Cookies et RGPD : les règles et leurs exceptions
Dernière mise à jour : 29 septembre 2026
Consentement et exemptions
En France, l'article 82 de la loi Informatique et Libertés transpose l'article 5(3) de la directive ePrivacy. La lecture et l'écriture d'informations sur le terminal nécessitent en principe un consentement préalable. Des exceptions existent pour la transmission d'une communication et ce qui est strictement nécessaire au service expressément demandé. Le RGPD s'applique en parallèle aux traitements de données personnelles.
La finalité et la configuration comptent : un nom de cookie, un domaine tiers ou la présence d'un script ne suffisent pas à établir sa nécessité ou son illégalité.
Mesure d'audience
Certains usages de mesure d'audience peuvent être exemptés sous conditions, notamment une finalité limitée, pour le compte exclusif de l'éditeur, sans suivi entre sites ni réutilisation incompatible. Un produit ne bénéficie pas d'une exemption automatique du seul fait de sa marque.
Durées
Il n'existe pas de plafond universel de 13 mois pour tous les cookies. Pour la mesure d'audience exemptée, la CNIL donne notamment le repère de 13 mois sans prorogation automatique et de 25 mois pour les informations collectées. Les durées restent à justifier au regard des finalités. Le scan ne voit que l'expiration restante des cookies, pas l'historique des renouvellements ni la conservation sur les serveurs.