Comment rédiger une politique de cookies : guide pas à pas + modèle

Le bandeau cookies est la partie que tout le monde voit, c'est donc lui qui concentre l'attention. La politique de cookies — le document vers lequel le bandeau renvoie — est généralement expédiée en cinq minutes en copiant celle d'un autre site. C'est pourtant le premier document qu'une autorité de protection des données ouvre lors d'un contrôle. La bonne nouvelle : en rédiger une correcte n'a rien de compliqué. Dans ce guide, nous voyons ce qu'une politique de cookies doit contenir, comment la construire pas à pas à partir d'une structure type, et comment la maintenir à jour sans la réécrire à la main chaque mois.

Qu'est-ce qu'une politique de cookies et pourquoi en avez-vous besoin

Une politique de cookies est une page accessible publiquement qui indique aux visiteurs quels cookies et technologies similaires votre site web stocke, à quoi ils servent, combien de temps ils restent dans le navigateur et comment retirer le consentement qui leur a été donné.

L'obligation ne découle pas d'une disposition unique, mais de la combinaison de trois textes :

• Le RGPD (articles 12 et 13) — si les cookies traitent des données personnelles (et les autorités considèrent les identifiants comme _ga ou _fbp comme des données personnelles), vous devez informer sur ce traitement de manière transparente.
• Les transpositions nationales d'ePrivacy — partout dans l'UE, le dépôt de cookies exige un consentement opt-in, avec une exception pour les cookies strictement nécessaires. Le consentement n'est valable que s'il est éclairé — et c'est précisément la politique qui fournit cette information.
• La directive ePrivacy — le socle européen sur lequel reposent les règles nationales.

En pratique, tout se résume à une chose : sans politique de cookies, pas de consentement valable. Un bandeau cookies qui renvoie vers une page vide ou inexistante collecte des consentements qui ne résisteraient pas à un contrôle.

Politique de cookies vs politique de confidentialité

Deux documents que même les propriétaires de sites expérimentés confondent :

• La politique de confidentialité couvre l'ensemble des traitements de données personnelles — commandes, newsletters, facturation, réclamations, vidéosurveillance.
• La politique de cookies traite exclusivement des cookies et technologies similaires : localStorage, pixels de suivi, SDK tiers.

Vous pouvez fusionner les deux en un seul document, mais nous le déconseillons. Les cookies changent bien plus souvent que le reste de vos traitements — chaque nouvel outil marketing apporte les siens. Une page autonome est plus facile à tenir à jour, et le bandeau cookies peut y renvoyer directement au lieu de pointer vers la page dix d'un roman sur la confidentialité.

Ce qu'une politique de cookies doit contenir

Une checklist des éléments obligatoires qu'aucun document final ne doit omettre :

• Qui est le responsable de traitement — raison sociale, numéro d'immatriculation et coordonnées.
• Ce que sont les cookies — deux ou trois phrases en langage simple.
• Quels cookies le site utilise réellement — un tableau avec le nom du cookie, le fournisseur, la finalité, la durée de vie et la catégorie. C'est le cœur du document et la partie qui manque le plus souvent.
• Les catégories de cookies — nécessaires, préférences, analytiques, marketing — et à quoi sert chacune.
• La base légale — les cookies strictement nécessaires fonctionnent sans consentement ; tout le reste l'exige.
• Les tiers et les transferts hors UE — Google, Meta, Hotjar et consorts, avec les informations sur les transferts de données vers des pays tiers.
• Comment retirer son consentement — une procédure concrète, idéalement un lien ou un bouton qui rouvre le bandeau cookies.
• Comment gérer les cookies dans le navigateur — des liens vers les pages d'aide de Chrome, Firefox, Safari et Edge.
• La date de la dernière mise à jour — sans elle, personne (vous y compris) ne peut savoir si le document correspond encore à la réalité.

Comment rédiger une politique de cookies pas à pas

Étape 1 : identifiez les cookies que votre site utilise réellement

L'erreur la plus fréquente consiste à rédiger la politique de mémoire, d'après ce que vous pensez tourner sur le site. La réalité est souvent différente — un développeur a ajouté Hotjar un jour, le plugin d'avis a apporté son propre suivi, et la vidéo YouTube intégrée dépose elle aussi des cookies. Ouvrez le site dans une fenêtre de navigation privée avec les DevTools (onglet Application, section Cookies), ou épargnez-vous ce travail avec un scanner de cookies automatique. Nous détaillons tout le processus dans Audit des cookies : comment savoir quels cookies vous utilisez.

Étape 2 : classez les cookies par catégories

Le standard, ce sont quatre catégories : nécessaires (connexion, panier, enregistrement du consentement lui-même), préférences (langue, devise), analytiques (Google Analytics, Matomo) et marketing (Google Ads, Meta Pixel). Important : votre bandeau cookies doit utiliser les mêmes catégories. Si le bandeau propose trois catégories et que la politique en décrit quatre, le consentement ne correspond pas à la documentation.

Étape 3 : construisez le tableau des cookies

Pour chaque cookie, indiquez cinq éléments : le nom, le fournisseur, la finalité, la durée de vie et la catégorie. Exemple de ligne : cookie _ga, fournisseur Google Analytics, finalité distinguer les visiteurs pour les statistiques de fréquentation, durée de vie 2 ans, catégorie analytique. Cela semble fastidieux — et à la main, ça l'est, surtout avec trente cookies sur le site. C'est pourquoi Consentio génère cette partie automatiquement à partir des résultats de scan.

Étape 4 : décrivez comment retirer son consentement

L'article 7, paragraphe 3, du RGPD précise que retirer son consentement doit être aussi simple que le donner. En pratique, la politique doit contenir une phrase du type « Vous pouvez modifier vos réglages de cookies à tout moment en cliquant sur le bouton Paramètres des cookies » — et ce bouton doit réellement exister, généralement dans le pied de page du site.

Étape 5 : reliez la politique au bandeau cookies

Le bandeau renvoie vers la politique, la politique renvoie vers les paramètres du bandeau. La boucle est bouclée et les visiteurs peuvent accéder à ce dont ils ont besoin depuis chacun des deux côtés. À quoi doit ressembler le bandeau lui-même, nous le détaillons dans Bandeau cookies : comment le configurer correctement selon le RGPD.

Une structure type pour votre politique de cookies

Si vous partez d'une page blanche, ce plan couvre tout l'essentiel :

1. Qui nous sommes — identification du responsable de traitement et coordonnées
2. Ce que sont les cookies et pourquoi nous les utilisons
3. Quelles catégories de cookies nous distinguons
4. Tableau des cookies spécifiques (nom, fournisseur, finalité, durée de vie, catégorie)
5. Qui d'autre a accès aux cookies (tiers, transferts hors UE)
6. Comment donner et retirer son consentement
7. Comment bloquer ou supprimer les cookies dans le navigateur
8. Date de la dernière mise à jour

Les erreurs les plus fréquentes dans les politiques de cookies

1. Un document copié d'un autre site. Il décrit des cookies que vous n'avez pas et ne dit rien de ceux que vous avez. Lors d'un contrôle, c'est pire que pas de document du tout — cela prouve que vous n'avez aucune vue d'ensemble de vos propres traitements.
2. Pas de tableau des cookies spécifiques. Un vague « nous utilisons des cookies analytiques et marketing » ne satisfait pas à l'exigence de transparence. Les autorités veulent voir des cookies concrets avec leurs durées de vie.
3. La politique et le bandeau ne concordent pas. Le bandeau mentionne d'autres catégories ou d'autres outils que le document. Typiquement après que le marketing a ajouté un nouveau pixel sans que personne ne mette la politique à jour.
4. Un lien mort depuis le bandeau. Le site a été refondu, la page de la politique a changé d'URL, et le lien du bandeau mène désormais vers une 404. Un consentement collecté sans information accessible n'est pas valable.
5. Le document a été rédigé une fois puis laissé intact pendant un an. Un site web moyen ajoute ou modifie des cookies plusieurs fois par an — à chaque nouvel outil, plugin ou campagne.

Comment garder la politique à jour sans travail manuel

Une politique de cookies n'est pas un document que l'on rédige une fois pour toutes. C'est la documentation vivante de votre site web — et les mises à jour manuelles sont exactement le genre de tâche qui finit toujours par être oubliée.

C'est pourquoi nous avons créé le générateur de politique de cookies de Consentio, qui assemble le document automatiquement à partir de scans réguliers de votre site : le tableau des cookies, les catégories, les durées de vie et les tiers se remplissent d'eux-mêmes et se régénèrent à chaque changement. Il ne vous reste qu'à placer le lien dans votre bandeau et votre pied de page. Avec le scanner et le bandeau cookies, l'ensemble de la mise en place prend quelques minutes — l'offre gratuite suffit. Et si vous voulez être sûr que tout le reste est couvert aussi, parcourez notre checklist de conformité RGPD sur les cookies.