Sur presque tous les bandeaux, une catégorie « Strictement nécessaires » est cochée d'office et grisée. C'est souvent là que se cachent les écarts : un cookie y est rangé, le bandeau ne demande rien, et personne ne vérifie qu'il remplit vraiment les conditions. Ce guide explique ce que couvre l'exemption, quels cookies en bénéficient, lesquels n'en bénéficient pas, et comment contrôler votre propre liste. Pour les bases (fonctionnement, cookies propriétaires et tiers, finalités), commencez par notre guide sur les cookies : définition, types et fonctionnement.
Qu'est-ce qu'un cookie strictement nécessaire ?
La règle vient de l'article 5(3) de la directive ePrivacy, transposé en France à l'article 82 de la loi Informatique et Libertés. Tout dépôt ou toute lecture d'informations sur le terminal d'un visiteur exige son consentement, sauf dans deux cas :
- L'exemption de transmission : le traceur a pour finalité exclusive de permettre ou faciliter la communication par voie électronique.
- L'exemption de stricte nécessité : le traceur est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur.
Les cookies « essentiels » d'un site relèvent presque toujours du second cas. Deux mots portent tout le poids : le service doit être demandé expressément par le visiteur (afficher une page, se connecter, payer), et le cookie doit être strictement nécessaire à ce service, pas seulement pratique.
La règle ne vise pas que les cookies. La CNIL parle de « traceurs », et les lignes directrices de l'EDPB sur le champ technique de l'article 5(3) confirment qu'elle couvre aussi le localStorage, le sessionStorage, les pixels et toute technique qui lit ou écrit sur l'appareil.
Quels sont les cookies exemptés de consentement selon la CNIL ?
Dans ses lignes directrices du 17 septembre 2020 (délibération 2020-091), la CNIL cite des exemples de traceurs qui peuvent être exemptés :
- Les traceurs qui conservent le choix exprimé par l'utilisateur sur le dépôt de traceurs. Sans eux, le bandeau ne pourrait pas respecter un refus.
- Les traceurs d'authentification auprès d'un service, y compris ceux qui sécurisent ce mécanisme, par exemple en limitant les tentatives d'accès robotisées ou inattendues.
- Les traceurs qui gardent en mémoire le contenu d'un panier sur un site marchand.
- Les traceurs de personnalisation de l'interface (langue, présentation) lorsque cette personnalisation est un élément intrinsèque et attendu du service.
- Les traceurs d'équilibrage de charge des équipements qui servent le site.
- Les traceurs qui permettent aux sites payants de limiter l'accès gratuit à un échantillon de contenu.
- Certains traceurs de mesure d'audience, sous des conditions strictes détaillées plus bas.
La liste n'est pas fermée. L'avis 04/2012 du G29 (devenu l'EDPB) raisonne de la même façon et ajoute les cookies de lecteur multimédia nécessaires pour lire une vidéo lancée par le visiteur, ou les jetons de sécurité des formulaires.
Comment savoir si un cookie est strictement nécessaire ?
Posez trois questions pour chaque cookie :
- Le visiteur a-t-il demandé le service que le cookie fait fonctionner ? Se connecter, remplir un panier ou envoyer un formulaire, oui. Être mesuré, profilé ou ciblé par de la publicité, non.
- Le service tombe-t-il en panne sans ce cookie ? Si le site fournit quand même ce qui a été demandé, même moins confortablement, le cookie n'est pas strictement nécessaire.
- Le cookie se limite-t-il à cette finalité et à cette durée ? Un cookie qui sert à la fois une finalité exemptée et une autre qui ne l'est pas perd l'exemption en entier.
Il faut répondre oui aux trois. C'est cette logique qui fonde les quatre catégories de cookies RGPD : seule la première échappe au consentement.
Exemples de cookies strictement nécessaires
Voici des noms que vous croiserez souvent dans un audit :
PHPSESSID,JSESSIONID,ASP.NET_SessionId: identifiants de session serveur en PHP, Java et .NET.csrftoken,XSRF-TOKEN: protection des formulaires dans les applications Django, Laravel ou Angular.wordpress_logged_in_*: connexion des utilisateurs authentifiés sur WordPress.woocommerce_cart_hash,cart(Shopify) : contenu du panier sur une boutique en ligne.AWSALB: équilibrage de charge chez Amazon Web Services.__cf_bm: protection contre les robots posée par Cloudflare, de courte durée.
Le nom ne suffit pas. Un identifiant de session réutilisé pour suivre le visiteur d'un site à l'autre ne serait plus exempté. Ce qui compte, c'est l'usage réel sur votre site.
Les cookies souvent classés à tort comme nécessaires
- Les cookies de mesure d'audience comme
_ga, Hotjar ou Clarity. La CNIL admet une exemption pour la mesure d'audience, mais seulement si toutes ses conditions sont réunies : finalité limitée à la mesure pour le seul éditeur, données anonymes, pas de recoupement ni de transmission à des tiers, durée de vie du traceur de 13 mois au plus. Matomo peut les respecter en mode exempté, pas Google Analytics dans sa configuration standard. - Les cookies publicitaires et de reciblage (Meta Pixel, Google Ads, LinkedIn Insight) : jamais exemptés.
- Les cookies d'A/B testing et de personnalisation : le visiteur n'a pas demandé à entrer dans un groupe de test.
- Les modules de réseaux sociaux qui suivent des visiteurs qui ne les ont jamais utilisés.
- Les widgets de chat chargés sur toutes les pages avant que le visiteur n'ouvre la conversation.
- Les préférences de simple confort, comme le souvenir d'une popup newsletter fermée.
Avant de trier, il faut savoir ce que votre site dépose réellement. Vérifiez en 30 secondes quels cookies votre site dépose avec le scanner gratuit, puis comparez avec la liste affichée comme « nécessaire » par votre bandeau.
Faut-il un consentement pour les cookies strictement nécessaires ?
Non. Ils peuvent être déposés dès le chargement de la page, avant toute interaction avec le bandeau, et le visiteur ne peut pas les refuser.
L'exemption de consentement n'est pas une exemption de tout :
- L'information reste attendue. La CNIL recommande d'informer les utilisateurs de l'existence de ces traceurs, par exemple dans votre politique de cookies, avec leur finalité et leur durée.
- Le RGPD s'applique dès que le cookie concerne des données personnelles, comme une session liée à un compte client : base légale (souvent le contrat), mention dans la politique de confidentialité, sécurité.
- Pas de finalité cachée. Si un cookie « nécessaire » sert aussi à des statistiques ou à la publicité, c'est l'ensemble qui doit être soumis au consentement.
Côté visiteur, cliquer sur « Continuer sans accepter » ou « Refuser tout » signifie que le site garde ses cookies nécessaires mais ne doit déposer aucun autre traceur. Trouver _ga ou un cookie Meta dans le navigateur après un refus est un manquement, sanctionné à plusieurs reprises par la CNIL.
Quelle durée pour un cookie strictement nécessaire ?
Aucun texte ne fixe une durée unique pour ces cookies, mais elle doit rester proportionnée à leur finalité. Les cookies de connexion et de panier sont souvent des cookies de session, effacés à la fermeture du navigateur. Un cookie « se souvenir de moi » ou le cookie qui garde le choix du bandeau peuvent durer plus longtemps, parce que leur finalité l'exige.
Un cookie classé nécessaire qui porte un identifiant unique pendant deux ans mérite une question simple : quel service rend-il qu'un cookie plus court ne rendrait pas ?
Comment vérifier vos cookies nécessaires, étape par étape
- Ouvrez votre site dans une fenêtre privée et relevez chaque cookie et entrée de stockage déposés avant tout clic sur le bandeau.
- Identifiez chacun d'eux : nom, domaine, éditeur, durée, rôle. La documentation de l'éditeur suffit souvent.
- Appliquez le test des trois questions à chaque cookie.
- Déplacez ceux qui échouent dans la bonne catégorie (mesure d'audience, publicité, préférences) pour qu'ils soient bloqués jusqu'au consentement.
- Refaites un relevé après un refus pour prouver qu'il ne reste que des cookies nécessaires.
Une plateforme de gestion du consentement automatise une partie de ce travail. FlowConsent, par exemple, range chaque service détecté dans une catégorie avec sa base légale documentée, ce qui évite de placer Google Analytics dans les cookies nécessaires par erreur.
Comment FlowConsent gère les cookies strictement nécessaires
FlowConsent laisse les cookies nécessaires actifs dès le premier chargement et bloque toutes les autres catégories jusqu'au consentement du visiteur. Le scan automatique détecte les services chargés par votre site et les rattache à un catalogue tenu à jour, où chaque service porte sa catégorie et sa base légale plausible : consentement, contrat, intérêt légitime ou exemption CNIL possible, avec la liste de contrôle des conditions de la CNIL. Les cookies nécessaires apparaissent ensuite dans la déclaration de cookies générée, avec leur finalité et leur durée. Après un refus, le scan de conformité montre ce qui reste déposé. L'installation prend une dizaine de minutes, et l'outil est gratuit jusqu'à 25 000 sessions par mois. Voir comment fonctionnent services, catégories et bases légales.