Deux chiffres circulent constamment dans les discussions sur la durée des cookies en France : 13 mois et 6 mois. Beaucoup de sites, et malheureusement pas mal de guides publiés en ligne, les confondent ou appliquent le mauvais chiffre au mauvais cookie, ce qui aboutit soit à des cookies bien plus courts que nécessaire, soit à des bandeaux qui redemandent le consentement à un rythme non conforme aux recommandations de la CNIL. Les deux durées existent bien, mais elles ne répondent pas à la même question.

Cet article explique précisément ce que couvre chacune de ces deux durées, à quels cookies chacune s'applique, et comment configurer correctement votre site pour respecter les deux sans les mélanger.

13 mois : la durée de vie maximale du cookie de mesure d'audience exempté de consentement. Certains outils de mesure d'audience (des solutions d'analytics configurées selon des critères stricts d'anonymisation et de limitation des finalités) peuvent être exemptés de l'obligation de consentement préalable par la CNIL, à condition de remplir plusieurs critères cumulatifs : les données ne doivent servir qu'à produire des statistiques anonymes, ne pas être croisées avec d'autres traitements, et l'adresse IP doit être tronquée ou l'identifiant doit être limité dans le temps.

Pour ces cookies spécifiquement exemptés, la CNIL fixe une durée de vie maximale de 13 mois, au-delà de laquelle le cookie doit être renouvelé ou effacé.

6 mois : le délai recommandé avant de redemander le consentement à l'utilisateur. C'est une question différente : une fois qu'un utilisateur a fait un choix (accepté ou refusé les cookies non essentiels), pendant combien de temps ce choix reste-t-il valable avant que le site puisse légitimement lui reposer la question ?

La CNIL recommande, en bonne pratique, de ne pas dépasser 6 mois avant de redemander le consentement, pour tenir compte du fait que les préférences d'un utilisateur, l'usage du site ou les traceurs présents peuvent évoluer.

Les deux chiffres portent sur une "durée liée au consentement aux cookies", ce qui les rend faciles à confondre dans un résumé rapide, mais ils s'appliquent à deux objets complètement différents : le premier est une caractéristique technique d'un cookie spécifique et rare (l'analytics exempté), le second est une règle de bonne pratique qui concerne le rythme auquel un site sollicite à nouveau l'utilisateur, quel que soit le type de cookie concerné.

Appliquer 13 mois à la fréquence de re-sollicitation du consentement, comme cela arrive dans certains guides, aboutit à des bandeaux qui ne redemandent le consentement qu'une fois par an et plus, ce qui ne correspond pas à la recommandation de la CNIL.

Si un site configure son cookie de mémorisation du consentement pour durer 13 mois en pensant appliquer la règle de la mesure d'audience, il redemande le consentement moins souvent que ce que recommande la CNIL, ce qui constitue un écart aux bonnes pratiques bien qu'il ne s'agisse pas nécessairement d'une infraction directement sanctionnable en soi.

À l'inverse, si un outil d'analytics exempté est configuré pour expirer après seulement 6 mois en pensant appliquer la règle du consentement, cela ne pose pas de problème de conformité, seulement une perte de données statistiques plus fréquente que nécessaire.

Le vrai risque de non-conformité apparaît ailleurs : si un outil d'analytics qui ne remplit pas réellement les critères d'exemption (parce qu'il croise les données avec d'autres traitements, par exemple) est traité comme exempté et dure 13 mois sans consentement, c'est là que se situe l'infraction, indépendamment de la durée elle-même.

Pour les cookies non essentiels qui nécessitent un consentement (analytics standard, publicité, réseaux sociaux), la durée de vie technique du cookie peut suivre les besoins fonctionnels du service, mais le mécanisme qui mémorise le choix de l'utilisateur doit prévoir de redemander ce consentement dans un délai n'excédant pas 6 mois, conformément à la recommandation de la CNIL.

Pour un outil de mesure d'audience qui remplit réellement les critères stricts d'exemption, sa durée de vie technique peut aller jusqu'à 13 mois sans consentement préalable, mais uniquement si les critères d'exemption sont vérifiés et documentés, pas supposés par défaut.

Nous détaillons les critères précis de conformité d'un bandeau qui applique correctement cette distinction dans notre guide sur le bandeau cookies conforme à la CNIL.

La façon la plus fiable de savoir laquelle des deux règles s'applique à quel cookie sur votre site n'est pas de deviner à partir du nom du fournisseur, mais de scanner techniquement ce qui est réellement déposé et pendant combien de temps.

Il est fréquent qu'un site pense utiliser un outil "exempté" alors que la configuration réelle ne remplit plus les critères stricts (par exemple parce qu'une intégration publicitaire a été ajoutée par la suite et partage désormais les données), ce qui invalide l'exemption sans que personne ne s'en rende compte.

Une plateforme de gestion du consentement comme AdOpt configure ces durées correctement dès le départ selon le type réel de chaque cookie détecté, et programme automatiquement la re-sollicitation du consentement au rythme recommandé, sans laisser cette configuration au hasard d'un paramètre par défaut mal compris.

Non, sauf s'il s'agit spécifiquement d'un cookie de mesure d'audience remplissant les critères stricts d'exemption de consentement. Pour tous les autres cookies non essentiels, ce n'est pas la règle applicable ; c'est le délai de re-sollicitation du consentement (6 mois recommandé) qui compte.

Vous vous éloignez de la bonne pratique recommandée par la CNIL, qui recommande de ne pas dépasser 6 mois. Ce n'est pas nécessairement une durée fixée par un texte contraignant au sens strict, mais c'est la référence utilisée en pratique lors des contrôles.

Dans sa configuration standard, non, car il partage généralement des données à des fins publicitaires propres à Google, ce qui rompt les critères stricts d'exemption. Seules des configurations très spécifiques d'anonymisation stricte peuvent, dans certains cas, s'en approcher.

Oui, le principe de symétrie s'applique : un refus doit être traité avec la même logique de re-sollicitation qu'une acceptation, sans redemander plus fréquemment après un refus qu'après une acceptation.

Il faut vérifier concrètement que les données ne sont utilisées qu'à des fins statistiques anonymes propres au site, qu'elles ne sont pas croisées avec d'autres traitements du même fournisseur, et que l'identifiant est suffisamment limité. Cela nécessite de lire les conditions réelles du fournisseur, pas de le supposer par analogie avec d'autres outils.

• Qu'est-ce qu'un cookie internet ? Le guide complet
• Refuser les cookies : est-ce une obligation légale ?

Vérifiez la durée réelle configurée pour chaque cookie de votre site en quelques minutes. Testez AdOpt gratuitement.

Réservez un échange avec notre équipe