Une page de réservation a-t-elle besoin d’une bannière cookies ?

La loi ne parle pas de cookies

Cela ressemble à de la chicane de vocabulaire, et ce n’en est pas. C’est toute la raison pour laquelle tant de bannières se trouvent au mauvais endroit.

La règle vient de l’article 5 paragraphe 3 de la directive ePrivacy, transposé en France à l’article 82 de la loi Informatique et Libertés. Il n’y est pas écrit qu’il faut un consentement pour les cookies. Il y est écrit que « toute action tendant à accéder à des informations déjà stockées dans son équipement terminal de communications électroniques ou à inscrire des informations dans cet équipement » suppose un consentement préalable. Les cookies en sont une technique, et accessoirement la plus ancienne.

Le Comité européen de la protection des données l’a détaillé une nouvelle fois en octobre 2024, dans des lignes directrices sur le champ d’application technique. Trois points méritent d’être retenus. Informations couvre les données personnelles comme les données non personnelles. Inscrire ou lire suffit à soi seul : vous n’avez pas besoin de faire les deux. Et la technique est indifférente : le localStorage, un pixel de suivi, un script qui lit le canvas ou des identifiants placés dans l’URL relèvent tout autant de la règle.

Fonder sa bannière sur « est-ce que j’utilise des cookies ? », c’est donc répondre à la mauvaise question. La bonne est : mon site dépose-t-il quelque chose dans l’appareil du visiteur, ou y lit-il quelque chose, et si oui, pour quoi faire ?

Les exemptions, et jusqu’où va celle de la mesure d’audience

L’article 82 prévoit deux cas dans lesquels le consentement n’est pas requis.

1. La finalité exclusive est de permettre ou faciliter la communication par voie électronique. Plus étroit que cela n’en a l’air, et rarement ce sur quoi vous vous appuierez au bout du compte.
2. Strictement nécessaire à la fourniture d’un service expressément demandé par l’utilisateur. C’est l’exemption décisive. Un panier qui retient ce qu’on y a mis. Une session qui vous garde connecté. Un jeton qui empêche un double envoi. Notez le mot strictement : il s’agit de ce qui rendrait le service impossible, pas de ce qui le rend plus agréable.

À cela, la CNIL ajoute une exemption pratique pour les traceurs de mesure d’audience, mais elle est encadrée : la mesure doit servir uniquement à produire des statistiques anonymes, se limiter au site concerné, ne pas permettre de suivre la personne d’un site à l’autre, ne pas être recoupée avec d’autres traitements, et la durée de vie du traceur doit être limitée. C’est plus généreux que dans certains pays voisins, l’Allemagne par exemple, où l’article 25 du TDDDG ne connaît aucune exemption de ce type. Mais c’est nettement plus étroit que ce qu’un outil de mesure fait par défaut.

Si votre pratique relève de l’une de ces exemptions, vous n’avez pas besoin de consentement. Informer reste en général obligatoire : c’est une obligation distincte, et elle ne disparaît pas avec la bannière.

Ce que cela signifie pour une page de réservation

Prenez une page de réservation ordinaire. Quelqu’un ouvre votre lien, voit quels créneaux sont libres, en choisit un, saisit son nom et son adresse e-mail et reçoit une confirmation. Dans cette chaîne, qu’est-ce qui exige réellement une inscription dans l’appareil de ce visiteur ?

Presque rien. Les créneaux libres viennent du serveur. La réservation part vers le serveur. Ce qui est nécessaire localement, un jeton contre le double envoi par exemple, est strictement nécessaire au service que le visiteur a lui-même demandé. Deuxième exemption, pas de bannière.

Ce qui renverse la réponse est presque toujours quelque chose que vous avez ajouté vous-même :

• un pixel Meta ou LinkedIn pour mesurer les conversions ;
• Google Analytics dans sa configuration par défaut ;
• une carte Google Maps intégrée ou une vidéo YouTube ;
• un widget de chat ;
• des polices de caractères chargées depuis un CDN externe ;
• un outil de tests A/B.

Chacun d’eux inscrit ou lit des informations pour une finalité que le visiteur n’a pas demandée. Cela exige un consentement, et avant que quoi que ce soit ne se produise.

Pourquoi une bannière sans raison vous coûte quelque chose

« Je la mets par sécurité » a l’air gratuit. Ce ne l’est pas, pour trois raisons.

Cela coûte des réservations. Une page de réservation a une seule mission, et chaque clic qui ne porte pas sur un horaire joue contre elle. Vous dressez un obstacle et vous n’obtenez rien en échange.

Cela peut vous mettre en infraction plutôt que vous en sortir. C’est le point contre-intuitif. La CNIL agit activement contre les bannières qui ne tiennent pas la route : cases précochées, refus rendu plus difficile que l’acceptation, ou scripts qui tournaient déjà avant le moindre clic. Une bannière qui demande un consentement puis ignore la réponse est démontrablement trompeuse. Pas de bannière, quand il n’y a rien à demander, ne l’est pas.

Cela affaiblit votre discours. Quand un client demande ce qu’il advient de ses données, « nous ne déposons rien dans votre appareil » est une réponse plus forte que le renvoi vers une fenêtre surgissante qu’il a fait disparaître d’un clic.

Comment Calio se situe

La contre-question légitime, face à un article publié sur le site d’un prestataire : et vous, comment faites-vous ?

La page de réservation publique de Calio ne dépose aucun cookie. Pas un seul. Il n’y a pas de session, pas d’identifiant de visiteur, et rien n’est lu dans le navigateur pour reconnaître quelqu’un. Vous n’avez pas à nous croire sur parole : cela se voit dans les en-têtes de réponse de chaque page.

Nous comptons en revanche combien de fois une page de réservation a été ouverte, car c’est le seul moyen de vous montrer combien de personnes qui la consultent réservent effectivement. Cela se fait avec un compteur par type de rendez-vous et par jour, dans notre propre base de données. Pas d’adresse IP, pas d’agent utilisateur, pas de cookie, pas de session. Rien n’est conservé qui permettrait de relier deux visites, et donc rien qui permettrait de traiter quelqu’un différemment. Comme rien n’est déposé ni lu dans le terminal, la question de l’article 82 ne se pose tout simplement pas ici.

Là où cela devient votre responsabilité : le widget sur votre propre site. Il ne dépose rien lui-même, mais la page qui l’entoure est la vôtre. S’il s’y trouve un pixel publicitaire, c’est de ce pixel qu’il s’agit.

Le reste de ce qu’il y a à savoir sur nos traitements, y compris les sous-traitants ultérieurs avec leur nom et leur pays, figure dans la politique de confidentialité et dans le contrat de sous-traitance.

En résumé

• L’obligation de consentement tient à l’inscription ou la lecture dans le terminal, pas au mot cookie. Les pixels, le localStorage et le fingerprinting comptent aussi.
• Ce qui est strictement nécessaire au service expressément demandé passe sans consentement. Une page de réservation ordinaire n’en arrive le plus souvent même pas là.
• La France exempte la mesure d’audience, mais sous des conditions étroites que la plupart des outils ne remplissent pas par défaut.
• Une bannière dont vous n’avez pas besoin coûte des réservations et peut vous mettre en infraction plutôt que vous en sortir. Regardez d’abord ce que votre page charge, puis décidez.