Une bannière cookies (cookie banner) est la partie d'un site web qui informe le visiteur des cookies et technologies similaires et lui permet d'accorder, de refuser ou d'ajuster son consentement à leur dépôt par catégorie. En République tchèque, elle est exigée par l'article 89, paragraphe 3, de la loi n° 127/2005 Rec. sur les communications électroniques, qui a remplacé le 1er janvier 2022 l'ancien régime d'opt-out par l'opt-in : les cookies non essentiels ne peuvent être déposés qu'après un consentement démontrable. Le RGPD définit le consentement valable à l'article 4, point 11, et ses conditions à l'article 7. La base européenne est la directive 2002/58/CE (ePrivacy), article 5, paragraphe 3. En République tchèque, le contrôle relève de l'Office de protection des données personnelles (ÚOOÚ), qui peut sanctionner au titre du RGPD comme de la loi sur les communications électroniques. En France, la CNIL applique les mêmes principes sur la base de l'article 82 de la loi Informatique et Libertés et de ses lignes directrices de 2020. La bannière cookies n'est donc ni une formalité ni un élément de design, mais l'outil par lequel un site obtient et documente sa base légale pour l'analyse, le marketing et la personnalisation.
La bannière cookies est-elle obligatoire ?
Oui, dès qu'un site dépose ou lit autre chose que des cookies strictement nécessaires. Seuls sont exemptés les cookies indispensables à un service expressément demandé par l'utilisateur : connexion, contenu du panier, choix de la langue ou jetons de sécurité. Dès que vous installez Google Analytics, Meta Pixel, le retargeting Sklik, Hotjar ou une vidéo YouTube intégrée, il vous faut une bannière. Cela vaut pour les sites d'entreprise, les e-shops, les blogs comme les sites associatifs. Ce qui compte n'est pas la taille du site ni son caractère commercial, mais les technologies qu'il utilise.
Que doit contenir une bannière cookies ?
- Un bouton Refuser aussi visible dès le premier niveau, de même taille et même contraste que le bouton Accepter.
- Aucune catégorie précochée : l'analyse et le marketing sont désactivés par défaut.
- Le blocage des scripts avant consentement : les codes de mesure et de publicité ne doivent pas s'exécuter tant que l'utilisateur n'a pas choisi.
- Une description claire des finalités par catégorie (nécessaires, fonctionnels, analytiques, marketing) et l'indication de qui traite les données.
- Un lien vers la politique de cookies listant les cookies concrets, leur durée de vie et leurs destinataires.
- La possibilité de modifier ou retirer son choix à tout moment, généralement via une icône ou un lien en pied de page.
- Un enregistrement du consentement : horodatage, version du texte et périmètre, pour que le responsable satisfasse à la charge de la preuve de l'article 7, paragraphe 1, du RGPD.
Quelles erreurs l'ÚOOÚ sanctionne-t-il ?
Les manquements les plus fréquents relevés par les autorités de contrôle de l'UE sont les cases précochées, les bannières sans bouton de refus, les scripts déclenchés avant tout clic et le consentement « en poursuivant la navigation ». Dans l'arrêt Planet49 (C-673/17) de 2019, la Cour de justice de l'UE a jugé sans ambiguïté qu'une case précochée n'est pas un consentement valable, faute de manifestation active de volonté. Le Comité européen de la protection des données a ajouté, dans ses lignes directrices 05/2020 sur le consentement, qu'un cookie wall (accès au contenu conditionné au consentement) n'est pas un consentement libre et que faire défiler la page ou fermer la bannière ne vaut pas acceptation. L'ÚOOÚ s'appuie sur ces interprétations lors de ses contrôles de sites tchèques ; il sanctionne surtout les cookies analytiques et marketing déposés sans consentement et les bannières qui cachent le refus dans un second niveau.
Comment déployer une bannière cookies ?
La démarche comporte quatre étapes. Identifiez d'abord les cookies réellement déposés par le site, idéalement par un scan automatique. Classez-les ensuite par catégorie et assurez-vous que les scripts non essentiels ne se chargent qu'après consentement, via Consent Mode v2 pour les outils Google. La troisième étape est la bannière elle-même, avec des boutons équivalents et un lien vers la politique. Enfin, conservez les enregistrements de consentement et offrez la possibilité de changer d'avis. Nous détaillons le volet juridique dans le guide RGPD, vous pouvez composer une bannière dans le générateur de bannière cookies, le guide de configuration vous accompagne pas à pas, et le terme consentement dispose de sa propre entrée.
Sources
- Règlement (UE) 2016/679 (RGPD), article 4, point 11, et article 7
- Directive 2002/58/CE (ePrivacy), article 5, paragraphe 3
- Loi n° 127/2005 Rec. sur les communications électroniques, article 89, paragraphe 3
- CJUE, arrêt Planet49, C-673/17
- CEPD, lignes directrices 05/2020 sur le consentement au sens du règlement 2016/679
- Office de protection des données personnelles (ÚOOÚ)