Vous avez intégré un plugin de statistiques de visite sur votre site, ou votre développeur a ajouté un bouton « Prendre rendez-vous » fourni par une plateforme tierce. Sans le savoir, vous avez peut-être déposé des cookies nécessitant un consentement de vos patients et visiteurs. La question des cookies touche directement la conformité globale de l’hébergement de votre site médical. Voici ce que la réglementation impose.
Qu’est-ce qu’un cookie et pourquoi c’est sensible en santé ?
Un cookie est un petit fichier texte déposé par un site web dans le navigateur du visiteur afin de mémoriser des informations entre deux visites. Au-delà des simples cookies de session (maintien de la connexion, mémorisation du panier), les traceurs peuvent collecter des données sur le comportement de navigation : pages visitées, durée de visite, origine géographique, appareil utilisé. Sur un site médical, ces informations peuvent indirectement révéler des informations de santé : si un internaute visite régulièrement la page d’un dermatologue spécialisé dans une pathologie particulière, sa navigation peut être considérée comme une donnée sensible. L’article 82 de la loi n° 78-17 du 6 janvier 1978 (loi Informatique et Libertés) interdit le dépôt ou la lecture d’un traceur sur l’équipement d’un utilisateur sans son consentement préalable, sauf exceptions. Les mentions légales doivent lister les cookies utilisés ; nous avons détaillé les autres informations obligatoires dans notre page sur les mentions légales d’un site de santé.
Les cookies exemptés de consentement
La délibération CNIL n° 2020-091 liste les traceurs qui, parce qu’ils sont strictement nécessaires au fonctionnement du service, sont exemptés de consentement. Sont notamment exemptés : les cookies de session d’authentification, les cookies de mémorisation du panier (hors santé), les cookies de personnalisation de l’interface (langue, thème) définis par l’utilisateur, et certains outils de mesure d’audience à condition qu’ils soient « strictement limités aux besoins de mesure de performance du site pour le compte de l’éditeur ». La CNIL a élaboré une procédure de dispense de consentement pour les outils de mesure d’audience présentant certaines garanties. Matomo (anciennement Piwik) correctement configuré peut bénéficier de cette exemption, sous conditions précises. Google Analytics 4, dans sa configuration standard, n’en bénéficie pas selon la doctrine CNIL actuelle.
Ce qui est interdit ou insuffisant
- Le bandeau « En continuant à naviguer, vous acceptez les cookies » : la délibération CNIL 2020-091 est explicite. Le consentement doit être donné par un acte positif clair : cocher une case, cliquer sur un bouton « Accepter ». La simple continuation de la navigation ne vaut pas consentement.
- Rendre le refus plus difficile que l’acceptation : le bouton « Refuser » doit être aussi accessible et visible que le bouton « Accepter ». Les interfaces dites « dark patterns » qui noient le refus dans les paramètres ou l’affichent en petit caractère constituent une violation du RGPD sanctionnée par la CNIL.
Cas particulier : les widgets de prise de rendez-vous tiers
De nombreux sites médicaux intègrent un widget de prise de rendez-vous fourni par une plateforme tierce. Ce widget peut déposer ses propres cookies, parfois à l’insu de l’éditeur du site. Ces cookies sont soumis aux mêmes règles : si le widget dépose un traceur non strictement nécessaire avant que l’utilisateur ait consenti, la responsabilité de l’éditeur du site est engagée. Il faut donc auditer régulièrement les cookies déposés par les widgets intégrés et s’assurer que votre gestionnaire de consentement (CMP) les bloque jusqu’à l’accord du visiteur. La page sur le formulaire de contact et les données collectées aborde la même problématique pour les formulaires de contact intégrant des services tiers.
Ce qu’il faut faire concrètement
Réalisez un audit de vos cookies avec un outil spécialisé (Cookie Scanner, Cookiebot en mode audit, etc.) pour identifier tous les traceurs présents sur votre site. Classez-les en trois catégories : nécessaires (pas de consentement requis), analytics (consentement requis sauf exemption), marketing et réseaux sociaux (consentement requis). Mettez en place une CMP (Consent Management Platform) conforme à la CNIL qui bloque les traceurs non nécessaires avant le consentement. Mettez à jour votre politique de confidentialité avec la liste des cookies et leur finalité. Documentez ces choix dans votre registre de traitements RGPD.
Questions fréquentes
Un site médical sans formulaire ni analytics a-t-il besoin d’un bandeau cookies ?
Si le site ne dépose aucun cookie autre que les cookies de session strictement nécessaires, aucun bandeau de consentement n’est obligatoire. En pratique, un site construit avec un CMS comme WordPress dépose souvent des cookies techniques invisibles — vérifiez au cas par cas avec un audit de cookies avant de conclure à l’exemption.
Google Analytics est-il interdit sur un site médical ?
Google Analytics n’est pas interdit, mais son usage sans consentement préalable est contraire à la réglementation CNIL. Il doit être bloqué jusqu’à ce que l’utilisateur accepte les cookies analytics. La CNIL a également sanctionné le transfert de données vers les États-Unis via Google Analytics sans garanties adéquates — vérifiez la configuration de votre outil.
À quelle fréquence faut-il auditer les cookies de son site ?
Un audit annuel est un minimum. Chaque modification du site (ajout d’un plugin, intégration d’un widget, changement de thème) peut introduire de nouveaux cookies. Il est conseillé de réaliser un audit après chaque mise à jour majeure du site ou de ses composants.
Sources
- Article 82 de la loi n° 78-17 du 6 janvier 1978 modifiée (loi Informatique et Libertés).
- Délibération CNIL n° 2020-091 du 17 septembre 2020 — traceurs et cookies.
- Règlement (UE) 2016/679 (RGPD), articles 4(11), 7 et 83 — consentement.
- Recommandation CNIL sur les cookies et autres traceurs, version mise à jour disponible sur cnil.fr.
Digital-Sante.fr audite vos traceurs et met en place une gestion du consentement conforme. Demander un devis.
Article informatif. Il ne constitue pas un conseil juridique : en cas de doute, rapprochez-vous de votre conseil de l’ordre.