Tech··4 min
Cookies et consentement : la checklist CNPD pour auditer votre site luxembourgeois
La CNPD a publié en 2021 des lignes directrices précises sur les cookies : bouton refuser aussi visible qu'accepter, consentement renouvelé sous 12 mois, base légale à citer. Voici comment auditer votre bandeau avant un éventuel contrôle.
La Commission nationale pour la protection des données (CNPD) a publié le 6 octobre 2021 des lignes directrices sur les cookies et autres traceurs, applicables à tout exploitant de site ou d'application établi au Luxembourg. Cet article s'adresse aux responsables de sites web qui veulent vérifier, point par point, si leur bandeau de consentement tient la route avant un éventuel contrôle.
Ce texte présente les principes publiés par la CNPD à titre d'information. Il ne constitue pas un conseil juridique et ne remplace pas une analyse individualisée de votre situation par un professionnel du droit.
Pourquoi la CNPD encadre votre bandeau de cookies
L'obligation de recueillir le consentement de l'internaute avant de déposer des cookies non essentiels ne sort pas de nulle part. Elle découle de l'article 4.3(e) de la loi modifiée du 30 mai 2005 relative à la protection de la vie privée dans le secteur des communications électroniques, qui transpose au Luxembourg la directive ePrivacy 2002/58/CE, elle-même modifiée par la directive 2009/136/CE, selon le texte coordonné publié sur Legilux. Concrètement, dès qu'un cookie n'est pas strictement nécessaire pour fournir le service que l'utilisateur a demandé, comme un cookie de mesure d'audience, de publicité ciblée ou de partage sur les réseaux sociaux, son dépôt exige un consentement préalable et éclairé. Les cookies strictement nécessaires, ceux qui font fonctionner un panier d'achat ou une session de connexion par exemple, sont exemptés de consentement mais doivent tout de même être mentionnés à l'utilisateur, précise la CNPD dans son dossier thématique consacré aux cookies.
La checklist en 5 points pour auditer votre bandeau
La CNPD détaille, dans son dossier thématique et dans le PDF de ses lignes directrices, les critères qu'elle applique pour juger de la conformité d'un bandeau. Voici les cinq points à vérifier en priorité sur votre propre site.
| Point à vérifier | Ce qu'exige la CNPD |
|---|---|
| Bouton refuser | Aussi visible qu'un bouton « Tout accepter », même taille, même couleur, même niveau d'affichage |
| Information à deux niveaux | Un bandeau court avec finalités et responsable, renvoyant vers une politique cookies détaillée |
| Distinction des cookies | Cookies essentiels mentionnés sans consentement requis, cookies non essentiels soumis à un choix explicite |
| Renouvellement | Le consentement n'est valable que 12 mois maximum, au-delà le bandeau doit réapparaître |
| Base légale | La politique cookies doit citer la base légale précise justifiant chaque dépôt de traceur |
Le bouton « tout refuser », le piège le plus fréquent
C'est le point sur lequel la CNPD est la plus explicite, et celui que beaucoup de sites ratent encore. Lorsqu'un bandeau propose un bouton « Tout accepter » bien visible, un bouton « Tout refuser » de taille, de couleur et de position équivalentes doit figurer au même niveau, sans qu'il faille cliquer sur un lien secondaire ou dérouler un menu de paramétrage pour le trouver. La CNPD qualifie ce type de déséquilibre entre les deux boutons de dark pattern, une pratique qui vise à orienter le choix de l'utilisateur vers l'acceptation. Si votre bouton « refuser » est grisé, plus petit, ou caché dans un second écran alors que « accepter » trône en couleur vive, c'est le premier correctif à apporter.
Douze mois, pas plus : le consentement a une date de péremption
Un consentement recueilli aujourd'hui ne vaut pas indéfiniment. La CNPD fixe une durée maximale de 12 mois, au terme de laquelle le bandeau doit se réafficher pour recueillir un nouveau choix de l'utilisateur, qu'il ait accepté ou refusé la première fois. Beaucoup d'outils de gestion du consentement configurent cette durée par défaut sur des valeurs plus longues, parfois 13 mois calqués sur des standards étrangers, ce qui les rend non conformes aux exigences luxembourgeoises sans qu'un ajustement manuel n'ait été fait. Vérifier ce paramètre dans votre outil de gestion des cookies (CMP) prend cinq minutes et évite un écart facilement identifiable lors d'un contrôle.
Vérifier son bandeau avant un contrôle
La CNPD met à disposition le PDF complet de ses lignes directrices, ainsi qu'un dossier thématique en ligne détaillant les principes applicables et leur mise en pratique, dont la page « Principes applicables et mise en pratique » qui reprend précisément les règles sur le bouton refuser et la durée de 12 mois. L'annonce officielle du 6 octobre 2021 et le texte coordonné de la loi du 30 mai 2005 sur Legilux permettent de remonter jusqu'à la base légale elle-même. Passer ces cinq points en revue sur votre propre site, avant qu'un contrôle ne le fasse à votre place, reste la façon la plus simple de limiter le risque. Si votre site traite par ailleurs des données personnelles au-delà des cookies, notre article sur ce que contrôle la CNPD et comment préparer son entreprise complète cette checklist par une vue d'ensemble des obligations RGPD.
