YouTube embed

Ce que fait réellement une intégration YouTube

YouTube est la plateforme vidéo opérée par Google Ireland Limited (responsable de traitement pour les éditeurs UE) et Google LLC (sous traitant aux États Unis). Lorsque l'éditeur intègre une vidéo, l'iframe standard est servie depuis youtube.com et charge immédiatement le JavaScript, les polices et les ressources du player depuis ytimg.com, googlevideo.com et doubleclick.net. Le player échange des signaux publicitaires avec Google Marketing Platform, même si aucune publicité n'est diffusée sur la vidéo.

Cookies et stockages déposés par les intégrations YouTube

L'intégration standard youtube.com dépose VISITOR_INFO1_LIVE (identifiant visiteur, 6 mois), YSC (identifiant de session, session), PREF (préférences, 8 mois) et IDE sur doubleclick.net (identifiant publicitaire, 13 mois) dès le chargement de l'iframe. Le mode privacy enhanced youtube-nocookie.com dépose les mêmes cookies uniquement après le clic sur Play, au lieu du chargement initial. Les deux modes écrivent également des entrées localStorage pour mémoriser la position de lecture et la qualité.

Base légale et consentement

Le consentement au sens de l'article 6 1 a RGPD et 5(3) ePrivacy est requis avant le chargement de toute intégration YouTube, car l'iframe dépose des cookies publicitaires sur des domaines tiers (doubleclick.net, google.com). L'arrêt CJUE Fashion ID (C 40/17, juillet 2019) confirme la coresponsabilité de l'éditeur. La CNIL a sanctionné des organisations françaises pour avoir chargé YouTube sans consentement (Carrefour en 2020, Université du Mans en 2023). Même youtube-nocookie.com n'est pas exempt: la résolution du domaine révèle déjà l'IP du visiteur à Google.

Transferts internationaux et Schrems II

Le chargement d'une intégration YouTube transmet IP, user agent, référent et cookies à Google LLC aux États Unis. Google LLC est certifiée au Data Privacy Framework UE États Unis depuis le 10 juillet 2023 et les conditions YouTube intègrent les CCT (module 3). La décision contraignante du CEPD contre Google Analytics (1/2022) et plusieurs sanctions de DPA confirment toutefois que l'éditeur doit aussi prévoir des mesures supplémentaires, documenter une EIDT et informer les utilisateurs.

Liste de contrôle conformité

Remplacez l'iframe standard par un placeholder click to load (poster + bouton Play) qui ne charge l'embed YouTube qu'après consentement. Utilisez le domaine youtube-nocookie.com plutôt que youtube.com pour minimiser les cookies. Documentez Google Ireland Limited et Google LLC dans le registre des traitements (art. 30 RGPD) et dans la politique de confidentialité. Listez VISITOR_INFO1_LIVE, YSC, PREF et IDE dans votre politique cookies. Pour les contenus sensibles, envisagez l'auto hébergement avec Plyr, Mux Video, Vimeo Pro ou Bunny.net. Rafraîchissez le consentement tous les 6 mois (délibération CNIL 2020 091).

Alternatives

Alternatives privacy friendly: Vimeo Privacy Friendly Embed (US avec résidence UE), Cloudflare Stream, Mux Video (UE et US), Bunny Stream (Slovénie et edge global), PeerTube (open source auto hébergeable), Dailymotion (France), ainsi que la pile auto hébergée Plyr ou Video.js avec manifestes HLS sur votre propre CDN.