Politique de gestion des cookies
- Mis à jour
- 28 septembre 2026
- Prêt en
- ~5 min
- Conforme au droit français
- PDF et Word à votre nom
- Sans filigrane
Aperçu du document
POLITIQUE DE GESTION DES COOKIES
Acme SAS (https://www.acme-test.fr) — mise à jour le 12 octobre 2026
1. Qu'est-ce qu'un cookie ?
Un cookie est un petit fichier déposé sur votre terminal (ordinateur, smartphone, tablette) lors de votre visite sur un site web. Il permet de reconnaître le visiteur d'une session à l'autre, de mémoriser ses préférences, d'analyser son comportement ou de personnaliser l'expérience. Les cookies peuvent être déposés par l'éditeur du site (cookies « propriétaires ») ou par des tiers (cookies « tiers »). Cette politique couvre également les autres traceurs (pixels, identifiants stockés en local, fingerprinting) au sens de l'article 82 de la loi Informatique et Libertés.
2. Catégories de cookies utilisés
Découvrez la suite en créant votre document
Créer mon documentLe guide
La politique de cookies informe les visiteurs de votre site des traceurs déposés sur leur terminal et de la manière d'y consentir ou de s'y opposer. Rédigez la vôtre en quelques minutes — et maîtrisez chaque exigence grâce à ce guide complet, à jour du droit français.
Rédigé et vérifié par LinealStart · 14 min de lecture
Qu'est-ce qu'une politique de gestion des cookies ?
La politique de gestion des cookies est le document d'information qui explique aux internautes quels traceurs sont déposés sur leur terminal lorsqu'ils consultent un site web ou une application, à quoi ces traceurs servent, qui les dépose et comment chacun peut accepter, refuser ou retirer son consentement.
Un cookie est un petit fichier enregistré sur l'ordinateur, le smartphone ou la tablette du visiteur. Il permet de le reconnaître d'une session à l'autre, de mémoriser ses préférences, de mesurer la fréquentation du site ou de lui adresser de la publicité ciblée. Le cadre juridique ne vise toutefois pas que les seuls cookies : il couvre tous les « traceurs », c'est-à-dire toute opération d'accès ou d'inscription d'informations dans le terminal d'un utilisateur — pixels invisibles, identifiants stockés en local, empreinte d'appareil (fingerprinting), SDK applicatifs.
Cette obligation d'information et de consentement repose sur l'article 82 de la loi n° 78-17 du 6 janvier 1978 (Informatique et Libertés), qui transpose la directive 2002/58/CE dite « ePrivacy ». Lorsqu'un traceur entraîne par ailleurs un traitement de données personnelles, le RGPD (UE) 2016/679 s'applique en complément : le consentement doit alors répondre aux exigences de ses articles 4 (point 11) et 7 — libre, spécifique, éclairé et univoque.
Une politique distincte de la politique de confidentialité
La politique de cookies se concentre sur les traceurs et leur consentement ; la politique de confidentialité décrit l'ensemble des traitements de données personnelles et les droits des personnes. Les deux documents se complètent et peuvent se renvoyer mutuellement, mais ne se substituent pas l'un à l'autre.
À quoi sert ce document et qui est concerné ?
La politique de cookies remplit une double fonction : elle informe l'internaute de manière claire et complète, et elle constitue la preuve de votre conformité en cas de contrôle. Associée à un bandeau de recueil du consentement correctement paramétré, elle vous permet de démontrer que les traceurs non essentiels ne sont déposés qu'après une action positive de l'utilisateur, et que le refus est aussi simple que l'acceptation.
Qui doit publier une politique de cookies ?
Tout éditeur de site ou d'application
Dès qu'un site ou une application dépose ou lit un traceur non strictement nécessaire (mesure d'audience non exemptée, publicité, réseaux sociaux), l'éditeur doit informer les visiteurs et recueillir leur consentement.
Les commerçants en ligne
Boutiques e-commerce, places de marché, sites de réservation : panier et session relèvent des cookies essentiels, mais le retargeting, les pixels publicitaires et les outils de personnalisation exigent une politique et un consentement.
Les éditeurs de contenu et médias
Blogs, sites d'actualité, plateformes vidéo : la régie publicitaire, les boutons de partage et les lecteurs tiers déposent des traceurs soumis à information et consentement.
Les responsables et leurs sous-traitants
L'éditeur reste responsable de l'information, même lorsque les traceurs proviennent de partenaires tiers (analytics, publicité). La politique doit nommer ces tiers et leurs finalités.
Sites destinés à un public français ou européen
L'obligation s'applique dès lors que votre site cible des internautes en France ou dans l'Union européenne, quel que soit le lieu d'hébergement ou le siège de votre société. La CNIL est compétente pour les sites visant le public français.
Les catégories de cookies à distinguer
Toute la conformité repose sur une distinction essentielle : certains traceurs sont exemptés de consentement, d'autres non. Votre politique doit présenter clairement chaque catégorie, sa finalité et son régime juridique.
Cookies strictement nécessaires
Indispensables au fonctionnement du service demandé : authentification, panier d'achat, mémorisation du choix de consentement, équilibrage de charge, sécurité de l'authentification. Ils sont exemptés de consentement (article 82 de la loi du 6 janvier 1978) ; la CNIL recommande de les mentionner quand même.
Cookies fonctionnels
Mémorisation de préférences (langue, affichage, région). Soumis à consentement, sauf lorsqu'ils sont strictement nécessaires à un service expressément demandé par l'utilisateur.
Cookies de mesure d'audience
Statistiques de fréquentation. Le consentement est requis, sauf si le traceur remplit les conditions des lignes directrices de la CNIL : mesure de l'audience pour le compte exclusif de l'éditeur, statistiques anonymes, aucun suivi de la navigation sur d'autres sites, ni recoupement ni transmission à des tiers.
Cookies publicitaires
Ciblage, retargeting, mesure des campagnes, partage avec des régies. Le consentement préalable est toujours obligatoire : aucune exemption n'existe. Chaque finalité et chaque tiers destinataire doivent être identifiés.
Traceurs de réseaux sociaux
Boutons de partage et widgets intégrés (vidéos, fils sociaux) déposent fréquemment des traceurs tiers dès le chargement de la page. Mieux vaut les charger en différé, après consentement, plutôt qu'au premier affichage.
Cookies tiers
Déposés par un autre domaine que celui visité (partenaires, prestataires). Vous restez responsable de l'information les concernant et devez préciser leur finalité et l'identité du tiers.
Le recueil du consentement : les règles d'or
Une politique de cookies bien rédigée ne suffit pas : elle doit s'appuyer sur un mécanisme de consentement conforme. Les lignes directrices et la recommandation CNIL du 17 septembre 2020 fixent des exigences précises, régulièrement sanctionnées en cas de manquement.
- Le consentement doit être préalable : aucun traceur non essentiel ne peut être déposé avant l'action positive de l'internaute. La simple poursuite de la navigation ne vaut pas consentement.
- Le refus doit être aussi simple que l'acceptation. La CNIL recommande fortement de le proposer sur le même écran, avec la même facilité : par exemple un bouton « Tout refuser » au même niveau et au même format que « Tout accepter », ou un lien « Continuer sans accepter ».
- Le consentement doit être granulaire : l'internaute doit pouvoir consentir finalité par finalité, et non par un choix global imposé.
- Le consentement doit être éclairé : avant tout choix, l'utilisateur est informé des finalités, des responsables et des tiers concernés, ainsi que de la possibilité de retirer son choix.
- Le retrait du consentement doit être aussi facile que son recueil : un lien permanent (par exemple « Gérer mes cookies » en pied de page) permet de revoir ses choix à tout moment.
- La preuve du consentement doit pouvoir être apportée : conservez un horodatage et la trace des choix exprimés.
Les designs trompeurs sont sanctionnés
Les « dark patterns » — bouton « Accepter » coloré face à un refus caché en troisième niveau, formulation culpabilisante, case pré-cochée — sont contraires aux lignes directrices CNIL (délibération n° 2020-091) et ont donné lieu à des sanctions financières importantes. Refus et acceptation doivent être symétriques.
Mesure d'audience : l'exemption sous conditions strictes
Beaucoup d'éditeurs souhaitent suivre leur fréquentation sans imposer un bandeau de consentement. C'est possible, aux conditions cumulatives posées par les lignes directrices de la CNIL du 17 septembre 2020 (délibération n° 2020-091, article 5).
- La finalité du traceur est strictement limitée à la mesure de l'audience du site ou de l'application, pour le compte exclusif de l'éditeur.
- Le traceur ne permet pas de suivre la navigation d'une personne sur d'autres sites ou applications.
- Il sert uniquement à produire des statistiques anonymes.
- Les données collectées ne sont ni recoupées avec d'autres traitements, ni transmises à des tiers.
La CNIL recommande en outre d'informer les utilisateurs de ces traceurs, de limiter leur durée de vie à 13 mois sans prolongation automatique à chaque visite, de ne pas conserver plus de 25 mois les informations collectées, et de réexaminer ces durées périodiquement (délibération n° 2020-092, article 5).
Un Google Analytics standard n'est pas exempté
Un outil configuré « par défaut », qui croise des données ou transmet l'IP non anonymisée, redevient soumis au consentement préalable. À l'inverse, un outil configuré pour remplir les conditions de l'exemption, comme Matomo en mode exempté, peut fonctionner sans bandeau bloquant. « Sans cookie » ne suffit pas : la règle vise toute lecture ou écriture sur le terminal.
Les mentions essentielles de votre politique
Pour informer valablement l'internaute, votre politique doit comporter un socle d'informations claires et accessibles. Voici les points incontournables.
Définition d'un cookie et des traceurs
Expliquer en langage simple ce qu'est un cookie et que le document couvre aussi les autres traceurs (pixels, stockage local, fingerprinting) au sens de l'article 82.
Identité du responsable
Préciser l'éditeur du site (dénomination, forme, siège) qui dépose les cookies propriétaires, et signaler l'existence de cookies tiers.
Catégories et finalités
Détailler chaque catégorie (nécessaires, fonctionnels, mesure d'audience, publicité, réseaux sociaux) avec sa finalité concrète et son régime de consentement.
Modalités de consentement et de refus
Décrire le bandeau, la possibilité d'accepter, de refuser ou de personnaliser, et le lien permanent permettant de revoir ses choix.
Durées de conservation
Indiquer la durée de mémorisation du choix de l'internaute et la durée de vie de chaque cookie. Pour la mesure d'audience dispensée de consentement, la CNIL recommande 13 mois au plus.
Droits et coordonnées de contact
Rappeler les droits RGPD (accès, opposition, effacement, retrait du consentement), donner l'e-mail de contact RGPD ou du DPO et mentionner le droit de réclamation auprès de la CNIL.
Les erreurs à éviter
Déposer les traceurs avant le choix
Charger les cookies analytics ou publicitaires dès l'arrivée sur la page, avant l'action de l'internaute, vide le consentement de sa substance et constitue le manquement le plus fréquemment sanctionné.
Cacher ou compliquer le refus
Un bouton « Refuser » absent du premier niveau, grisé ou noyé dans les réglages rompt la symétrie exigée : le refus doit être aussi simple que l'acceptation.
Ignorer les durées recommandées
Pour un traceur de mesure d'audience dispensé de consentement, la CNIL recommande une durée de vie de 13 mois au plus, sans prolongation automatique à chaque visite, et une conservation des informations collectées de 25 mois au plus.
Croire la mesure d'audience toujours exemptée
L'exemption suppose une configuration stricte (statistiques anonymes, aucun suivi sur d'autres sites, ni recoupement ni transmission à des tiers). Un outil standard non bridé redevient soumis au consentement.
Rester vague sur les outils publicitaires
Une mention « publicité » sans nommer les outils (Google Ads, Meta Pixel, TikTok Pixel…) ni les finalités prive l'information de sa valeur et fragilise le consentement recueilli.
Oublier de mettre à jour la politique
Ajouter un nouvel outil sans actualiser la politique ni redemander le consentement crée un décalage entre vos traceurs réels et l'information publiée.
Politique de cookies, confidentialité ou DPA : quelles différences ?
Ces documents de conformité RGPD répondent à des obligations distinctes. Les confondre conduit souvent à des manques. Voici comment les situer :
| Critère | Politique de cookies | Politique de confidentialité | Contrat de sous-traitance (DPA) |
|---|---|---|---|
| Objet | Traceurs déposés sur le terminal | Ensemble des traitements de données personnelles | Encadrement de la sous-traitance de données |
| Destinataire | Visiteurs du site / de l'application | Personnes concernées (clients, prospects) | Responsable de traitement et sous-traitant |
| Fondement principal | Art. 82 loi du 6 janvier 1978, ePrivacy | RGPD, art. 13 et 14 | RGPD, art. 28 |
| Consentement | Requis pour les traceurs non essentiels | Selon la base légale du traitement | Non applicable (relation entre acteurs) |
| Lien entre eux | Renvoie à la politique de confidentialité | Peut intégrer une section cookies | Document contractuel séparé |
Contrôle de la CNIL et conséquences
La gestion des cookies est l'un des axes prioritaires de contrôle de la CNIL. L'autorité procède à des vérifications en ligne, souvent automatisées, et adresse des mises en demeure assorties de délais de mise en conformité.
En cas de manquement persistant, la CNIL peut prononcer des sanctions sur le fondement de l'article 82 de la loi Informatique et Libertés. Plusieurs sanctions financières de plusieurs dizaines, voire centaines de millions d'euros, ont été infligées à de grands acteurs du numérique pour des bandeaux ne permettant pas de refuser aussi simplement que d'accepter, ou pour des traceurs déposés sans consentement préalable.
Une mise en conformité avant tout opérationnelle
La politique de cookies est la vitrine juridique de votre dispositif, mais la conformité se joue surtout dans le paramétrage réel : ordre de dépôt des traceurs, symétrie du bandeau, prise en compte effective du refus et du retrait. Vérifiez régulièrement que votre site se comporte conformément à ce que votre politique annonce.
Questions fréquentes
Une politique de cookies est-elle obligatoire ?
Dès que votre site ou votre application dépose ou lit un traceur non strictement nécessaire (mesure d'audience non exemptée, publicité, réseaux sociaux), vous devez informer les visiteurs et recueillir leur consentement. La politique de cookies constitue ce support d'information et la preuve de votre démarche de conformité au titre de l'article 82 de la loi Informatique et Libertés.
Quels cookies puis-je déposer sans consentement ?
Uniquement les cookies strictement nécessaires au fonctionnement du service demandé : authentification, panier, mémorisation du choix de consentement, sécurité, équilibrage de charge. La mesure d'audience peut aussi être exemptée, mais seulement si le traceur remplit les conditions des lignes directrices de la CNIL : mesure de l'audience pour le compte exclusif de l'éditeur, statistiques anonymes, aucun suivi de la navigation sur d'autres sites, ni recoupement ni transmission à des tiers.
Le refus doit-il être aussi simple que l'acceptation ?
Oui : refuser doit présenter le même degré de simplicité que consentir (lignes directrices de la CNIL du 17 septembre 2020). La CNIL recommande fortement de proposer le refus sur le même écran, avec la même facilité — par exemple un bouton « Tout refuser » au même niveau et au même format que « Tout accepter ». Les designs trompeurs qui cachent ou compliquent le refus sont sanctionnés.
Combien de temps un cookie peut-il être conservé ?
Pour un traceur de mesure d'audience dispensé de consentement, la CNIL recommande une durée de vie de 13 mois au plus, sans prolongation automatique à chaque visite, et une conservation des informations collectées de 25 mois au plus. Elle considère aussi comme une bonne pratique de conserver le choix de l'internaute, acceptation comme refus, pendant 6 mois avant de le lui redemander.
Google Analytics nécessite-t-il un consentement ?
Dans sa configuration standard, oui : il dépose des cookies, peut croiser des données et transmettre l'adresse IP, ce qui le fait sortir du cadre de l'exemption. Pour s'en passer, il faut soit le configurer en mode exempté conformément aux recommandations CNIL, soit lui préférer un outil paramétré pour l'exemption, comme Matomo en mode « exempté ».
Quelle différence entre la politique de cookies et la politique de confidentialité ?
La politique de cookies se concentre sur les traceurs déposés sur le terminal et leur consentement (article 82 de la loi du 6 janvier 1978). La politique de confidentialité décrit l'ensemble des traitements de données personnelles et les droits des personnes (RGPD). Les deux se complètent et se renvoient l'un à l'autre, mais ne se remplacent pas.
L'utilisateur peut-il retirer son consentement après l'avoir donné ?
Oui, et le retrait doit être aussi simple que le recueil du consentement. En pratique, un lien permanent (par exemple « Gérer mes cookies » en pied de page) doit permettre à tout moment de modifier ou de retirer ses choix. Le retrait ne remet pas en cause la licéité des traitements effectués avant qu'il n'intervienne.
Que risque-t-on en l'absence de politique conforme ?
La gestion des cookies est un axe prioritaire de contrôle de la CNIL. Un manquement (traceurs déposés sans consentement, refus impossible ou compliqué) peut conduire à une mise en demeure puis à une sanction financière sur le fondement de l'article 82. Plusieurs sanctions de grande ampleur ont déjà été prononcées contre des acteurs majeurs du numérique.
Dois-je mentionner les cookies déposés par des tiers ?
Oui. Vous restez responsable de l'information même lorsque les traceurs proviennent de partenaires (régies publicitaires, outils analytics, réseaux sociaux). Votre politique doit nommer ces tiers, préciser la finalité de chaque traceur et permettre à l'internaute de comprendre qui accède à ses données.
Le document généré est-il personnalisable et m'appartient-il ?
Oui. Vous répondez à des questions simples (éditeur, outils utilisés, durées) et la politique se rédige à partir de vos réponses. Vous téléchargez un PDF (et un format Word éditable) à votre nom, sans filigrane, conservé dans votre coffre-fort et prêt à être publié, puis mis à jour à chaque évolution de vos traceurs.
Tout le thème : Données, propriété intellectuelle & confidentialité
Protégez vos secrets, vos créations et les données personnelles : confidentialité, cession de droits et RGPD.
Ce guide est fourni à titre d'information et reflète l'état du droit français applicable. Pour une situation complexe ou à fort enjeu, nous vous recommandons de faire relire votre document par un professionnel du droit.
Comment rédiger votre politique de cookies, étape par étape
▾▴Notre assistant vous guide question après question pour produire une politique complète et conforme. Voici les informations à préparer :
Un document à votre nom
Vous obtenez un PDF (et un format Word éditable) sans filigrane ni mention de la plateforme, conservé dans votre coffre-fort, prêt à être publié sur votre site et à être mis à jour quand vos traceurs évoluent.