Site sans cookies ni bannière RGPD : légal, et voici comment

L'été StartingUp continue de prendre de la hauteur. Après avoir détaillé l'architecture headless qui propulse ce site, nous nous penchons sur ce qu'il n'a pas : c'est un site sans cookies ni bannière RGPD, sans le moindre gestionnaire de consentement. Comme pour le respect des préférences d'affichage de vos visiteurs, ce dépouillement est un choix délibéré, pas un oubli.

Vous connaissez le rituel. Vous cliquez sur un lien, la page se charge, et avant même d'avoir lu le premier mot, un panneau vous barre la route : « Nous et nos 847 partenaires utilisons des cookies... ». Vous cherchez le bouton qui fait disparaître la chose, vous cliquez sans lire, vous oubliez. Des dizaines de fois par jour.

Ce site que vous êtes en train de lire ne vous a rien demandé. Pas de bannière, pas de gestionnaire de consentement, pas de cookie déposé. Et c'est parfaitement légal. Voici ce que le droit exige réellement, comment nous nous en passons concrètement, et, avec la même honnêteté, dans quels cas ce choix vous sera fermé.

Un site sans bannière cookies est parfaitement conforme au RGPD, à une condition : ne déposer aucun traceur soumis à consentement. Le droit n'impose pas de bandeau, il encadre les traceurs ; un site qui n'en utilise pas n'a simplement rien à faire consentir.

La bannière cookies devait incarner la reprise de contrôle des internautes sur leurs données. Elle est devenue le symbole inverse : un réflexe d'évitement. Les études d'usage convergent : quelques secondes d'attention au mieux, un clic pour se débarrasser de l'obstacle, aucun souvenir du choix effectué. Les chercheurs ont donné un nom à ce phénomène : la consent fatigue, la lassitude du consentement. Un consentement donné par épuisement n'informe plus personne ; il ne protège plus rien.

Côté éditeur, la facture est double. En données d'abord : depuis que le bouton « tout refuser » doit être aussi accessible que le « tout accepter » (la CNIL l'exige depuis 2021), le refus est devenu massif et une part importante du trafic disparaît des outils de mesure. En conversion ensuite : un panneau qui recouvre le contenu au premier écran dégrade la première impression et augmente le taux de rebond. La bannière ampute la donnée qu'elle était censée légitimer, et abîme l'expérience qu'elle interrompt.

Première idée reçue : aucun texte n'impose d'afficher une bannière. Le droit encadre les traceurs, pas les bandeaux. Deux textes se combinent : le RGPD, qui régit le traitement des données personnelles, et la directive ePrivacy (transposée en France à l'article 82 de la loi Informatique et Libertés), qui impose un consentement préalable pour lire ou écrire des informations sur le terminal de l'internaute.

Or ce consentement n'est requis que pour les traceurs non essentiels au service demandé. Un cookie de session qui maintient un panier d'achat ou une authentification n'a besoin d'aucune permission. Et un site qui ne dépose aucun traceur soumis à consentement n'a, mécaniquement, rien à recueillir : la bannière n'y a pas d'objet. C'est notre cas.

La doctrine de la CNIL va même plus loin : la mesure d'audience peut être exemptée de consentement, à des conditions strictes. Finalité limitée à la seule mesure d'audience du site, pour le compte exclusif de l'éditeur ; statistiques anonymes, sans recoupement avec d'autres traitements ni suivi d'un site à l'autre ; durée de vie du traceur plafonnée à 13 mois et conservation des données à 25 mois. La CNIL publie un guide de configuration pour Matomo, mais ne délivre ni label ni liste blanche : la conformité reste de la responsabilité de l'éditeur. À l'inverse, Google Analytics ne rentre pas dans les clous de cette exemption, y compris dans ses modes « consentement » ou anonymisés.

À l'heure où nous écrivons, Bruxelles discute d'ailleurs d'un allègement de ces règles (le paquet « Digital Omnibus »). Rien n'est adopté : un site sans traceurs est conforme aujourd'hui, et le restera.

Se passer de bannière, ce n'est pas renoncer aux outils : c'est remplacer chaque brique traçante par un équivalent qui ne l'est pas. Quatre substitutions couvrent l'essentiel des sites vitrines et éditoriaux.

Trois familles de solutions, par ordre de richesse décroissante : un Matomo auto-hébergé configuré en mode exempté (anonymisation des adresses IP, pas de suivi inter-sites, finalité limitée à l'audience) ; un outil nativement sans cookie comme Plausible, qui ne stocke rien sur le terminal du visiteur ; ou, plus frugal encore, la simple analyse des logs serveur, qui suffit déjà à compter les visites et repérer les contenus qui fonctionnent. Dans les trois cas, vous perdez les profils individuels et le ciblage comportemental. Vous gardez ce qui sert réellement à piloter un site éditorial : savoir ce qui est lu, d'où viennent les lecteurs, et ce qui convertit.

Charger une police via Google Fonts, c'est envoyer l'adresse IP de chaque visiteur aux serveurs de Google : un tribunal allemand l'a sanctionné dès 2022, l'IP étant une donnée personnelle. La parade est triviale : héberger les fichiers de police sur son propre domaine. Avec Next.js, next/font le fait automatiquement au build ; sur WordPress classique, quelques fichiers woff2 et une déclaration @font-face suffisent. Bonus : une requête de moins, un rendu plus rapide et plus stable.

Anecdote de tiroir : la première graine de cet article est un brouillon de 2022, jamais publié, qui tenait en trois lignes et recommandait le domaine youtube-nocookie.com. L'intention était bonne, la solution incomplète : même en mode « confidentialité avancée », l'iframe YouTube charge des ressources Google dès l'affichage de la page. La bonne pratique est la façade cliquable : la page affiche une simple image (miniature et bouton de lecture), et le lecteur ne se charge qu'au clic du visiteur. Rien ne part chez le tiers avant cette action positive, et la page s'en trouve nettement allégée.

Le reCAPTCHA de Google est un traceur comme un autre : il analyse le comportement du visiteur pour le compte d'un tiers, ce qui le soumet au consentement. Or l'anti-spam se passe très bien de lui : un champ piège invisible pour les humains (technique du honeypot), une validation stricte côté serveur et une limitation du débit de soumissions arrêtent l'immense majorité des robots. C'est ainsi que fonctionnent nos formulaires de contact, sans script tiers.

Disons-le sans détour : ce modèle ne convient pas à tout le monde. Trois situations exigent structurellement des traceurs soumis à consentement, donc une bannière :

• Le retargeting publicitaire. Recibler sur Meta ou Google un visiteur qui n'a pas converti suppose de le suivre d'un site à l'autre : c'est la définition même du traceur tiers.
• L'e-commerce à attribution fine. Savoir quelle campagne, quel mot-clé et quelle audience ont généré chaque vente repose sur des identifiants persistants entre plateformes publicitaires et boutique.
• La personnalisation comportementale poussée. Tests A/B individualisés, recommandations selon l'historique : sans profil individuel, pas de personnalisation individuelle.

Renoncer à la bannière, c'est renoncer à cela, et ce renoncement a un prix stratégique réel : des budgets d'acquisition pilotés avec moins de précision, pas de remarketing, une mesure qui redevient statistique là où elle était individuelle. Pour un modèle fondé sur la publicité ciblée, ce prix est prohibitif. Pour un site vitrine, un média de marque ou une entreprise de services dont les clients arrivent par la recherche, la recommandation et le contenu, il est étonnamment faible : l'essentiel de ce que la bannière « achetait » n'était pas utilisé.

Un site sans cookies ni bannière n'est donc pas un exploit juridique : c'est une suite de décisions techniques ordinaires, prises avec un peu de constance. La vraie question n'est pas « est-ce possible ? » mais « qu'est-ce que cela dit de vous ? ».

Votre premier écran est votre première impression. Vous pouvez y afficher un panneau qui énumère vos partenaires publicitaires, ou votre contenu. Un site qui n'a rien à faire consentir envoie un message qu'aucune charte de confidentialité ne remplacera : ici, on ne vous suit pas, on vous parle. Ce n'est pas une privation, c'est un positionnement : quelque chose que vos visiteurs constatent en une seconde et que vos concurrents, souvent, ne peuvent pas copier sans repenser leur modèle. La sobriété se voit. C'est même, en matière de confiance, ce qui se voit le mieux.