Base de connaissances tracking
Un cookie se classe selon plusieurs axes indépendants : contexte first-party ou third-party, durée de session ou persistante, création HTTP ou JavaScript, partitionnement et finalité. Le consentement dépend surtout de la finalité et d’une éventuelle exemption, pas de l’étiquette technique.
Sources officiellesUn même cookie peut être first-party, persistant, créé par une réponse HTTP, protégé par HttpOnly et utilisé pour une finalité donnée. Ces étiquettes décrivent des axes différents. Aucune ne permet, à elle seule, de conclure qu’un consentement est ou non requis.
Pour décider quoi documenter, bloquer ou autoriser, séparez cinq questions : dans quel contexte le cookie est-il envoyé, combien de temps peut-il rester, comment est-il créé et lu, son état est-il partitionné, et surtout à quelle finalité sert-il ?
Un cookie dit first-party est utilisé dans le contexte du site que la personne visite. Un cookie dit third-party intervient dans un contexte cross-site, par exemple lorsqu’un service externe est chargé dans une iframe ou comme sous-ressource. La portée effective dépend aussi des attributs Domain, Path et SameSite ainsi que des règles du navigateur.
Les navigateurs peuvent bloquer ou restreindre les cookies cross-site indépendamment de la durée demandée. WebKit bloque par défaut les cookies de ressources cross-site et propose la Storage Access API pour certains usages intégrés soumis au contrôle de l’utilisateur.
Point de consentement : first-party ne signifie pas « nécessaire ». Un identifiant publicitaire écrit sur le domaine du site reste à évaluer selon sa finalité. À l’inverse, la qualification third-party ne remplace pas l’analyse du service expressément demandé et de l’exemption applicable.
Selon le RFC 6265, un cookie sans Expires ni Max-Age est conservé jusqu’à la fin de la session courante telle que définie par l’agent utilisateur. Un cookie persistant déclare au contraire une durée maximale avec Expires ou Max-Age.
Cette durée est une intention technique, pas un engagement du navigateur. Celui-ci peut supprimer le cookie plus tôt pour des raisons de quota, de confidentialité ou à la demande de la personne. La durée technique ne constitue pas non plus, à elle seule, une durée de conservation juridiquement appropriée.
Un serveur peut créer un cookie avec l’en-tête Set-Cookie ; le navigateur renvoie ensuite les cookies applicables dans l’en-tête Cookie. Un script peut aussi créer ou lire certains cookies via document.cookie.
L’attribut HttpOnly empêche l’exposition du cookie aux API de script du navigateur. Secure limite son envoi aux canaux sécurisés. Domain et Path définissent sa portée d’envoi. Ces attributs sont essentiels pour la sécurité et l’exploitation, mais ne créent pas d’exemption de consentement.
CHIPS permet à un service intégré d’opter pour un cookie partitionné. Le navigateur conserve alors un compartiment distinct pour chaque site de premier niveau. Le même service intégré ne récupère donc pas automatiquement la même valeur lorsqu’il apparaît sur un autre site.
L’attribut Partitioned exige Secure dans l’implémentation décrite par Google. Le partitionnement réduit la réutilisation cross-site, mais il ne transforme pas automatiquement un usage publicitaire ou de mesure en usage exempté.
L’article 5(3) de la directive ePrivacy, transposé en France par l’article 82 de la loi Informatique et Libertés, vise le stockage d’informations dans le terminal ou l’accès à des informations déjà stockées. Le consentement préalable est le principe, avec deux exceptions étroites : la transmission d’une communication et ce qui est strictement nécessaire à un service expressément demandé.
Peuvent notamment relever d’une exemption, selon leur configuration réelle : la mémorisation du choix de consentement, l’authentification et sa sécurité, le panier demandé, certaines préférences d’interface attendues, l’équilibrage de charge et certaines mesures d’audience répondant à toutes les conditions de la CNIL.
La publicité, la mesure publicitaire utilisant des traceurs, les boutons sociaux et le suivi de navigation entre sites nécessitent généralement un consentement préalable. Les traitements de données personnelles associés restent soumis au RGPD même lorsqu’un accès au terminal bénéficie d’une exemption.
La règle ne se limite pas aux cookies. Les lignes directrices 2/2023 de l’EDPB couvrent notamment le suivi par URL ou pixel, certains traitements locaux et les identifiants uniques lorsqu’ils impliquent stockage ou accès au terminal.
Cette typologie explique comment qualifier un cookie. Pour suivre concrètement les identifiants Google, Meta et TikTok entre URL, stockage navigateur, requête et payload serveur, ouvrez l’atlas des identifiants de tracking.
Les termes first-party, session, HttpOnly ou partitionné sont souvent utilisés comme s’ils indiquaient le niveau de consentement requis. Ils décrivent pourtant des propriétés différentes. Les confondre produit des inventaires inexacts, des bandeaux mal configurés et de fausses assurances de conformité.
Consultez les textes officiels et la documentation qui étayent cet article.
Vous voulez valider votre architecture, vos flux média ou votre plan de mesure avant d’investir plus ? Parlons-en.