document complète des lignes directrices relatives à l’article 82 de la loi Informatique et Libertés. Il propose des modalités pratiques, non prescriptives et non exhaustives, pour informer les utilisateurs, recueillir leur consentement, permettre son refus et organiser son retrait.

La recommandation détaille les exigences relatives aux finalités, à l’identité des responsables de traitement, au caractère positif et libre du consentement, à l’égalité entre acceptation et refus, à la conservation des choix et à la preuve du consentement. Elle traite également des traceurs exemptés et des mesures techniques favorisant la transparence.

• Informer clairement l’utilisateur avant tout recueil du consentement
• Présenter distinctement les finalités des traceurs
• Obtenir un acte positif, libre et spécifique
• Proposer le refus avec la même simplicité que l’acceptation
• Permettre le retrait du consentement à tout moment
• Conserver les choix pendant une durée appropriée
• Être capable de démontrer la validité du consentement

• Versions horodatées du code ou condensats publiés
• Captures d’écran horodatées des interfaces de consentement
• Audits réguliers des mécanismes de recueil
• Historique horodaté des outils et configurations successives

• Information détaillée sur les finalités et les responsables
• Acceptation et refus proposés au même niveau d’accessibilité
• Conservation documentée des choix exprimés
• Preuve horodatée du consentement et de ses modalités
• Retrait accessible depuis toutes les pages ou écrans
• Vérification des traceurs exemptés et de leurs durées

À faire

• Décrire chaque finalité en termes clairs
• Décocher les cases et désactiver les interrupteurs par défaut
• Afficher le refus aussi directement que l’acceptation
• Conserver les choix et leurs versions techniques
• Prévoir un retrait accessible à tout moment

À éviter

• Déposer un traceur soumis au consentement avant le choix
• Présenter un refus plus difficile que l’acceptation
• Utiliser un design visuellement trompeur
• Se contenter d’une clause contractuelle pour prouver le consentement
• Renouveler inutilement les demandes à chaque page

Le consentement aux traceurs soumis à l’article 82

nLe consentement doit être précédé d’une information claire sur les finalités, les responsables de traitement et les conséquences du choix. Il résulte d’un acte positif, libre et spécifique. Les cases doivent être décochées et les interrupteurs désactivés par défaut. L’acceptation et le refus doivent être proposés avec un degré de simplicité identique, sans design trompeur.n

Le refus et le retrait du consentement aux traceurs

nToute inaction ou action autre qu’un acte positif de consentement vaut refus ; aucune opération soumise au consentement ne peut alors avoir lieu. Le retrait doit rester possible à tout moment, selon une procédure aussi simple que le recueil. Les choix doivent être conservés pendant une durée appropriée ; six mois constitue une bonne pratique générale.n

La preuve du consentement aux traceurs

nLes responsables de traitement doivent pouvoir démontrer à tout moment la validité du consentement. Une simple clause contractuelle mettant le recueil à la charge d’un tiers ne suffit pas. La preuve doit être mise à disposition des autres responsables. La recommandation cite notamment le code horodaté, les captures d’écran, les audits et les configurations successives des outils.