Cookies et traceurs : Le site de votre mairie respecte-t-il les dernières directives de la CNIL ?
Le site internet d’une commune est bien plus qu’une simple brochure numérique ; il est le prolongement virtuel de l’hôtel de ville. Que ce soit pour consulter les horaires de la bibliothèque, télécharger un formulaire d’urbanisme, lire le dernier compte-rendu du conseil municipal ou accéder au portail famille, les administrés s’y rendent quotidiennement. Cette vitrine numérique est un formidable outil de proximité et de modernisation du service public. Cependant, derrière l’interface souvent gérée par une agence web locale ou un agent passionné d’informatique, se cache une mécanique invisible et particulièrement surveillée par le Règlement Général sur la Protection des Données (RGPD) : les cookies et les traceurs. L’idée selon laquelle seules les grandes entreprises de commerce en ligne seraient concernées par cette réglementation est un mythe dangereux. Les sites institutionnels des collectivités territoriales sont soumis aux mêmes exigences de transparence et de recueil du consentement. Votre bandeau d’information est-il réellement conforme ? Savez-vous précisément quelles données votre site transmet à des géants du numérique ? Cet article décrypte les dernières directives de la Commission Nationale de l’Informatique et des Libertés (CNIL) sur les traceurs, afin de permettre aux maires de sécuriser la porte d’entrée numérique de leur village.
Qu’est-ce qu’un cookie et pourquoi la CNIL s’y intéresse-t-elle tant ?
Pour bien appréhender le risque juridique, il convient de démystifier la notion de cookie. Sur le plan technique, un cookie est un petit fichier texte déposé sur le disque dur ou le navigateur de l’internaute (ordinateur, tablette ou smartphone) lors de la consultation d’un site web. Son rôle initial était purement fonctionnel : mémoriser la langue choisie, conserver les préférences d’affichage ou maintenir la session ouverte de l’utilisateur naviguant de page en page. Ces cookies dits “techniques” ou “strictement nécessaires” ne posent aucune difficulté majeure au regard de la protection des données. Ils sont dispensés du recueil du consentement préalable, car sans eux, le site de la mairie ne pourrait tout simplement pas fonctionner correctement.
Cependant, l’évolution technologique a détourné cet outil de sa finalité première. Aujourd’hui, la grande majorité des cookies sont des “traceurs”. Ils permettent de suivre la navigation de l’administré, d’analyser son comportement, de connaître sa provenance géographique (via son adresse IP) et d’identifier le type d’appareil qu’il utilise. Ces données, même si elles ne comportent pas le nom ou le prénom de la personne, sont considérées par la jurisprudence européenne comme des données à caractère personnel, car elles permettent de singulariser un individu et de dresser son profil. La CNIL s’y intéresse de très près car ces traceurs, souvent installés par le biais de services tiers intégrés au site de la mairie, collectent des données de manière invisible et les transfèrent vers des serveurs situés hors de l’Union européenne, nourrissant ainsi les bases de données d’entreprises mondiales sans que le citoyen n’en ait la moindre idée.
Les idées reçues sur les sites institutionnels des petites communes
L’un des principaux freins à la mise en conformité des sites internet municipaux réside dans un sentiment d’innocuité. Dans les secrétariats de mairie de nos petites communes, le discours est souvent le même : “Nous sommes une mairie rurale, nous ne vendons rien, notre site ne fait que donner des informations institutionnelles, nous n’avons donc pas de cookies de traçage.” Cette affirmation, bien que sincère, est presque toujours contredite par l’analyse technique du code source du site.
En effet, pour rendre le site plus attractif et interactif, le webmaster ou l’agence de communication intègre des modules “clés en main” qui sont de véritables aspirateurs à données. Le cas le plus fréquent est l’intégration d’une carte interactive (souvent Google Maps) pour localiser la salle des fêtes ou l’école. Dès qu’un administré ouvre la page “Contact”, le service de cartographie dépose un traceur publicitaire sur son navigateur. De même, si la commune décide de publier la vidéo des vœux du Maire ou le compte-rendu du conseil municipal en utilisant un lecteur exporté depuis YouTube ou Vimeo, ces plateformes déposent des cookies de profilage avant même que l’internaute n’ait cliqué sur le bouton de lecture. Enfin, les fameux boutons de partage vers les réseaux sociaux (Facebook, Twitter, Instagram), très prisés pour dynamiser la communication locale, agissent comme des mouchards qui informent ces réseaux de la visite de l’internaute, même si ce dernier ne clique pas sur le bouton. Le site de la mairie, censé être un espace public neutre, devient ainsi un relais involontaire du capitalisme de surveillance.
Le recueil du consentement : la fin du “Qui ne dit mot consent”
Face à la multiplication de ces pratiques, la CNIL a considérablement durci ses lignes directrices au cours des dernières années. La révolution majeure concerne la manière dont le consentement de l’internaute doit être recueilli. Pendant longtemps, les sites de mairies affichaient un simple bandeau informatif en bas de page, indiquant : “En poursuivant votre navigation sur ce site, vous acceptez l’utilisation de cookies”. Cette pratique, fondée sur l’acceptation tacite, est désormais strictement illégale. Poursuivre sa navigation (faire défiler la page, cliquer sur un lien) ne vaut plus consentement.
Aujourd’hui, le consentement doit être un acte positif, clair et univoque. Le visiteur doit se voir offrir un choix réel dès son arrivée sur la page d’accueil. La règle d’or imposée par la CNIL se résume en une formule simple : il doit être aussi facile de refuser les cookies que de les accepter. Concrètement, le bandeau d’information doit présenter un bouton “Tout accepter” et, au même niveau de visibilité, avec la même taille et la même couleur, un bouton “Tout refuser” ou “Continuer sans accepter”. De très nombreux sites de collectivités ne sont toujours pas à jour sur ce point et dissimulent le refus derrière un bouton “Paramétrer mes choix” particulièrement fastidieux. Cette conception trompeuse, appelée “Dark Pattern”, est dans le collimateur de l’autorité de contrôle. Pour le Maire, s’assurer que le bandeau de son site respecte cette symétrie des choix est la première étape d’une conformité visible et respectueuse des citoyens.
L’exemption de consentement pour la mesure d’audience : une opportunité à saisir
Le Maire et son équipe ont légitimement besoin de savoir si le site internet de la commune est utile. Ils doivent pouvoir compter le nombre de visiteurs, identifier les pages les plus consultées (par exemple, la page des démarches d’état civil est-elle plus lue que celle de l’agenda culturel ?) et comprendre d’où viennent les internautes pour ajuster la communication municipale. Traditionnellement, cet outil de mesure d’audience (analytics) dépose des traceurs qui nécessitent le recueil du consentement. Si l’administré clique sur “Tout refuser”, sa visite n’est pas comptabilisée, ce qui fausse totalement les statistiques de la mairie.
Cependant, la CNIL a prévu une dérogation extrêmement précieuse, trop souvent ignorée par les agences web locales. Sous certaines conditions très strictes, il est possible d’utiliser un outil de mesure d’audience exempté de consentement. Pour bénéficier de cette exemption, le traceur doit servir exclusivement à la production de statistiques anonymes pour le compte de la mairie, ne pas permettre de suivre la navigation de l’internaute sur d’autres sites, et les données ne doivent en aucun cas être croisées avec d’autres bases ou transmises à des tiers (ce qui exclut d’office l’utilisation de la version standard de Google Analytics). La mise en place d’une solution conforme et exemptée (comme certaines configurations de Matomo) permet à la mairie d’obtenir des statistiques fiables à 100 %, puisque la mesure se fait sans nécessiter l’accord du visiteur, tout en respectant parfaitement sa vie privée. C’est dans ce type de paramétrage technique et juridique pointu que l’accompagnement par un DPO comme Etatys apporte une réelle valeur ajoutée à la collectivité.
Les formulaires en ligne et la transparence de l’information
L’utilisation des cookies n’est que la partie émergée de l’iceberg numérique de la mairie. L’autre point de contact massif avec les données personnelles se situe au niveau des formulaires en ligne. Demande d’acte de naissance, formulaire de contact du secrétariat, inscription à la newsletter de la commune ou réservation de la salle des fêtes : chaque saisie de données doit être accompagnée d’une information transparente.
Le RGPD impose que l’internaute sache exactement ce que la mairie va faire de ses données avant même de cliquer sur “Envoyer”. Un formulaire de contact sans mention d’information, ou renvoyant vers une page générique et obsolète, est une non-conformité majeure. La mention doit préciser l’identité du responsable de traitement, la finalité (pourquoi on demande ces informations), la durée de conservation (combien de temps la mairie va garder cet email) et les modalités d’exercice des droits (comment faire pour demander la suppression de la demande). Chez Etatys, notre expertise de terrain nous a montré que la rédaction de ces mentions est souvent perçue comme une corvée juridique par les secrétaires de mairie. C’est pourquoi nous avons modélisé ces textes pour qu’ils s’intègrent naturellement au design du site, offrant une sécurité juridique blindée sans alourdir l’expérience de l’usager.
La politique de confidentialité : un document vivant et obligatoire
Toutes les informations relatives aux cookies, à l’hébergement des données et à la gestion des formulaires doivent être centralisées dans un document unique et facilement accessible depuis n’importe quelle page du site : la politique de confidentialité (ou politique de protection des données). Trop souvent, les sites municipaux se contentent d’une page “Mentions légales” rédigée il y a dix ans, qui indique le nom du directeur de la publication et le capital social de l’hébergeur, mais qui fait totalement l’impasse sur le RGPD.
La politique de confidentialité ne doit pas être un simple “copier-coller” trouvé sur internet. Elle doit refléter la réalité exacte des traitements opérés par la mairie. Si la commune décide demain d’intégrer un nouveau module de paiement en ligne pour la cantine scolaire, la politique de confidentialité doit être mise à jour pour expliquer comment les données de transaction sont sécurisées. Ce document est le contrat de confiance entre le Maire et l’internaute. Un administré qui lit une politique claire, précise et exempte de jargon technocratique comprend que sa municipalité prend sa vie privée au sérieux. Maintenir ce document à jour face aux évolutions technologiques et réglementaires demande une veille juridique constante, une charge que les mairies ne peuvent assumer seules.
La confusion des rôles : agence web, hébergeur et DPO
Un malentendu récurrent complique la mise en conformité des sites institutionnels : la confusion des rôles entre l’agence web (ou le webmaster indépendant) et le Délégué à la Protection des Données (DPO). Lors de nos audits, nous entendons souvent les élus affirmer : “Notre site est conforme, c’est notre prestataire informatique qui s’en est occupé”. C’est une erreur d’appréciation stratégique.
L’agence web a pour mission de créer un site esthétique, ergonomique et fonctionnel. Elle s’assure que le site s’affiche bien sur mobile et qu’il ne “plante” pas. Cependant, l’expertise juridique relative au recueil du consentement, à la qualification des traceurs et à la rédaction des politiques de confidentialité ne relève pas de son cœur de métier. Le prestataire informatique agit sur instruction de la mairie. C’est au Maire, accompagné de son DPO, de dicter les exigences de conformité à l’agence web. Le DPO définit le cadre légal (exigence d’un bouton “Tout refuser”, listes des cookies à bloquer), et l’agence web l’implémente techniquement. Sans ce dialogue et cette séparation des rôles, la mairie confie sa sécurité juridique à un technicien qui n’est pas formé pour assumer la responsabilité du traitement des données personnelles. Le rôle d’Etatys est d’assurer cette médiation, en parlant le langage technique de vos développeurs tout en défendant exclusivement les intérêts légaux de la commune.
Les risques de sanctions : la CNIL audite aussi les acteurs publics
La question qui brûle souvent les lèvres des élus est la suivante : la CNIL va-t-elle vraiment s’intéresser au site internet de mon petit village ? La réponse est oui. Contrairement à d’autres aspects du RGPD qui nécessitent des contrôles sur place complexes (comme fouiller dans les armoires d’archives), l’audit des cookies et de la conformité d’un site web peut se faire intégralement à distance. La CNIL dispose de robots automatisés capables de scanner des milliers de sites institutionnels en quelques heures pour vérifier si des traceurs illégaux sont déposés avant le recueil du consentement.
De nombreuses collectivités, de toutes tailles, ont déjà reçu des avertissements ou des mises en demeure publiques pour non-conformité de leurs sites internet. Si les amendes financières sont plus rares pour les acteurs publics (bien qu’elles soient légalement possibles), le véritable risque pour un Maire est d’ordre réputationnel et politique. Recevoir une mise en demeure publique de la CNIL est une épreuve difficile à justifier devant l’opposition municipale ou dans la presse locale. Le site internet étant la face visible de la commune, une faille de conformité sur cet outil laisse supposer une négligence généralisée dans la gestion de l’administration. Sécuriser son site, c’est donc protéger son mandat et son image publique.
L’innovation Etatys au service de votre vitrine numérique
Gérer la conformité d’un site internet demande une veille de chaque instant, car les technologies du web et les doctrines de la CNIL évoluent à une vitesse fulgurante. Pour une petite collectivité, suivre ces évolutions relève de la gageure. C’est pour répondre à cette urgence et soulager les secrétariats de mairie qu’Etatys a placé l’innovation au cœur de sa méthode d’accompagnement.
Nous avons validé et développé un système d’automatisation puissant pour la création de tous les dossiers clients nécessaires lors d’une nouvelle mise en conformité. Concrètement, dès que nous prenons en charge la gestion de votre site, notre technologie génère l’architecture de vos politiques de confidentialité, structure les mentions d’information pour vos formulaires et prépare le cahier des charges de mise en conformité à envoyer à votre agence web. Ce gain de temps opérationnel massif nous permet de nous concentrer sur l’audit humain et technique de vos pages. De plus, grâce à notre outil de veille juridique intégré, nous surveillons en permanence les décisions des autorités européennes. Si la CNIL modifie demain ses règles sur les cookies de cartographie, notre système vous alerte et nous mettons à jour votre documentation sans que vous n’ayez à vous en soucier. L’innovation d’Etatys fait de la conformité un processus invisible, fluide et infaillible pour votre mairie.
Conclusion : Faire de votre site web un espace de confiance absolue
Le site internet de votre commune est le point de contact privilégié entre l’action municipale et les administrés. Il doit être le reflet de l’exigence et de la probité de votre mandat. En maîtrisant la gestion des cookies, en offrant un véritable choix à l’internaute et en affichant une transparence totale sur les données collectées via vos formulaires, le Maire transforme une simple vitrine en un véritable espace de confiance citoyenne. Le RGPD ne doit pas être perçu comme un frein à la digitalisation de vos services, mais comme le garant éthique d’un service public en ligne respectueux de chacun.
La mise en conformité d’un site web est un chantier qui mêle subtilités technologiques et exigences juridiques strictes. Croire que le téléchargement d’une extension gratuite ou la délégation aveugle à un prestataire informatique suffit à vous protéger est une erreur stratégique qui expose l’institution communale à des risques sévères de réputation.
Etatys est le cabinet de mise en conformité qui associe la proximité nécessaire aux petites communes à une puissance technologique de haut niveau. Nous comprenons vos contraintes budgétaires et la réalité du travail de vos agents administratifs. Notre solution de DPO externalisé, appuyée par nos outils d’automatisation des dossiers et notre veille juridique permanente, vous offre une mise en conformité numérique sereine et inattaquable. Ne laissez pas les traceurs invisibles ternir la transparence de votre action publique. Contactez Etatys dès aujourd’hui pour auditer votre site internet municipal et faire de la protection des données le symbole de votre modernité politique.
Contactez-nous dès aujourd’hui et faisons ensemble du RGPD et de la cybersécurité des atouts pour votre collectivité.
Avec Etatys, soyez sûr d’être prêts.
Page mise à jour : Juin/2026