« Bandeau », « avis », « notice », « politique de cookies », « politique de confidentialité » : ces mots se mélangent dans les modèles qu'on trouve en ligne, et beaucoup d'éditeurs de sites ne savent plus ce que la CNIL attend vraiment. Cet article remet chaque élément à sa place : ce qu'il est, ce qu'il doit contenir, comment les relier et quelles erreurs reviennent le plus souvent. Pour tout ce qui concerne le bandeau lui-même (boutons, design, durée de conservation du choix), consultez notre guide du bandeau cookies conforme au RGPD.
Bandeau cookies ou politique de cookies : la différence
Le bandeau cookies et la politique de cookies répondent à deux obligations distinctes : informer et recueillir le consentement.
- Le bandeau cookies s'affiche à la première visite. Il explique en quelques phrases pourquoi le site utilise des cookies, propose « Tout accepter » et « Tout refuser » avec le même poids visuel, donne accès à un choix par finalité et bloque les cookies non essentiels tant que l'internaute n'a pas décidé.
- La politique de cookies est une page à part entière, accessible depuis le bandeau et le pied de page. Elle détaille chaque cookie et explique comment retirer son consentement.
Le bandeau recueille un choix, la politique de cookies documente ce sur quoi porte ce choix. L'un ne remplace pas l'autre : un bandeau sans politique de cookies n'informe pas assez, une politique de cookies sans bandeau ne recueille aucun consentement.
Et la « notice cookies » ?
Le terme vient de l'anglais cookie notice. Selon les sites, il désigne soit le bandeau, soit la page qui liste les cookies. En France, on parle plutôt de bandeau (ou bannière) et de politique de cookies. Peu importe le nom : ce qui compte est que les deux fonctions existent.
Pourquoi le bandeau ne suffit pas à informer
L'article 82 de la loi Informatique et Libertés, qui transpose l'article 5(3) de la directive ePrivacy, impose une information claire et complète avant tout dépôt de cookie non essentiel, puis un consentement préalable. Ce consentement doit respecter les conditions du RGPD : libre, spécifique, éclairé et univoque.
Pour qu'il soit « éclairé », l'information doit être précise. Dans l'arrêt Planet49 (C-673/17, 2019), la Cour de justice de l'Union européenne a jugé que l'internaute doit connaître la durée de fonctionnement des cookies et la possibilité ou non pour des tiers d'y accéder. Ces détails ne tiennent pas dans un bandeau de trois lignes : c'est le rôle de la politique de cookies, en deuxième couche.
Les lignes directrices et la recommandation de la CNIL d'octobre 2020 vont dans le même sens : le premier niveau d'information présente les finalités de façon concise, et un lien permet d'accéder au détail, notamment à la liste des responsables de traitement.
Concrètement, un bandeau qui se contente de « Ce site utilise des cookies. OK » n'est conforme que si le site ne dépose que des cookies strictement nécessaires. Dès qu'il y a de la mesure d'audience non exemptée ou de la publicité, il faut un vrai choix.
Politique de confidentialité et cookies : qui contient quoi ?
La politique de confidentialité est plus large que la politique de cookies. Les articles 13 et 14 du RGPD imposent d'informer les personnes sur tous les traitements de leurs données : identité du responsable, finalités, bases légales, durées de conservation, destinataires, transferts hors de l'Union européenne et droits. Les cookies ne sont qu'une source de données parmi d'autres (formulaire de contact, commandes, newsletter, compte client).
On obtient donc trois niveaux :
- La politique de confidentialité : toutes les données personnelles, tous les traitements, tous les droits.
- La politique de cookies : les cookies et traceurs uniquement, cookie par cookie.
- Le bandeau cookies : un résumé des finalités et le choix de l'internaute.
Vous pouvez intégrer la politique de cookies dans la politique de confidentialité, sous forme de section dédiée, ou la publier sur une page séparée. Les deux approches sont admises. Une page séparée est plus simple à tenir à jour et à relier depuis le bandeau, ce qui explique que la plupart des CMP en génèrent une.
Ce que chaque document doit contenir
Le bandeau cookies
- Les finalités, en mots simples (mesurer l'audience, afficher de la publicité ciblée, mémoriser des préférences).
- Les boutons « Tout accepter » et « Tout refuser » au même niveau, et un accès au paramétrage.
- Un lien vers la politique de cookies et vers la liste des partenaires.
- Un moyen de revenir sur son choix à tout moment (icône flottante ou lien en pied de page).
Pour des formulations prêtes à adapter, voyez nos exemples de texte cookies pour site internet.
La politique de cookies
- Une courte explication de ce que sont les cookies et traceurs.
- La liste des cookies par catégorie : nom, émetteur, finalité, durée, cookie interne ou tiers.
- Les catégories soumises au consentement et celles qui en sont exemptées.
- La façon de retirer son consentement et de gérer les cookies depuis le navigateur.
- La date de dernière mise à jour.
Notre guide de la politique de cookies détaille chaque rubrique avec un modèle de structure.
La politique de confidentialité
- Le responsable de traitement et ses coordonnées (et le DPO s'il y en a un).
- Chaque traitement avec sa finalité, sa base légale, sa durée de conservation et ses destinataires.
- Les droits des personnes et la possibilité de saisir la CNIL.
- Un lien vers la politique de cookies.
Avant de rédiger quoi que ce soit, il faut savoir quels cookies votre site dépose réellement, pas ceux que vous croyez déposer. Vérifiez en 30 secondes quels cookies votre site dépose avec le scanner gratuit, puis comparez le résultat avec votre politique de cookies actuelle.
Bandeau d'information ou bandeau de consentement ?
C'est la confusion la plus fréquente derrière la question « bandeau cookies ou politique de cookies ».
- Bandeau d'information seul : acceptable uniquement si le site ne dépose que des cookies exemptés (session, panier, équilibrage de charge, sécurité, certaines mesures d'audience configurées selon les conditions de la CNIL). Il reste une bonne pratique, pas une obligation.
- Bandeau de consentement : obligatoire dès qu'un cookie non exempté est déposé. Poursuivre la navigation ne vaut pas consentement, et le refus doit être aussi simple que l'acceptation.
Bloquer l'accès au site tant que l'internaute n'a pas accepté (le « cookie wall ») est une autre tentation. La CNIL l'examine au cas par cas, en regardant notamment si une alternative réelle est proposée ; notre article sur le cookie wall et ses alternatives légales détaille les conditions.
Pour un site qui vise aussi les États-Unis, le CCPA californien fonctionne différemment (opt-out et lien « Do Not Sell or Share ») : voir notre page sur le CCPA et le CPRA.
FlowConsent illustre bien le lien entre les couches : le panneau de paramétrage du bandeau affiche la liste des cookies générée à partir des services activés, si bien que l'internaute voit les mêmes noms et durées que dans la politique de cookies, sans quitter la page.
Les erreurs les plus courantes
- Un bouton « OK » présenté comme un consentement. Un bouton unique qui prend acte, c'est de l'information, pas un consentement.
- Une politique de cookies qui ne correspond pas au site. Elle liste cinq cookies, le site en dépose vingt. C'est l'un des constats les plus fréquents lors d'un audit. Refaites un scan après chaque nouveau tag ou module.
- Aucun lien entre les couches. Le bandeau doit renvoyer vers la politique de cookies, et la politique de cookies doit permettre de rouvrir le bandeau.
- Un modèle copié tel quel. Un modèle donne la structure, pas le contenu : les noms, durées et émetteurs doivent être les vôtres.
- Pas de date de mise à jour. Sans elle, impossible de savoir si la politique reflète le site actuel.
- Une politique de confidentialité fourre-tout. Si vous y intégrez les cookies, donnez-leur une section clairement titrée.
Comment FlowConsent gère le bandeau et la politique de cookies
FlowConsent réunit les deux premières couches. Le bandeau présente les finalités par catégorie, les boutons « Tout accepter » et « Tout refuser » et un panneau de paramétrage, et il bloque les scripts avant consentement. La liste de cookies affichée est générée à partir des services que vous activez (nom, finalité, émetteur, durée, type), et vous ajoutez à la main vos propres cookies internes. Un scan automatique compare les cookies réellement observés sur votre site avec cette liste et signale tout cookie non déclaré : l'information donnée aux internautes reste exacte. Les consentements sont exportables comme preuve. FlowConsent est gratuit jusqu'à 25 000 sessions par mois et hébergé en Europe. Voyez comment fonctionne la déclaration des cookies.