Cookies et autres traceurs : à quoi servent-ils sur votre site ?

Article mis à jour le 09/08/2026

Vous ajoutez une vidéo, une carte, un outil de statistiques, un module de réservation ou un pixel publicitaire à votre site. L’intégration ne prend parfois que quelques clics. Pourtant, le service peut aussi lire, enregistrer ou transmettre des informations depuis le terminal de vos visiteurs.

Le sujet ne se résume donc pas à afficher un bandeau. Pour respecter le choix des internautes, il faut connaître les outils actifs, comprendre leurs finalités et vérifier leur comportement réel. Cette analyse technique complète les obligations juridiques et documentaires d’un site professionnel, sans remplacer l’avis d’un juriste lorsque la situation l’exige.

Qu’est-ce qu’un cookie informatique ?

Un cookie est généralement un petit fichier texte enregistré dans le navigateur ou le terminal et associé à un domaine. Il peut contenir un identifiant, une préférence de langue, une information de session, l’état d’un panier, le choix exprimé dans un bandeau ou une donnée permettant de reconnaître un navigateur.

Ce fichier n’est pas un programme exécutable et ce n’est pas un virus. Il ne contient pas automatiquement le nom, l’adresse ou l’identité civile du visiteur. En revanche, un identifiant stocké dans un cookie peut permettre de distinguer un navigateur et d’associer plusieurs actions entre elles. Selon l’usage et les informations traitées, des données personnelles peuvent donc être concernées.

Le nom du cookie ne suffit pas à dire s’il est utile, intrusif ou soumis au consentement. Il faut examiner sa finalité, sa durée, l’acteur qui y accède, les données reliées à son identifiant et les éventuelles réutilisations.

Pourquoi parle-t-on aussi de « traceurs » ?

Le mot « cookie » ne couvre qu’une partie des mécanismes possibles. La réglementation vise plus largement les opérations permettant de lire ou d’inscrire des informations dans le terminal d’un utilisateur. La CNIL emploie donc le terme « traceur ».

Cela peut concerner des cookies, mais aussi certains stockages locaux, pixels, identifiants publicitaires ou technologies intégrées aux sites, applications, logiciels et équipements connectés. Un mécanisme peut ainsi suivre une action sans apparaître sous la forme d’un cookie traditionnel dans la liste du navigateur.

L’important est l’opération réalisée, pas l’étiquette choisie par l’outil. L’article 82 de la loi Informatique et Libertés encadre l’accès aux informations déjà stockées dans le terminal et l’inscription de nouvelles informations, sous réserve des exceptions prévues.

À quoi servent les cookies et autres traceurs ?

Faire fonctionner le service demandé

Certains traceurs permettent d’authentifier un utilisateur, sécuriser une connexion, conserver un panier, mémoriser une langue, répartir la charge technique ou enregistrer le choix relatif aux cookies. Lorsqu’ils sont strictement nécessaires à la communication ou au service expressément demandé, ils peuvent être exemptés de consentement.

Mesurer l’utilisation et les performances

Un outil de mesure peut analyser les pages consultées, les parcours, les erreurs, les temps de chargement ou l’usage d’une fonctionnalité. Mais l’étiquette « statistique » ne rend pas automatiquement le traceur exempté.

La CNIL prévoit une exemption pour certaines mesures d’audience seulement si des conditions précises de configuration et d’utilisation sont réunies : finalité limitée à la mesure pour le compte exclusif de l’éditeur, production de données statistiques anonymes, absence de suivi global entre plusieurs sites et absence de réutilisation incompatible, notamment.

Personnaliser, partager ou promouvoir

D’autres traceurs servent à personnaliser des contenus, intégrer des services externes, proposer des fonctions sociales, diffuser de la publicité, en mesurer l’efficacité ou suivre un utilisateur entre plusieurs services. Ces usages nécessitent fréquemment un consentement préalable. La décision dépend toutefois de la finalité et de la configuration réelles, pas du seul nom du fournisseur.

Les différentes manières de décrire un cookie

Cookie de session ou cookie persistant

Cette distinction concerne la durée de présence. Un cookie de session disparaît généralement à la fin de la session ou à la fermeture du navigateur. Un cookie persistant reste enregistré pendant une durée définie, sauf suppression anticipée. Persistant ne signifie pas nécessairement publicitaire : une préférence légitime peut aussi être mémorisée entre deux visites.

Cookie interne ou cookie tiers

Cette distinction concerne principalement le domaine ou l’acteur impliqué dans le dépôt et la lecture. Un cookie tiers peut provenir d’une vidéo, d’une carte, d’un paiement, d’un outil statistique, d’un réseau social ou d’une régie publicitaire. Il n’est donc pas automatiquement publicitaire. Inversement, un cookie déposé depuis le domaine du site n’est pas automatiquement exempté.

Cookie nécessaire, statistique, fonctionnel ou publicitaire

Ces catégories facilitent la présentation des finalités dans de nombreux outils de gestion du consentement. Elles ne constituent pas une classification juridique universelle. L’entreprise doit vérifier ce que fait réellement le service, sa configuration, les destinataires des données et son comportement avant comme après le choix.

Quels traceurs peuvent fonctionner sans consentement ?

Un traceur peut être exempté lorsqu’il sert exclusivement à permettre ou faciliter une communication ou lorsqu’il est strictement nécessaire à un service expressément demandé par l’utilisateur. Les lignes directrices de la CNIL citent notamment la conservation du choix relatif aux traceurs, l’authentification et sa sécurité, le panier d’achat, la personnalisation attendue de l’interface et certaines mesures d’audience sous conditions.

Exempté de consentement ne signifie pas exempté de toute obligation. Les traitements de données personnelles associés restent soumis aux principes applicables du RGPD, et une information appropriée peut rester nécessaire.

Un même outil peut aussi poursuivre plusieurs finalités. Une fonction indispensable à la connexion ne peut pas être librement réutilisée pour du ciblage publicitaire au motif que l’authentification, elle, est nécessaire. Chaque finalité doit être analysée séparément.

Quand le consentement devient-il nécessaire ?

Lorsque le traceur n’entre pas dans une exemption, il ne doit pas être lu ou déposé avant un consentement valide. Celui-ci doit être libre, spécifique, éclairé et univoque, puis exprimé par une déclaration ou un acte positif clair. La poursuite de la navigation ne vaut donc pas acceptation.

Le visiteur doit comprendre les finalités, pouvoir accepter ou refuser avec le même degré de simplicité, choisir de manière suffisamment détaillée et retirer ensuite son consentement facilement. Fermer le bandeau sans avoir accepté doit conduire à ne pas activer les traceurs soumis au consentement.

Surtout, l’interface visible doit correspondre au comportement technique. Un bouton « Tout refuser » parfaitement présenté ne sert à rien si des requêtes publicitaires partent avant le choix ou continuent après le refus. La documentation de la CNIL sur la mise en conformité rappelle aussi que l’organisme doit pouvoir démontrer la validité du consentement recueilli.

Depuis janvier 2026, la CNIL fournit également des recommandations sur le consentement appliqué à plusieurs terminaux. Ce mécanisme reste facultatif. Lorsqu’un service l’utilise pour des comptes connectés, la portée du choix doit être claire et le refus comme le retrait doivent bénéficier d’une portée et d’une simplicité comparables à l’acceptation.

Combien de temps un cookie peut-il rester actif ?

Il n’existe pas une durée maximale unique applicable à tous les cookies. La durée doit être limitée à ce qui est nécessaire au regard de la finalité, du service, des données traitées et du contexte. Il faut en outre distinguer trois horloges différentes : la durée de vie du traceur, la conservation des informations collectées et la mémorisation du choix de l’utilisateur.

Pour certaines mesures d’audience exemptées, la CNIL retient notamment une durée de vie des traceurs limitée à treize mois et une conservation des informations collectées limitée à vingt-cinq mois, avec réexamen périodique. Ces repères ne s’appliquent pas automatiquement à tous les cookies.

Pour conserver le choix d’acceptation ou de refus, la CNIL indique qu’une durée de six mois constitue généralement une bonne pratique, à apprécier selon la nature du site et les particularités de son audience. Demander de nouveau le consentement trop souvent peut exercer une pression sur l’utilisateur ; ne jamais redemander son choix empêcherait, à l’inverse, de tenir compte d’une évolution du service ou de sa décision.

Comment savoir quels traceurs votre site utilise réellement ?

Une liste copiée depuis la documentation d’une extension ne suffit pas. Le contrôle doit porter sur le site tel qu’il fonctionne, avec ses réglages, ses scripts, ses contenus externes et ses différentes pages.

1. Inventoriez les extensions, outils, scripts et services externes.
2. Associez chaque outil à un fournisseur, une finalité et une configuration.
3. Testez une première visite avant toute acceptation.
4. Recommencez après une acceptation, puis après un refus.
5. Contrôlez les cookies, les autres stockages et les requêtes réseau déclenchées.
6. Comparez les résultats avec le bandeau et les informations fournies aux visiteurs.
7. Répétez le contrôle après chaque ajout ou mise à jour importante.

Les oublis viennent souvent des éléments les plus ordinaires : vidéo intégrée, carte interactive, formulaire protégé par un service tiers, module de réservation, outil de discussion, bouton social, pixel publicitaire ou solution statistique. Dans le cadre de la création et du suivi technique d’un site, l’inventaire doit donc être considéré comme un document vivant.

Un audit réalisé lors de la mise en ligne peut devenir faux dès qu’une extension, un code marketing ou un nouveau service est ajouté. Le bandeau, les règles de déclenchement et la documentation doivent évoluer ensemble.

Comprendre les traceurs avant de configurer le bandeau

La première étape ne consiste pas à choisir la couleur des boutons. Il faut d’abord recenser les outils, identifier leurs finalités, déterminer ceux qui nécessitent un consentement et configurer leur déclenchement. L’information fournie aux visiteurs doit ensuite refléter ce fonctionnement réel.

Le bandeau n’est que l’interface visible d’un dispositif technique et documentaire plus large. Un contrôle régulier permet de vérifier que les choix sont respectés et que l’arrivée d’un nouvel outil n’a pas discrètement changé les règles du jeu.

Sources principales

• CNIL — Cookies et traceurs : comment mettre son site en conformité
• CNIL — Cookies et traceurs : que dit la loi ?
• CNIL — Solutions pour les outils de mesure d’audience
• CNIL — Recommandations sur le consentement multi-terminaux
• Légifrance — Article 82 de la loi Informatique et Libertés
• Légifrance — Lignes directrices relatives aux traceurs