Cookies et RGPD sur votre site : ce que votre entreprise doit respecter

Au Portugal, un site ne peut déposer des cookies qui ne sont pas strictement nécessaires (statistiques, publicité ou réseaux sociaux) qu’après avoir obtenu le consentement du visiteur, donné librement, de façon éclairée et par un acte clair, comme un clic sur « Accepter ». Refuser doit être aussi simple qu’accepter, et le consentement doit pouvoir être retiré à tout moment. Les formulaires qui collectent des données personnelles doivent indiquer à quoi elles servent et renvoyer vers une politique de confidentialité.

Ce guide résume les règles qui s’appliquent au site d’une PME et les erreurs les plus fréquentes que nous rencontrons. Il est purement informatif : pour les cas particuliers, consultez un juriste ou votre délégué à la protection des données.

Les textes applicables

Deux textes principaux sont à prendre en compte :

• La loi portugaise n° 41/2004, qui transpose la directive européenne sur la vie privée et les communications électroniques. Son article 5 exige le consentement préalable pour stocker des informations sur l’équipement de l’utilisateur ou y accéder, ce qui inclut les cookies et les technologies similaires. Vous pouvez la consulter (en portugais) au Diário da República.
• Le règlement général sur la protection des données (RGPD), qui définit ce qu’est un consentement valable et fixe les règles de tout traitement de données personnelles, y compris celles reçues par formulaire. Texte officiel sur EUR-Lex.

Au Portugal, l’autorité de contrôle est la Commission nationale de protection des données (CNPD).

Quels cookies nécessitent un consentement

Les cookies qui n’en ont pas besoin

Sont exemptés les cookies strictement nécessaires au fonctionnement du service demandé par le visiteur, par exemple pour :

• Conserver le panier d’achat d’une boutique en ligne.
• Maintenir la session d’un utilisateur connecté.
• Enregistrer le choix de consentement lui-même.
• Assurer la sécurité et la répartition de charge du serveur.

Les cookies qui en ont besoin

Pratiquement tout le reste exige un consentement préalable :

• Les statistiques, comme Google Analytics.
• La publicité et le remarketing, comme les pixels de Meta ou de Google Ads.
• Les contenus tiers intégrés qui déposent leurs propres cookies, comme certaines vidéos, cartes et boutons de réseaux sociaux.
• Les outils d’analyse comportementale, comme les cartes de chaleur ou les enregistrements de sessions.

« Préalable » veut bien dire avant : ces outils ne peuvent pas se charger tant que le visiteur n’a pas accepté.

À quoi doit ressembler un bandeau cookies conforme

Un bandeau conforme présente ces caractéristiques :

1. Des boutons « Accepter » et « Refuser » mis en avant de la même façon, dès le premier niveau. Cacher le refus derrière « Paramètres » ou dans un lien discret n’est pas acceptable.
2. Aucune case précochée. La Cour de justice de l’Union européenne a déjà jugé que des cases précochées ne constituent pas un consentement valable.
3. Un choix par finalité : statistiques, publicité, contenus tiers.
4. Une information claire : quels cookies, pour quoi faire, déposés par qui et pour combien de temps, dans une politique cookies accessible.
5. Rien ne se charge avant le choix, sauf ce qui est strictement nécessaire.
6. Retirer son consentement aussi facilement qu’on l’a donné, par exemple via un lien permanent en pied de page.
7. Poursuivre la navigation ne vaut pas consentement. Fermer le bandeau ou faire défiler la page ne compte pas comme une acceptation.

Et n’oubliez pas l’impact sur la performance : un bandeau mal implémenté pousse le contenu et dégrade l’expérience sur mobile. Nous en parlons dans notre guide sur les Core Web Vitals.

Google Analytics, Google Ads et le mode consentement

Si vous utilisez des outils Google pour mesurer les visites ou les campagnes, vous devez configurer le mode consentement (Consent Mode), qui adapte le comportement des balises selon le choix du visiteur. Pour les annonceurs Google qui mesurent les conversions de visiteurs de l’Espace économique européen, Google exige que le consentement soit transmis à ses outils.

Concrètement, l’outil de gestion du consentement, les balises Google et le site doivent être configurés ensemble. Si c’est mal fait, vous perdez des données de conversion et, avec elles, la capacité d’optimiser vos campagnes. C’est un point que nous vérifions systématiquement sur les comptes Google Ads que nous gérons.

Les formulaires : contact, devis et newsletter

Chaque formulaire qui collecte des données personnelles doit :

• Ne collecter que le nécessaire. Pour une demande de contact, le nom, l’email et le message suffisent. Adresse, date de naissance ou numéro fiscal, uniquement s’ils sont indispensables.
• Informer dans le formulaire lui-même de l’usage des données, de façon résumée, avec un lien vers la politique de confidentialité.
• Séparer les finalités. Répondre à une demande de devis et envoyer une newsletter sont deux choses différentes. Pour la newsletter, prévoyez une case distincte, non précochée.
• Être protégé : connexion sécurisée (HTTPS), protection contre le spam et accès restreint aux messages reçus.

L’emailing obéit à des règles supplémentaires sur le consentement et à des exceptions pour les clients existants. Nous les expliquons dans notre guide de l’emailing pour les petites entreprises.

La politique de confidentialité

Le site doit comporter une politique de confidentialité accessible depuis toutes les pages, généralement en pied de page, qui explique au minimum :

• Qui est le responsable du traitement et comment le contacter.
• Quelles données sont collectées, pour quelles finalités et sur quelle base légale.
• Combien de temps elles sont conservées.
• Avec qui elles sont partagées, y compris les prestataires comme l’hébergeur, le service d’email ou les outils d’analyse.
• S’il y a des transferts hors de l’Union européenne.
• Les droits de la personne concernée (accès, rectification, effacement, opposition, portabilité) et comment les exercer.
• Le droit d’introduire une réclamation auprès de l’autorité de contrôle (au Portugal, la CNPD).

Copier la politique d’un autre site est une erreur fréquente. Chaque politique doit refléter ce que votre site fait réellement, avec les outils qu’il utilise.

Les erreurs fréquentes que nous voyons

• Google Analytics ou des pixels publicitaires qui se chargent avant le consentement.
• Un bandeau avec seulement « Accepter », ou un « Refuser » caché.
• Une politique cookies obsolète, qui ne mentionne pas les outils installés depuis.
• Des vidéos intégrées qui déposent des cookies sans prévenir.
• Des formulaires avec une case newsletter déjà cochée.
• Aucun moyen de modifier son consentement après le premier choix.

Liste de vérification rapide

• J’ai dressé la liste de tous les outils du site qui utilisent des cookies ou collectent des données.
• Aucun outil non essentiel ne se charge avant le consentement.
• Le bandeau propose « Accepter » et « Refuser » avec la même visibilité.
• Un lien permanent permet de modifier ses préférences.
• La politique cookies et la politique de confidentialité sont à jour.
• Chaque formulaire indique sa finalité et renvoie à la politique de confidentialité.
• Le mode consentement de Google est configuré, si j’utilise des outils Google.

Sur les sites que nous réalisons dans le cadre de notre service de création de sites, les outils d’analyse ne se chargent qu’après le consentement, et les formulaires comportent l’information et le lien vers la politique de confidentialité. Pour les sites existants, notre service de maintenance et hébergement comprend la vérification de ces points à chaque ajout d’un nouvel outil.

Questions fréquentes

Ai-je besoin d’un bandeau cookies si je n’utilise que des cookies nécessaires ?

Vous n’avez pas à demander de consentement pour les cookies strictement nécessaires, mais vous devez en informer les visiteurs, généralement dans la politique cookies ou de confidentialité. Si vous n’utilisez ni statistiques, ni publicité, ni contenus tiers qui déposent des cookies, vous pouvez vous passer du bandeau de consentement. Vérifiez toutefois qu’aucune extension ni vidéo intégrée ne dépose de cookies à votre insu.

Google Analytics nécessite-t-il un consentement ?

Oui. Google Analytics n’est pas strictement nécessaire au fonctionnement du site : il ne peut donc se charger qu’après que le visiteur a accepté les cookies statistiques. Avec un mode consentement Google bien configuré, vous respectez ce choix tout en continuant d’obtenir certaines informations agrégées sur les visites.

Puis-je utiliser un générateur gratuit de politique de confidentialité ?

Cela peut servir de point de départ, mais c’est rarement suffisant. La politique doit décrire ce que votre site fait réellement : quelles données il collecte, avec quels outils, pour combien de temps et avec qui il les partage. Un texte générique qui ne correspond pas à la réalité ne remplit pas l’obligation d’information du RGPD.

Qui est responsable si le site n’est pas conforme ?

L’entreprise propriétaire du site, en tant que responsable du traitement des données, même si le site a été réalisé ou est entretenu par un tiers. Il vaut donc la peine d’exiger de votre prestataire que les outils d’analyse ne se chargent qu’avec le consentement et que le sujet soit revu à chaque installation d’un nouvel outil.