Générez une politique de cookies
conforme RGPD en quelques secondes

Ce qu'une politique de cookies conforme au RGPD doit contenir

Une politique de cookies est un document distinct de la politique de confidentialité générale. En vertu de l'article 13(1) du RGPD, elle doit indiquer l'identité et les coordonnées du responsable de traitement, la finalité de chaque cookie, la base légale du traitement, les durées de conservation, les destinataires des données (Google, Meta, Microsoft Clarity, etc.), tout transfert vers des pays tiers, et un résumé clair des droits de la personne concernée : accès, rectification, effacement, opposition et portabilité.

L'examen 2023 de l'ICO sur les sites de médias britanniques a révélé que la majorité utilisait encore des mentions génériques sur les cookies (« nous utilisons des cookies pour améliorer votre expérience ») ou des listes obsolètes (« nous utilisons Google Analytics » alors que le site chargeait en réalité Hotjar, Microsoft Clarity et trois pixels de reciblage). La CNIL a été encore plus stricte : ses actions de 2022 contre Google et Meta portaient précisément sur des mécanismes de divulgation des cookies qui ne correspondaient pas à ce que les sites chargeaient réellement.

Le générateur Consentio connecte automatiquement les résultats du scanner au modèle de politique. Pour chaque cookie détecté, le document inclut le nom, le fournisseur, la finalité, la durée de vie et la catégorie. Les mentions relatives à la base légale et aux droits des personnes concernées proviennent directement des lignes directrices 05/2020 du CEPD sur le consentement : vous n'avez donc pas à deviner quelle formulation un régulateur britannique ou européen acceptera.

Le transfert transfrontalier de données fait l'objet d'une attention particulière. Si le site utilise un service de Google (Analytics, Ads, Maps) ou de Meta (Pixel, Conversions API), le générateur inclut une mention sur les transferts de données vers les États-Unis dans le cadre des clauses contractuelles types (CCT) et du cadre de protection des données UE-États-Unis, adopté par la Commission européenne en juillet 2023. C'est une exigence de l'article 13(1)(f) du RGPD, et c'est la raison la plus courante pour laquelle des politiques échouent aux audits depuis la décision Schrems II.