La directive ePrivacy et le consentement aux cookies
La loi qui impose une bannière de cookies n’est pas le RGPD. C’est la directive « vie privée et communications électroniques », dite directive ePrivacy, en vigueur depuis 2002 et modifiée en 2009 pour exiger un consentement avant tout stockage ou toute lecture sur l’appareil d’un visiteur. Le RGPD fixe ensuite les exigences auxquelles ce consentement doit répondre. Comme il s’agit d’une directive et non d’un règlement, chaque État membre la transpose dans son propre droit, si bien que le détail varie d’un pays de l’UE à l’autre.
- Union européenne, depuis 2002
- Stockage et accès, pas les données personnelles
- Transposée pays par pays
À partir de 10 € par mois. Sans carte bancaire, sans facturation par visiteur.
Ce qu’exige la directive ePrivacy
L’article 5, paragraphe 3, est la disposition déterminante, et il est plus court que tout ce qui a été écrit à son sujet.
- Un consentement avant toute écriture ou lecture sur un appareil
- Une information claire et complète sur les finalités
- Une exemption pour la transmission d’une communication
- Une exemption pour ce qui est strictement nécessaire à un service demandé
- Un consentement au sens du RGPD, depuis 2018
Cette page explique ce qu’exige la loi et ce que fait notre logiciel pour y répondre. Elle ne constitue pas un conseil juridique et ne peut pas vous dire si votre organisation est en conformité, car cela dépend de tout ce que vous traitez par ailleurs.
Ce que fait Consent Studio
Conditionne le stockage, pas seulement le pistage
Une balise que vous ajoutez dans le gestionnaire de balises attend par défaut, et un script déjà présent dans votre code HTML est retenu dès que vous le marquez, qu’il écrive sur l’appareil ou qu’il y lise. Le stockage et l’accès constituent le véritable champ d’application de la règle. Les outils qui raisonnent plutôt en termes de données personnelles laissent passer toute une catégorie de stockage local pourtant visée.
- Cookies et local storage
- Avant la première écriture
- Chaque balise
Applique les bonnes valeurs par défaut nationales
Les transpositions nationales diffèrent, et les valeurs par défaut suivent le visiteur plutôt que votre siège. Un site actif dans toute l’UE n’a pas à gérer une configuration par État membre.
- Par région du visiteur
- Une seule configuration
- Multilingue
Prouve le consentement comme l’exige le RGPD
Depuis 2018, le consentement exigé par la directive ePrivacy est le consentement au sens du RGPD, avec le principe de responsabilité qui l’accompagne. Chaque choix est conservé avec un horodatage, rattaché au texte qui était affiché.
- Horodaté
- Texte versionné
- Exportable
Les idées reçues sur la directive ePrivacy
Croire que sans données personnelles, pas de consentement
La règle porte sur le stockage et l’accès sur l’équipement terminal, pas sur les données personnelles. Un cookie contenant une chaîne aléatoire qui n’identifie personne exige malgré tout un consentement, et c’est cette erreur de raisonnement qui met la plupart des sites en infraction alors que leur équipe est convaincue du contraire.
Attendre le règlement ePrivacy
Un règlement destiné à remplacer la directive est resté des années à l’état de projet, puis a été retiré du programme de travail de la Commission. Les équipes qui ont reporté le chantier en pensant que les règles allaient changer le reportent désormais depuis près d’une décennie.
Traiter l’UE comme une seule transposition
C’est une directive : vingt-sept lois nationales la transposent et le détail diffère, de ce qui compte comme strictement nécessaire à la façon dont les autorités nationales traitent la mesure d’audience. Il n’existe pas de réponse européenne unique à opposer à la CNIL ou à ses homologues.
Essential
10 €/par mois
Pour un site unique qui doit être conforme, et le rester.
- Pages et affichages illimités
- 200 000 actions de consentement par mois
- La stack complète, pas une version allégée
Professional
36 €/par mois
Pour les équipes en croissance pilotées par la donnée, et les agences qui les accompagnent.
Essayer Professional gratuitementEnterprise
Dès 250 €/par mois
Pour un volume, ou une obligation, hors de portée d’un forfait standard.
Découvrir EnterpriseAgences et revendeurs
Achetez au tarif partenaire et refacturez chaque site client au prix que vous fixez.
Découvrir le programme partenairesSecteur public
Administrations, santé et éducation s’appuient sur Enterprise.
Voir Enterprise
Déployé là où s’appliquent des règles comme celles-ci, dans plus d’un pays
D’autres règles susceptibles de s’appliquer à vous
Questions fréquentes sur la directive ePrivacy
Est-ce le RGPD ou la directive ePrivacy qui impose une bannière de cookies ?
La directive ePrivacy. Depuis la modification de 2009, l’article 5, paragraphe 3, de la directive exige un consentement avant de stocker des informations sur un appareil ou d’y accéder, soit six ans avant l’adoption du RGPD. Ce que le RGPD a apporté en 2018, ce sont les exigences auxquelles ce consentement doit répondre.
La directive ePrivacy s’applique-t-elle aux cookies sans données personnelles ?
Oui. La règle porte sur le stockage d’informations sur l’équipement terminal ou l’accès à ces informations, sans se demander si elles permettent d’identifier qui que ce soit. C’est la différence la plus lourde de conséquences avec le RGPD, et celle que les équipes comprennent le plus souvent à l’envers.
Quels cookies sont strictement nécessaires ?
Ceux qui servent à fournir le service expressément demandé par le visiteur, comme un identifiant de session, un panier d’achat ou un répartiteur de charge. La mesure d’audience, la publicité et la personnalisation n’en font pas partie, aussi utiles soient-elles pour vous, et les autorités nationales sont constantes sur ce point.
Qu’est devenu le règlement ePrivacy ?
Il est resté des années à l’état de projet avant d’être finalement retiré du programme de travail de la Commission : la directive de 2002, telle que modifiée en 2009, reste donc l’instrument en vigueur. Miser sur son remplacement imminent n’est plus un pari judicieux depuis un certain temps.
Consent Studio nous rend-il conformes ?
Aucun outil ne le peut à lui seul, et tout fournisseur qui prétend le contraire cherche à vous vendre quelque chose. Consent Studio assure la part qui revient à une plateforme de consentement : demander comme il se doit, faire respecter la réponse par chaque balise, conserver la preuve et vous prévenir quand le site change. Ce que vous traitez ailleurs reste de votre ressort.
Où nos données de consentement sont-elles stockées ?
À Amsterdam, sur une infrastructure détenue et exploitée par Scaleway, une entreprise française. Ici, la propriété compte davantage que l’emplacement : Scaleway est une entreprise française indépendante, et non la filiale européenne d’un groupe américain, si bien que ni Scaleway ni nous ne relevons du CLOUD Act américain. Consent Studio est lui-même conçu aux Pays-Bas, à capitaux néerlandais.
Lancez-vous avec The Full Consent Stack
Tout ce dont vous avez besoin, en une seule offre. Consent Studio traite et stocke les données de consentement des visiteurs de l’UE sur l’infrastructure d’entreprises européennes, au sein de l’UE (Scaleway, France ; Bunny, Slovénie). C’est vous qui décidez, dans Launcher, quelles balises envoient ensuite des données, et vers où.
Lire la documentation
Notre centre d’aide détaille pas à pas chaque intégration, extension et modèle, captures d’écran à l’appui. Il est rédigé et tenu à jour par l’équipe qui développe Consent Studio.