Cookies sur un site d’indépendant : le minimum légal belge

En bref. Aucun cookie non essentiel ne peut être déposé avant que le visiteur ait dit oui. Le bouton Refuser doit être aussi visible que le bouton Accepter. Le visiteur doit pouvoir changer d’avis en un clic. Le plus simple reste un site sans cookie à consentir : il n’a pas besoin de bandeau.

Vous avez un site vitrine avec un formulaire, Google Analytics et un bandeau « Ce site utilise des cookies, OK ». Ce bandeau ne vaut rien. Il informe sans demander, et Analytics tourne déjà. L’Autorité de protection des données (APD) le dit en tête de sa check-list : aucun cookie non strictement nécessaire avant un consentement valable.

Les cinq conditions d’un consentement valable

La check-list de l’APD date de 2023 et reste en vigueur. Elle fixe cinq conditions :

1. Avant tout dépôt. Rien n’est déposé avant le clic, sauf les cookies techniques. Le script d’Analytics attend que le visiteur accepte.
2. Libre. Le site ne se bloque pas tant qu’on n’accepte pas. Le bouton « refuser tous les cookies non essentiels » est « au même niveau » que « accepter tous les cookies ». Un bouton Paramètres ne compte pas comme refus. Pas de piège visuel non plus, comme un Accepter vif à côté d’un Refuser gris pâle.
3. Par usage. Au plus tard dans un deuxième écran, le visiteur choisit usage par usage : statistiques, publicité propre ou de tiers, réseaux sociaux. Un cookie sert un seul usage.
4. Informé. Le premier écran dit qui dépose les cookies et pourquoi. Il explique comment accepter ou refuser, ce que le refus change, et que le visiteur peut changer d’avis. Le deuxième écran liste chaque cookie avec son usage, sa durée et ses destinataires.
5. Actif. Continuer à naviguer, fermer le bandeau ou laisser une case précochée ne vaut pas accord. L’accord aux cookies ne se mélange pas avec l’acceptation des conditions générales.

Trois règles complètent la liste :

1. retirer son accord est aussi simple que le donner, en un clic, et le cookie est alors supprimé ;
2. le choix du visiteur se garde 6 mois, une durée que l’APD juge en principe raisonnable ;
3. gardez une trace : conservez les versions de votre bandeau et datez votre politique cookies.

Les cookies qui n’ont pas besoin d’accord

Deux familles sont dispensées. Les cookies techniques, comme ceux qui sécurisent la session. Et ceux qu’exige un service demandé par le visiteur : la langue choisie, le panier, la mémoire de son choix de cookies. Pour eux, une simple information suffit.

L’APD s’applique la règle. Ses cookies de session et de langue sont déposés d’office. Son outil de mesure, Plausible, ne tourne que « si vous avez donné votre consentement ».

Le reste demande un oui. Statistiques, vidéos YouTube intégrées (qui déposent des cookies Google dès le chargement), cartes Google Maps, boutons de partage, pixels publicitaires, chat externe.

Le plus simple : se passer de bandeau

Pour un site vitrine, la voie la plus courte n’est pas un bon bandeau. C’est un site sans cookie à consentir. Les remplacements sont faciles :

Au lieu de	Prenez
Google Analytics	une mesure sans cookie : Plausible, Cloudflare Web Analytics, Matomo sans cookie
Vidéo YouTube classique	le mode « nocookie » (youtube-nocookie.com) ou une image qui charge le lecteur au clic
Carte Google Maps	une image fixe avec un lien vers l’itinéraire
Boutons de partage	rien, personne ne clique dessus

Vous gardez le nombre de visites et les pages vues. Vous perdez le profilage, que vous n’utilisiez pas.

Votre site ne dépose alors que des cookies nécessaires, souvent aucun. Plus de bandeau, une ligne dans la politique de confidentialité, et un site plus rapide. C’est le réglage que nous recommandons.

Si vous gardez des cookies à consentement

Ce point ne concerne que les sites qui gardent des statistiques classiques, des vidéos ou de la publicité.

1. Prenez un gestionnaire de consentement qui bloque les scripts avant le clic. Les modules gratuits ratent souvent ce point.
2. Affichez deux boutons de même poids : Accepter et Refuser.
3. Ajoutez un lien permanent « Gérer les cookies » en bas de page.
4. Listez chaque cookie avec sa durée dans la politique.
5. Testez en navigation privée. Avant tout clic, l’onglet Application du navigateur ne doit montrer que les cookies techniques.

Le bandeau ne suffit pas seul. Votre site doit aussi porter des mentions légales : nom, adresse, e-mail, téléphone, numéro d’entreprise. Un formulaire qui collecte un nom ou un e-mail demande en plus une politique de confidentialité. Les outils du site génèrent ces deux pages en quelques minutes.

Ce que vous faites maintenant

1. Ouvrez votre site en navigation privée, sans rien cliquer. Regardez les cookies déposés dans les outils de développement (onglet Application ou Stockage) et notez-les.
2. Pour chaque cookie non technique, tranchez : on le supprime, on le remplace, ou on le soumet à accord.
3. Plus rien à consentir ? Retirez le bandeau et décrivez vos cookies techniques dans la politique de confidentialité.
4. Sinon, installez un gestionnaire qui bloque avant le clic. Deux boutons égaux, un retrait en un clic, un choix gardé 6 mois au plus.
5. Profitez-en pour relire vos mentions légales. Visiteurs et contrôleurs les regardent en premier.

Vous créez votre site en même temps que votre activité ? Le sujet a sa place dans les étapes du lancement. Des outils sans cookie sont listés dans l’annuaire.

Le relevé des cookies et le bandeau ont leur place dans la checklist de mise en ligne.