La durée de conservation des cookies fait partie des points les plus souvent mal configurés. Beaucoup d'éditeurs confondent trois horloges différentes : la durée de vie du cookie dans le navigateur, la durée de validité du consentement et la durée de conservation des données collectées dans les serveurs du prestataire. Chacune obéit à ses propres règles. Ce guide explique le cadre applicable, la durée adaptée à chaque catégorie de cookie, le paramétrage de Google Analytics 4 et de votre CMP, et les erreurs à éviter.
Que dit la réglementation sur la durée des cookies ?
La réglementation ne fixe pas de durée universelle, mais pose un principe clair : la durée de conservation doit être proportionnée à la finalité du cookie. Un cookie qui ne sert plus à rien ne devrait plus exister.
Plusieurs textes s'appliquent en même temps :
- la directive ePrivacy (2002/58/CE), transposée à l'article 82 de la loi Informatique et Libertés, qui impose le consentement avant toute lecture ou écriture d'informations non essentielles sur le terminal ;
- le RGPD, en particulier le principe de limitation de la conservation (article 5.1.e) et l'obligation de transparence, qui impose d'indiquer aux visiteurs la durée de chaque cookie ;
- les lignes directrices et la recommandation de la CNIL sur les cookies et autres traceurs, adoptées en 2020, qui traduisent ces principes en chiffres concrets.
Les autres autorités européennes restent souvent plus proches du principe général, sans chiffre précis. Les repères de la CNIL, les plus exigeants parmi ceux publiés, sont donc devenus la norme de place pour tout site qui s'adresse à un public européen.
La règle des 13 mois expliquée
La CNIL recommande de limiter à 13 mois la durée de vie des traceurs déposés sur le terminal de l'utilisateur. Au-delà, un cookie non essentiel est présumé disproportionné au regard de sa finalité, sauf justification.
Pour les cookies de mesure d'audience exemptés de consentement, les conditions sont encore plus précises : durée de vie de 13 mois maximum, durée qui n'est pas prorogée automatiquement à chaque nouvelle visite, et données collectées conservées 25 mois au plus.
Recommandation ou obligation ?
Les 13 mois sont une recommandation, pas un article de loi opposable en tant que tel. Mais la CNIL s'en sert comme critère d'appréciation lors de ses contrôles. Un site qui fixe ses cookies analytiques à 2 ans sans justification s'expose à une observation, voire à une sanction. En pratique, considérez 13 mois comme un plafond et documentez toute exception.
Le piège des valeurs par défaut : GA4 et pixels publicitaires
Beaucoup d'outils dépassent les 13 mois dès l'installation. Google Analytics 4 dépose _ga et _ga_<ID> avec une durée par défaut de 2 ans, prolongée à chaque visite. Les plateformes publicitaires (Meta Pixel, Google Ads, LinkedIn Insight Tag) utilisent souvent des durées de 1 à 2 ans. Votre CMP décide si ces cookies sont déposés, mais elle ne maîtrise pas la durée fixée par le tiers : réduisez-la dans l'outil quand c'est possible, et déclarez-la sinon telle que le tiers la définit. Pour le détail de chaque cookie Google, consultez les cookies _ga, _gid et _gat expliqués.
Quelle durée pour chaque catégorie de cookie ?
Cookies strictement nécessaires
Pas de limite fixée, mais une durée proportionnée. Un cookie d'authentification expire en général à la fin de la session, ou après une durée raisonnable comme 30 jours pour une option « rester connecté ». Un cookie de préférence de langue peut légitimement durer 1 an. Ces cookies sont dispensés de consentement, mais doivent figurer avec leur durée dans la politique de cookies.
Cookies fonctionnels
La durée dépend de la finalité. Un cookie de panier peut durer 30 jours, un cookie de personnalisation de l'interface jusqu'à 1 an. Un cookie fonctionnel d'un an sans justification technique est discutable. La règle : la durée la plus courte qui permette au service de fonctionner.
Cookies de mesure d'audience
13 mois maximum, sans prorogation automatique si vous vous appuyez sur l'exemption de consentement. Matomo, AT Internet (Piano), Adobe Analytics ou GA4 utilisent des cookies aux durées variables : vérifiez-les un par un plutôt que de faire confiance aux réglages par défaut.
Cookies publicitaires et de retargeting
13 mois maximum également. Ce sont les cookies qui dépassent le plus souvent la recommandation, car leur durée est fixée par la régie. Réduisez ce qui peut l'être, et déclarez précisément le reste.
Cookies de session
Les cookies sans date d'expiration sont supprimés à la fermeture du navigateur. Vérifiez qu'il s'agit bien de cookies de session : certains cookies présentés comme tels sont en réalité persistants.
Validité du consentement : pourquoi 6 mois environ
Durée de vie du cookie et validité du consentement sont deux notions distinctes, et les confondre est l'erreur la plus fréquente.
- La durée de vie du cookie est le temps pendant lequel le fichier reste sur le terminal.
- La validité du consentement est la période pendant laquelle vous pouvez considérer le choix de l'internaute comme actuel, sans le solliciter à nouveau.
La CNIL estime que cette durée s'apprécie au cas par cas, selon la nature du site et de son audience, et qu'une conservation du choix pendant 6 mois constitue une bonne pratique. Concrètement, si un visiteur a accepté les cookies le 1er janvier, le bandeau doit réapparaître vers le 1er juillet, sauf s'il a modifié ses préférences entre-temps.
Le même raisonnement vaut pour le refus. Un internaute qui a cliqué sur « Refuser » ne doit pas être relancé à chaque page vue : conservez son refus pendant une durée comparable, puis vous pourrez lui reposer la question. Des relances trop fréquentes constituent une pression que la CNIL considère comme contraire au caractère libre du consentement, et elles alimentent la lassitude face aux bandeaux plutôt que des choix éclairés. Pour les autres conditions d'un consentement valable, consultez notre guide sur les conditions de validité du consentement RGPD.
Certaines autorités admettent davantage : l'AEPD espagnole, par exemple, considère que le consentement ne devrait pas dépasser 24 mois. Pour un public européen, s'aligner sur 6 mois couvre la lecture la plus stricte. Il faut aussi redemander plus tôt en cas de changement significatif : nouvelle finalité, nouveau partenaire ou bandeau substantiellement modifié.
La troisième horloge : la conservation des données chez le prestataire
Les 13 mois concernent le fichier déposé sur le terminal. Les données collectées grâce à ce cookie, par exemple les événements GA4, ont leur propre durée de conservation dans les serveurs de Google ou de l'outil utilisé. Cette durée relève du RGPD et des conditions du service.
Dans GA4, la conservation des données d'une propriété standard se règle sur 2 mois ou 14 mois (Administration > Collecte et modification des données > Conservation des données). Choisissez la valeur la plus courte compatible avec vos besoins d'analyse et documentez-la. Si vous vous appuyez sur l'exemption CNIL, les données collectées ne doivent pas être conservées au-delà de 25 mois. Pour la question plus large de l'usage de GA4, lisez Google Analytics est-il conforme au RGPD ?.
Configurer les durées en pratique
Google Analytics 4
GA4 permet de remplacer les paramètres de cookies d'un flux web : dans Administration > Flux de données > votre flux > Configurer les paramètres de la balise, ouvrez l'option de remplacement des paramètres des cookies pour fixer une expiration plus courte. Avec gtag.js, le paramètre cookie_expires (en secondes) fixe la durée de vie : 13 mois correspondent à environ 34128000 secondes (395 jours). Le paramètre cookie_update à false empêche l'expiration d'être repoussée à chaque visite, ce qui correspond à la condition posée par la CNIL pour la mesure exemptée.
Votre CMP
Votre CMP enregistre le choix du visiteur dans un cookie ou dans le localStorage. Cet enregistrement doit avoir sa propre durée cohérente, et la CMP doit :
- réafficher le bandeau à l'expiration du consentement (6 mois recommandés) ;
- conserver les refus comme les acceptations, pour ne pas relancer à chaque visite ;
- invalider les choix enregistrés quand votre configuration change (nouveau partenaire, nouvelle finalité) ;
- tracer la date, la version du bandeau et la durée de chaque choix, pour pouvoir le prouver.
Une CMP comme FlowConsent vous permet de configurer la durée de validité du consentement et gère automatiquement le réaffichage du bandeau, tout en enregistrant l'horodatage, la version et la durée de chaque consentement. Côté serveur, le SDK serveur FlowConsent renvoie un motif comme expired ou version_mismatch lorsqu'un choix enregistré n'est plus utilisable, et peut invalider les choix faits avant un changement de configuration. Pour des preuves solides en cas de contrôle, consultez notre guide sur la preuve du consentement cookies.
Votre politique de cookies
Chaque cookie listé dans votre politique de cookies doit indiquer sa durée, exacte ou sous forme de fourchette par catégorie. L'omettre est un manquement à l'obligation de transparence. Dans FlowConsent, la déclaration des cookies est générée à partir de vos services actifs, avec la durée de chaque cookie telle qu'elle doit être affichée aux visiteurs, et vous ajoutez vos propres cookies internes avec les mêmes champs.
Les erreurs fréquentes
Laisser les durées par défaut des outils tiers. GA4, Meta Pixel et LinkedIn utilisent des durées de 1 à 2 ans. Réglez chaque outil quand il le permet.
Confondre durée du cookie et validité du consentement. 13 mois pour le cookie, environ 6 mois pour le choix : deux paramètres distincts, à régler séparément.
Confondre durée du cookie et conservation des données. L'une concerne le fichier sur le terminal, l'autre les données dans les serveurs de l'éditeur ou du sous-traitant.
Ne jamais renouveler le consentement. Un consentement recueilli une fois pour toutes perd sa valeur avec le temps. Le bandeau doit réapparaître à l'expiration pour les visiteurs ayant accepté.
Relancer après un refus à chaque visite. Un refus doit être mémorisé aussi longtemps qu'une acceptation.
Appliquer la même durée à tous les cookies. Les cookies fonctionnels doivent avoir la durée la plus courte suffisante ; les cookies de mesure et publicitaires ne doivent pas dépasser 13 mois.
Oublier les cookies déposés par les scripts embarqués. Lecteurs vidéo, widgets et boutons de partage déposent souvent leurs propres cookies, à longue durée. Seul un scan du site en production les révèle.
Ne pas documenter les durées. Aucune durée dans la politique de cookies, ou une liste qui ne correspond plus à ce que le site dépose réellement.
Checklist de conformité sur la durée des cookies
- Auditez tous les cookies actifs du site et relevez leur expiration réelle (DevTools du navigateur ou scanner). Notre méthode d'audit des cookies détaille la démarche.
- Vérifiez que les cookies de mesure et publicitaires ne dépassent pas 13 mois, et réduisez les durées par défaut de GA4 et des autres outils.
- Si vous utilisez l'exemption CNIL, désactivez la prorogation automatique du cookie de mesure et conservez les données 25 mois au plus.
- Réglez la validité du consentement à 6 mois environ dans la CMP, pour les acceptations comme pour les refus.
- Vérifiez que le bandeau réapparaît automatiquement à l'expiration du consentement, et lorsque vos finalités ou partenaires changent.
- Réglez la conservation des données GA4 sur la valeur la plus courte qui couvre vos besoins.
- Contrôlez que les cookies de session expirent bien à la fermeture du navigateur.
- Indiquez la durée de chaque cookie, ou une fourchette par catégorie, dans la politique de cookies.
- Assurez-vous que les preuves de consentement comportent la date et l'échéance de chaque choix.
- Documentez la justification des durées retenues dans votre registre des traitements.
- Revérifiez les durées après chaque mise à jour de la CMP, de l'outil analytics ou des scripts du site.
Vérifiez ce que votre site dépose réellement
Les règles sur la durée des cookies ne sont pas compliquées, mais elles ne tiennent que si la configuration correspond à la réalité. Une vérification de conformité FlowConsent charge vos pages dans un vrai navigateur, refuse le consentement et liste les cookies non essentiels encore déposés ; le rapport de preuve daté indique pour chaque cookie son domaine et son expiration. Et tout cookie observé par le scan mais absent de votre déclaration déclenche une alerte corrigeable en un clic.
Commencez par scanner votre site pour connaître la durée de vie réelle de chaque cookie déposé et repérer ceux qui dépassent 13 mois.