Générateur de politique de cookies

En résumé : dès que votre site dépose un traceur qui n'est pas strictement nécessaire au service, la loi vous impose deux choses distinctes — recueillir le consentement avant le dépôt (bandeau), et informer de façon permanente sur ce qui est déposé (politique de cookies). Le fondement n'est pas le RGPD seul : c'est l'article 82 de la loi Informatique et Libertés (loi n° 78-17), qui transpose la directive ePrivacy et vise toute inscription d'informations dans le terminal — cookie, pixel, ou écriture dans le localStorage.

Le problème d'un modèle de politique de cookies copié ailleurs est structurel : il décrit les traceurs du site d'origine, pas les vôtres. Il liste _ga alors que vous n'avez jamais installé Google Analytics, et il oublie le _fbp que votre Pixel Meta dépose vraiment. Notre approche est inverse : vous cochez les outils réellement installés, et le document énumère leurs cookies documentés, leur durée par défaut et leur base légale.

Cookie technique exempté ou traceur soumis au consentement ?

Tout le régime tient dans cette distinction. L'article 82 exempte de consentement les traceurs strictement nécessaires à la fourniture du service expressément demandé par l'utilisateur. La CNIL en donne une liste fermée : le panier d'achat, l'identifiant de session d'authentification, l'équilibrage de charge, la mémorisation du choix exprimé sur le bandeau lui-même, et — sous conditions strictes — la mesure d'audience anonymisée. Tout le reste — analytics non exemptée, publicité, reciblage, réseaux sociaux, chat, vidéo intégrée — exige un consentement préalable.

Le tableau ci-dessous est la base de connaissance qui alimente le générateur. Pour chaque outil, il donne le nom réel du cookie, sa durée par défaut telle que documentée par l'éditeur, et son régime. C'est ce que le document reprend, outil par outil, selon vos cases cochées.

Les durées ci-dessus sont les valeurs par défaut de chaque éditeur, relevées en juillet 2026. Un plugin de consentement, un proxy ou une configuration maison peuvent les modifier — d'où l'intérêt de vérifier vos vrais cookies dans l'inspecteur de votre navigateur (onglet « Application » puis « Cookies » sur Chrome, « Stockage » sur Firefox) plutôt que de recopier une liste toute faite.

Le plafond de 13 mois sur la mesure d'audience

C'est la règle chiffrée la plus précise, et la plus souvent violée par les configurations par défaut. La CNIL impose que les cookies de mesure d'audience aient une durée de vie plafonnée à 13 mois, sans prolongation automatique à chaque visite, et que les données collectées ne soient pas conservées au-delà de 25 mois. Or Google Analytics 4, installé tel quel, pose un cookie _ga valable 2 ans : au-dessus du plafond. Le corriger ne se fait pas dans le bandeau mais dans la console GA4 (Admin puis Conservation des données), et la durée du cookie elle-même se règle à l'appel gtag. Une politique de cookies honnête indique la durée réelle après réglage, pas la valeur d'usine.

Ce qui fait un bandeau de consentement conforme

La politique informe ; le bandeau recueille. Les deux sont obligatoires et répondent à des exigences précises, posées par les lignes directrices et la recommandation de la CNIL du 17 septembre 2020 (délibérations n° 2020-091 et 2020-092) :

• Refuser doit être aussi simple qu'accepter. Un bouton « Tout accepter » sans bouton « Tout refuser » au même niveau et en un clic est le manquement le plus sanctionné. Le 31 décembre 2021, la CNIL a infligé sur ce seul motif 150 millions d'euros à Google et 60 millions d'euros à Facebook.
• Aucune case pré-cochée. Le consentement doit résulter d'un acte positif. Une case déjà cochée, ou le fait de continuer à naviguer, ne valent pas consentement.
• Pas de dépôt avant le choix. Aucun traceur soumis à consentement ne doit être posé tant que l'utilisateur n'a pas accepté. Si des cookies de mesure ou de publicité apparaissent dès le premier chargement, avant tout clic, le bandeau est décoratif.
• Granularité et retrait. L'utilisateur peut consentir finalité par finalité, et retirer son consentement aussi facilement qu'il l'a donné.
• Durée de conservation du choix. La CNIL recommande de conserver le choix — accord comme refus — pendant une durée limitée, de l'ordre de six mois, au terme de laquelle le bandeau est de nouveau présenté. Conserver un refus évite de reposer la question à chaque page ; ne pas le conserver du tout est une façon détournée de harceler l'utilisateur jusqu'à ce qu'il cède.

Politique de cookies et politique de confidentialité : le renvoi

Ce sont deux documents complémentaires, pas concurrents. La politique de cookies détaille les traceurs et le consentement (article 82 de la loi Informatique et Libertés). La politique de confidentialité couvre l'ensemble des traitements de données personnelles, cookies compris, avec leurs bases légales et les droits des personnes (articles 12 à 14 du RGPD). Les deux doivent être cohérentes : un cookie publicitaire déclaré dans l'une doit apparaître dans l'autre avec la même durée et la même base légale. C'est précisément parce que nos documents sont écrits à partir des mêmes réponses qu'ils ne se contredisent pas.

Ce que ce générateur ne fait pas

Autant être clair. L'outil rédige la politique de cookies — le document d'information. Il ne pose pas le bandeau de consentement à votre place : ça, c'est un module technique (une solution de CMP, ou le paramétrage de votre plateforme). Notre base couvre les outils les plus répandus sur les sites français ; un traceur maison, un SDK publicitaire exotique ou un pixel B2B rare devront être ajoutés à la main, avec leur durée et leur finalité. La liste est un socle sérieux, pas un inventaire exhaustif de tout ce qui existe.

Questions fréquentes