Règlement ePrivacy Cookies Traceurs
conformiteDéfinition
Le règlement ePrivacy (également connu sous le nom de règlement « vie privée et communications électroniques ») est la réglementation européenne encadrant les communications électroniques et la protection des données dans ce contexte, en complément du RGPD. La directive ePrivacy actuelle (directive 2002/58/CE, modifiée par la directive 2009/136/CE) est en cours de remplacement par un règlement ePrivacy (proposition de la Commission européenne depuis 2017, en cours de finalisation) qui sera directement applicable dans tous les États membres. En France, la directive ePrivacy est transposée dans le Code des postes et des communications électroniques (CPCE) et la loi pour la Confiance dans l'Économie Numérique (LCEN). La CNIL est l'autorité compétente pour contrôler le respect des règles sur les cookies et traceurs en France et a publié des recommandations détaillées sur la gestion des cookies (recommandation du 17 septembre 2020, mise à jour en 2022). Les cookies et traceurs nécessitent le consentement préalable des utilisateurs sauf exceptions : les cookies strictement nécessaires au fonctionnement du service (session, panier, sécurité) et les cookies d'audience anonymisés permettant de mesurer uniquement la fréquentation (sous conditions strictes définies par la CNIL) sont exemptés de consentement. Tous les autres cookies (publicité, réseaux sociaux, personnalisation, tracking comportemental) nécessitent un consentement libre, spécifique, éclairé, et univoque (opt-in positif — pas de cases pré-cochées, pas de dark patterns). Le consentement aux cookies doit être recueilli via une interface (CMP — Consent Management Platform) claire et accessible. Des amendes significatives ont été prononcées par la CNIL pour des pratiques non conformes : Google (150 M€, janvier 2022), Facebook/Meta (60 M€, janvier 2022), Amazon (35 M€, décembre 2021), Microsoft (60 M€, décembre 2022). Ces amendes visaient principalement l'absence de mécanisme de refus aussi simple que l'acceptation (bouton « Refuser tout » absent ou difficile d'accès). Les CMP (Consent Management Platform) sont des solutions techniques permettant de gérer le recueil, le stockage, et la preuve du consentement aux cookies. Des CMP certifiées IAB TCF (Transparency & Consent Framework) incluent : Axeptio, Didomi, OneTrust, TrustArc, Cookiebot, Usercentrics. La certification TCF garantit l'interopérabilité avec les plateformes publicitaires programmatiques qui utilisent le signal de consentement TCF.
Règles CNIL sur les cookies et traceurs
Les règles CNIL (recommandation du 17/09/2020 et lignes directrices 2019) sur les cookies couvrent : Cookies nécessaires (exemptés de consentement) — session d'authentification, panier e-commerce, sécurité (anti-CSRF tokens), gestion des préférences UI (langue, thème) strictement liées au service. Cookies d'audience exemptés (sous conditions strictes) — mesure de la fréquentation uniquement, pas de tracking inter-sites, pas de profiling, pas de croisement avec d'autres données, durée maximale 13 mois, données collectées uniquement sur un seul site. Tous les autres cookies nécessitent le consentement explicite (opt-in).
Les exigences CNIL sur l'interface de recueil du consentement : le refus doit être aussi simple que l'acceptation (bouton « Refuser » ou « Tout refuser » directement accessible sur la première fenêtre, sans étapes supplémentaires) ; pas de dark patterns pour décourager le refus (texte en petit, couleur moins visible pour le bouton refus, formulations culpabilisantes) ; information claire sur les finalités avant le recueil du consentement ; et possibilité de retirer son consentement aussi facilement qu'il a été donné (widget cookies accessible en permanence, généralement via le pied de page).
CMP et conformité technique
Une CMP conforme à la réglementation française (CNIL) et au TCF IAB doit : recueillir un consentement valide (positif, libre, spécifique, éclairé) avant tout dépôt de cookie non nécessaire ; bloquer techniquement tous les scripts de tracking avant l'accord (pas de « pré-chargement silencieux ») ; stocker une preuve du consentement (date, heure, version du bandeau, choix de l'utilisateur — pour répondre aux contrôles CNIL) ; respecter les préférences exprimées (ne déposer que les cookies des finalités acceptées) ; et mettre à jour le bandeau lors de changements dans les traceurs utilisés (obligation de nouveau recueil si de nouveaux usages sont ajoutés).
Le contrôle CNIL vérifie la conformité réelle du site (audit technique par crawling automatisé, analyse des cookies effectivement déposés avant et après consentement, vérification de l'interface de recueil). Des cookies déposés avant que l'utilisateur ait exprimé son choix, ou des cookies tiers non listés dans le bandeau, sont des violations directes de la réglementation ePrivacy / CNIL. Des outils de scanning de cookies (Cookiebot Scanner, OneTrust Audit, Privado.ai) permettent aux équipes conformité de surveiller en continu les cookies présents sur leurs sites.
Interaction ePrivacy et RGPD
ePrivacy et RGPD sont deux textes complémentaires mais distincts. ePrivacy concerne spécifiquement les communications électroniques (y compris les cookies, les emails marketing, les SMS promotionnels), tandis que le RGPD couvre la protection des données personnelles en général. Le consentement au RGPD et le consentement ePrivacy peuvent être recueillis ensemble mais doivent couvrir des finalités distinctes.
Pour les emails marketing, la combinaison ePrivacy + RGPD impose : consentement opt-in pour les prospects (ePrivacy interdit les emails commerciaux non sollicités sans consentement préalable pour les particuliers), base légale pour le traitement des données de contact (consentement au RGPD ou intérêt légitime pour les clients existants avec droit d'opposition absolu), et droit de désabonnement dans chaque email (lien de désinscription opérationnel). La CNIL contrôle ces pratiques et a sanctionné de nombreuses organisations pour emails non sollicités (spam) et absence de mécanisme de désinscription efficace.
Ce terme vous interpelle ?
Nos experts interviennent sur toutes les thématiques de ce glossaire — pentest, conformité NIS 2 / ISO 27001, forensics, sécurité IA. Réponse sous 24h, devis gratuit et sans engagement.