Chatbot et cookies : faut-il le consentement des visiteurs pour le chat de votre site ?

La réponse courte#

Un widget de chat n'impose pas à lui seul un bandeau cookies, et il n'en est pas dispensé d'office. Tout dépend de ce qu'il dépose ou lit sur l'appareil du visiteur, à quel moment et pour quoi faire :

• Avant que le visiteur active le chat, il n'a rien demandé. Un traceur déposé à ce moment exige son consentement préalable : c'est la première des deux options que décrit la CNIL.
• À l'activation du chat, par un clic sur la fenêtre de conversation ou sur un bouton qui l'ouvre, le traceur qui ne sert qu'au chat est « strictement nécessaire » et n'exige pas de consentement : c'est la seconde option.
• Si ce traceur sert aussi à autre chose, mesure d'audience ou publicité par exemple, le consentement redevient nécessaire. Reconnaître le visiteur d'une visite à l'autre va, en règle générale, au-delà de ce que le chat exige.

Le RGPD s'applique en plus aux données personnelles traitées : l'adresse IP que reçoit le fournisseur quand son script se charge, et les conversations elles-mêmes. Le consentement de l'article 82 ne remplace ni votre politique de confidentialité ni le contrat de sous-traitance (article 28 du RGPD) avec le fournisseur du chat. Les points de cet article ont été vérifiés aux sources le 25 octobre 2026.

La règle : l'article 82 de la loi Informatique et Libertés#

L'article 82 de la loi n° 78-17 du 6 janvier 1978 transpose l'article 5, paragraphe 3, de la directive 2002/58/CE « vie privée et communications électroniques », dans sa version modifiée en 2009. Toute action qui lit ou inscrit des informations dans l'équipement terminal de l'utilisateur suppose qu'il en ait été informé et qu'il ait donné son consentement. Il y a deux exceptions : l'action qui « a pour finalité exclusive de permettre ou faciliter la communication par voie électronique », et celle qui « est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur ». C'est la seconde qui concerne un chat.

La CNIL veille au respect de l'article 82. Elle en a précisé la lecture dans ses lignes directrices (délibération n° 2020-091 du 17 septembre 2020) et dans sa recommandation (délibération n° 2020-092 du même jour). Quatre points comptent pour un widget de chat :

1. Pas seulement les cookies. Les lignes directrices visent aussi le « local storage » du standard HTML 5, le calcul d'empreinte (« fingerprinting ») et les identifiants du terminal (§ 13). Le Comité européen de la protection des données (CEPD) va dans le même sens dans ses lignes directrices 2/2023 : un code JavaScript qui fait envoyer par le navigateur des informations présentes sur l'appareil relève de l'article 5, paragraphe 3 (point 33), et aucune durée minimale n'est requise pour qu'une information compte comme stockée (point 37). Une valeur gardée jusqu'à la fermeture de l'onglet est donc stockée.
2. Données personnelles ou non. L'article 82 s'applique que l'information soit une donnée personnelle ou non (§ 14). La Cour de justice l'a jugé pour l'article 5, paragraphe 3, dans l'arrêt Planet49 du 1er octobre 2019 (C-673/17).
3. Des exemptions d'interprétation stricte. Un traceur n'échappe au consentement que s'il sert exclusivement à des finalités exemptées ; s'il sert aussi à autre chose, le consentement préalable est requis (§ 47 et 48). La FAQ de la CNIL rappelle que ces exemptions « doivent être interprétées strictement ».
4. L'éditeur répond des traceurs déposés depuis son site. L'éditeur qui dépose des traceurs est responsable de traitement, même s'il en confie la gestion à un tiers, et il doit s'assurer qu'un mécanisme de recueil du consentement existe pour les traceurs que d'autres déposent depuis son site (§ 34 à 36). Le fournisseur qui agit exclusivement pour votre compte est votre sous-traitant, avec un contrat au titre de l'article 28 du RGPD (§ 40).

Et en Belgique ? L'Autorité de protection des données (APD) suit la même logique sur sa page consacrée aux cookies : aucun cookie non strictement nécessaire ne peut être placé ou lu avant le consentement, les règles visent aussi d'autres techniques comme le stockage local (la page décrit également le stockage de session), et le consentement ne peut pas être déduit des paramètres du navigateur. Une différence avec la France : pour l'APD, un cookie à finalité analytique ne remplit « en principe » aucune des deux conditions d'exemption, alors que la CNIL exempte certains traceurs de mesure d'audience sous conditions.

Note. La règle peut changer. Le 19 novembre 2025, la Commission européenne a proposé, avec le règlement omnibus numérique (COM(2025) 837), de faire passer le stockage et la lecture de données personnelles dans l'équipement terminal dans un nouvel article 88 bis du RGPD : toujours avec consentement, avec notamment une exception pour « fournir un service expressément demandé par la personne concernée » et un refus possible au moyen d'un bouton à simple clic ; un article 88 ter prévoit des indications lisibles par machine pour les choix de l'utilisateur. Au 25 octobre 2026, la fiche de procédure du Parlement européen indique « Awaiting committee decision ». Ce n'est pas du droit en vigueur ; cet article s'appuie sur les règles applicables aujourd'hui.

Ce que la CNIL dit des chatbots#

La CNIL a publié le 19 février 2021 une page intitulée « Chatbots : les conseils de la CNIL pour respecter les droits des personnes ». Elle part d'un constat : pour assurer la continuité technique du chatbot ou garder l'historique de la conversation d'une page à l'autre, un cookie est souvent déposé et lu sur le terminal de l'utilisateur. L'opérateur du chatbot a alors deux possibilités :

• Déposer le cookie avant l'activation du chatbot. Il doit dans ce cas obtenir le consentement préalable de l'utilisateur, un consentement libre, spécifique, éclairé et univoque.
• Ne déposer le cookie qu'à l'activation par l'utilisateur, par exemple quand il clique sur la fenêtre de conversation affichée ou sur un bouton qui ouvre explicitement le chatbot. Le cookie est alors « strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur » et ne demande pas de consentement.

La seconde option a une limite : l'exemption ne vaut que si le traceur ne sert qu'à fournir le chatbot, et « toute autre finalité lui étant rattachée nécessitera le consentement de l'utilisateur ». La page parle de cookies ; les lignes directrices appliquent les mêmes règles à tous les traceurs, stockage local compris.

Au niveau européen, l'avis 04/2012 du groupe de travail « Article 29 » (WP 194) décrit des « cookies alimentés par l'utilisateur » : des cookies de session qui gardent la trace des informations saisies « dans une série d'échanges de messages avec un fournisseur de services », liés à une action de l'utilisateur et expirant au plus tard à la fin de la session, et il exempte ces cookies. L'avis ne parle pas de chat, mais une conversation de chat correspond, à la lettre, à cette description. Il précise aussi que la stricte nécessité s'apprécie du point de vue de l'utilisateur, non du fournisseur, et que, si des doutes subsistent, l'éditeur doit examiner s'il ne peut pas recueillir le consentement d'une manière simple et discrète.

Les autorités allemandes de protection des données, réunies au sein de la DSK, retiennent le même moment dans leur guide de novembre 2024 : un chat n'est pas souhaité du seul fait que le visiteur ouvre la page, il l'est quand le visiteur l'utilise, par exemple en cliquant sur un chatbot.

Tableau de décision : quand le chat exige un consentement#

Le tableau donne la lecture habituelle de l'article 82 à partir des textes de la CNIL. Il ne remplace pas l'examen de votre widget : le test de la section suivante sert à cela. Lorsque l'enjeu est important, faites relire votre analyse par votre conseil ou votre délégué à la protection des données.

Une différence avec l'Allemagne porte sur la mesure d'audience. Là où la CNIL exempte certains traceurs de mesure sous conditions strictes, la DSK refuse de dire de façon générale qu'une mesure d'audience peut se passer de consentement : tout dépend, selon elle, de la configuration exacte et de la finalité. Si votre site vise aussi des visiteurs en Allemagne, ne comptez pas sur l'exemption française.

Tester n'importe quel widget en cinq minutes#

Les outils de développement du navigateur montrent ce que fait réellement un widget, au-delà de ce qu'en dit son fournisseur. Dans Chrome, ouvrez-les avec F12 ou Ctrl+Maj+I (Cmd+Option+I sur Mac). Dans une interface en anglais, les panneaux s'appellent « Application » et « Network » dans Chrome, « Storage » et « Network » dans Firefox ; en français, leurs noms peuvent être traduits.

1. Fenêtre de navigation privée. Aucun ancien cookie ne fausse ainsi le résultat. Ouvrez les outils avant de charger la page, pour que le panneau réseau enregistre dès le début. Ne touchez pas au bandeau cookies.
2. Stockage. Sous « Application » ou « Storage », vous trouvez les cookies, le stockage local et le stockage de session, classés par adresse. Regardez chaque adresse, y compris celle du fournisseur du chat : si le chat tourne dans un cadre (iframe), son stockage figure sous l'adresse du fournisseur.
3. Réseau. Le panneau « Network » montre les hôtes tiers contactés avant tout clic. Filtrez sur le nom du fournisseur.
4. Ouvrir, puis écrire. Ouvrez le chat sans écrire et regardez de nouveau. Envoyez ensuite un premier message et regardez une troisième fois.
5. Nouvel onglet. Fermez l'onglet, ouvrez-en un autre dans la même fenêtre privée et rechargez la page. Ce qui reste a survécu à l'onglet. Une valeur en stockage local, ou un cookie qui n'expire que dans des mois, survit à la visite.
6. Refuser et recommencer. Refusez tout dans le bandeau et refaites les étapes 2 à 4. Ce qui apparaît malgré tout doit relever d'une exemption.
7. Contre-vérifier en fenêtre normale. En navigation privée, Chrome bloque les cookies tiers par défaut. Un chat qui tourne dans le cadre d'un autre domaine peut donc y paraître plus propre que chez vos visiteurs. Refaites le test dans une fenêtre normale après avoir effacé les données du site.

Notez le résultat de façon à pouvoir le présenter au fournisseur :

Page :          adresse de la page testée
Testé le :      date, navigateur, navigation privée
Bandeau :       non touché / refusé / accepté

Moment             Hôte        Type                 Nom ou clé   Durée          Finalité selon le fournisseur
après chargement
chat ouvert
1er message
nouvel onglet

Toute entrée qui apparaît avant le premier clic doit relever d'une exemption, sinon elle passe derrière le consentement. Demandez au fournisseur la finalité de chaque entrée que vous ne savez pas expliquer.

Ce que fait le widget de ChatterLab#

Chez ChatterLab, nous avons construit le widget pour qu'il ne stocke rien dans le navigateur tant que le visiteur n'a rien fait d'autre qu'ouvrir le chat et que votre site ne transmet pas de consentement. Les éléments ci-dessous décrivent ce que fait le code du widget au 25 octobre 2026, et se vérifient avec le test ci-dessus. Ne nous croyez pas sur parole, pas plus qu'un autre fournisseur.

• Aucun cookie. Le widget n'en dépose aucun.
• Au chargement de la page, le script dessine le bouton et demande ses réglages (couleur, icône, libellé) à notre serveur, sans envoyer de cookies, ainsi que l'image de votre bouton si vous en avez importé une. Si la balise ne porte pas d'attribut data-locale, il ajoute à cette requête les langues préférées du navigateur, limitées aux langues que parle le widget (visibles dans le panneau réseau, en hl= dans l'adresse), pour que le bouton parle la bonne langue. Selon la lecture large du CEPD, cela peut déjà constituer un accès ; avec data-locale="fr", cet envoi disparaît.
• La fenêtre de chat ne se charge que lorsque le visiteur l'ouvre pour la première fois, et l'ouvrir ne stocke encore rien. Avec le code iframe, qui place le chat directement dans la page, elle se charge avec la page, mais ne stocke rien non plus avant que le visiteur agisse.
• Le message d'accueil n'apparaît, sans consentement, que sur une page atteinte depuis un autre site. Le script le vérifie dans le navigateur, d'après la provenance ; rien n'est envoyé ni conservé pour cela.
• La relance compte les pages ou le temps sur plusieurs pages et a besoin pour cela du signal de consentement de votre site. Avec ce signal, et tant que l'un des deux messages est activé, le bouton garde une seule valeur dans le stockage de session, sous l'adresse de votre site : chatterlab-visit- suivi de l'identifiant de votre agent, avec le début de la visite, le nombre de pages vues et le message affiché ou fermé. Rien de cela n'identifie le visiteur, et rien ne nous est envoyé. Sans signal, la relance n'apparaît jamais.
• Les adresses IP ne sont pas conservées. Pour la limite de messages, nous en gardons une empreinte pendant 24 heures, calculée avec une clé qui change chaque jour.
• Une page de réservation Calendly, si vous en connectez une, ne s'ouvre dans le chat que lorsque le visiteur clique pour réserver. C'est une page de Calendly elle-même : incluez-la dans votre test.

Dès que le visiteur fait plus qu'ouvrir le chat, celui-ci garde des valeurs dans le stockage de session, sous sa propre adresse (celle d'où il est chargé, pas celle de votre site). <id> désigne l'identifiant de votre agent :

Toutes disparaissent à la fermeture de l'onglet : un visiteur qui revient le lendemain commence donc une nouvelle conversation. C'est voulu. Si un navigateur bloque ce stockage, le chat fonctionne quand même ; seule la mémoire entre les pages se perd.

Notre documentation justifie cette retenue ainsi : même une valeur gardée le temps d'une visite est un stockage qui demande le consentement, tant que le visiteur n'a pas demandé le service qu'elle sert. Pour la relance, cela donne ceci : elle invite à la conversation, ce qui est plus proche du marketing que d'un service demandé. La catégorie de votre bandeau à laquelle vous la rattachez se décide avec la personne qui gère votre politique de cookies.

Ce que le widget ne fait pas à votre place : il ne fournit pas de bandeau cookies, ne choisit pas de catégorie et ne remplace pas votre politique de confidentialité. Nous envoyons le contrat de sous-traitance sur demande à management@sri-group.eu. Sur les données conservées, la balise et le signal de consentement, voir Données et confidentialité, Installer le widget et Message d'accueil et relance, en anglais ; notre page sur le RGPD donne la vue d'ensemble. L'endroit où les conversations sont stockées est une autre question : la checklist sur l'hébergement d'un chatbot dans l'UE.

Charger le widget seulement après consentement#

Certains éditeurs placent tout le chat derrière le consentement, parce que leur fournisseur dépose des cookies dès le chargement ou parce qu'ils ne veulent aucune connexion à un tiers avant l'accord du visiteur. Deux méthodes sont courantes :

1. Par votre outil de gestion du consentement. Dans votre plateforme de gestion du consentement (CMP) ou votre gestionnaire de balises, rattachez le script du fournisseur à une catégorie et ne le faites charger qu'une fois cette catégorie acceptée. La CNIL rappelle que le consentement doit précéder toute lecture ou écriture, et que refuser doit être aussi simple qu'accepter ; elle cite en exemple deux boutons « tout accepter » et « tout refuser » présentés au même niveau et sous le même format.
2. Par un clic. À la place du widget, votre page affiche son propre bouton, et seul le clic charge le script. Ce clic correspond à l'activation que décrit la CNIL dans sa seconde option. Il ne couvre toutefois que ce dont le chat a besoin : si le widget dépose ensuite des traceurs de mesure ou de publicité, ceux-ci restent soumis au consentement.

Le prix de la première méthode : le visiteur qui refuse, ou qui ignore le bandeau, ne voit pas le chat. La seconde le laisse accessible à tous. Si vous demandez le consentement, indiquez combien de temps chaque élément reste et si des tiers peuvent y accéder : la Cour de justice l'a exigé dans l'arrêt Planet49.

Avec ChatterLab, vous indiquez au widget si le visiteur a consenti. Si votre site ne charge ses scripts qu'après le consentement, ajoutez data-consent="true" à la balise. Cela tient aussi le bouton à l'écart jusqu'à l'accord du visiteur. Si le script se charge toujours, votre bandeau transmet le choix :

ChatterLab("consent", true);  // accepté
ChatterLab("consent", false); // refusé ou retiré : efface la valeur gardée

Comme un bandeau répond souvent avant que le script soit chargé, une ligne permet de garder les appels précoces jusqu'à son arrivée ; elle figure, avec un exemple pour Cookiebot, dans Message d'accueil et relance (en anglais).

Les erreurs fréquentes#

1. « Nous ne déposons pas de cookies » comme point final. Le stockage local et le stockage de session sont aussi des traceurs, et un script qui lit des caractéristiques de l'appareil pour les envoyer y accède. Même sans aucun stockage, l'adresse IP qui arrive chez le fournisseur relève du RGPD.
2. Le script du chat se charge avant le bandeau. Le consentement doit précéder le dépôt. Un script collé en dur dans le pied de page, à côté de l'outil de consentement, se charge avant tout choix du visiteur.
3. Un traceur du chat qui mesure en même temps. Pour la CNIL, toute autre finalité rattachée au traceur du chatbot exige le consentement, et elle recommande qu'un traceur exempté ne serve qu'à une seule finalité.
4. Un identifiant durable « pour l'historique ». Une valeur en stockage local qui dure des semaines dépasse ce qu'exige une conversation.
5. Une invitation proactive qui compte les pages sans consentement. Le compteur est stocké avant que le visiteur ait demandé quoi que ce soit.
6. Un bandeau où refuser coûte plus qu'accepter. Continuer à naviguer ne vaut pas consentement, le refus peut se déduire du silence, et refuser doit être aussi simple qu'accepter.
7. Ne rien dire des traceurs exemptés. L'article 82 ne l'impose pas, mais la CNIL recommande de les mentionner, par exemple dans la politique de confidentialité, qui doit de toute façon parler du chat. Un modèle : politique de confidentialité pour un chatbot.

Questions fréquentes sur le chat et les cookies#

Faut-il un bandeau cookies rien que pour un chatbot ?#

Pas forcément. Si le widget ne dépose rien avant que le visiteur active le chat, et ensuite seulement ce dont la conversation a besoin, la CNIL considère ce traceur comme strictement nécessaire et l'exempte de consentement. S'il dépose des cookies dès le chargement de la page, ou s'il sert aussi à mesurer l'audience ou à cibler la publicité, le consentement est requis, et donc un mécanisme pour le recueillir. Vérifiez le widget avant de décider.

Le stockage de session (sessionStorage) est-il concerné ?#

Oui. L'article 82 vise toute inscription d'informations dans le terminal, quelle que soit la technique : les lignes directrices de la CNIL citent le « local storage » du HTML 5, et l'APD belge nomme expressément le stockage de session. Le CEPD ne fixe aucune durée minimale pour qu'une information compte comme stockée. Ce qui décide du consentement, c'est la finalité : une valeur gardée seulement pour la conversation, après l'ouverture du chat, relève de l'exemption que décrit la CNIL.

Et le visiteur qui n'ouvre jamais le chat ?#

Pour lui, le widget ne doit rien déposer ni lire qui exige un consentement, tant qu'il n'en a pas donné. Afficher le bouton n'exige pas de consentement au titre de l'article 82 si rien n'est stocké ni lu sur l'appareil pour cela. Le script du bouton vient toutefois du serveur du fournisseur, qui reçoit l'adresse IP du visiteur : cela relève du RGPD, et votre politique de confidentialité doit nommer ce fournisseur. Savoir si cette seule requête relève déjà de l'article 82 n'est pas tranché.

La mention « assistant IA » exige-t-elle un consentement ?#

Non. La mention qui dit au visiteur qu'il échange avec une IA est un texte dans la fenêtre de chat : elle ne dépose ni ne lit rien sur l'appareil, et l'article 82 ne la concerne pas. Elle répond à une obligation de transparence de l'article 50, paragraphe 1, du règlement européen sur l'intelligence artificielle : les personnes doivent être informées qu'elles interagissent avec un système d'IA. C'est une information, pas un consentement. Des exemples de formulation : mention de transparence pour un chatbot IA.

Peut-on charger le widget avant le consentement ?#

En principe oui, s'il ne dépose ni ne lit rien qui exige un consentement avant que le visiteur active le chat : c'est la seconde option de la CNIL. Si le widget dépose des cookies ou écrit dans le stockage du navigateur dès le chargement, chargez-le seulement après le consentement, ou après un clic sur un bouton qui lance le chat. Vérifiez ce qui se passe avant le premier clic avec les outils du navigateur, et signez un contrat de sous-traitance avec le fournisseur.

Un chatbot peut-il reconnaître un visiteur d'une visite à l'autre sans consentement ?#

En règle générale, non. L'exemption couvre ce que le chat exige, et l'avis européen sur les cookies exemptés attend de ces valeurs qu'elles expirent au plus tard à la fin de la session. Un identifiant durable qui retrouve le visiteur la semaine suivante va au-delà. Pour s'en souvenir, il faut son consentement, par exemple une case « Se souvenir de cette conversation » accompagnée d'une information claire sur ce qui est gardé et combien de temps.

Sources#

• Chatbots : les conseils de la CNIL pour respecter les droits des personnes, CNIL, lu le 25 octobre 2026.
• La loi Informatique et Libertés, CNIL (texte reproduit par la CNIL), lu le 25 octobre 2026.
• Délibération n° 2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives à l'application de l'article 82, CNIL, lu le 25 octobre 2026.
• Délibération n° 2020-092 du 17 septembre 2020 portant adoption d'une recommandation « cookies et autres traceurs », CNIL, lu le 25 octobre 2026.
• Questions-réponses sur les lignes directrices modificatives et la recommandation « cookies et autres traceurs » de la CNIL, CNIL, lu le 25 octobre 2026.
• Directive 2009/136/CE du 25 novembre 2009, article 2, point 5, Office des publications de l'Union européenne, lu le 25 octobre 2026.
• Lignes directrices 2/2023 sur le champ d'application technique de l'article 5, paragraphe 3, de la directive vie privée et communications électroniques, version 2.0, Comité européen de la protection des données, lu le 25 octobre 2026.
• Avis 04/2012 sur l'exemption de l'obligation de consentement pour certains cookies (WP 194), groupe de travail « Article 29 », lu le 25 octobre 2026.
• Arrêt de la Cour (grande chambre) du 1er octobre 2019, affaire C-673/17, Planet49, Cour de justice de l'Union européenne, lu le 25 octobre 2026.
• Règlement (UE) 2024/1689 sur l'intelligence artificielle, article 50, Office des publications de l'Union européenne, lu le 25 octobre 2026.
• Proposition de règlement omnibus numérique, COM(2025) 837 final, articles 88 bis et 88 ter proposés, Commission européenne, lu le 25 octobre 2026.
• Procedure File: 2025/0360(COD), Observatoire législatif, Parlement européen (en anglais), lu le 25 octobre 2026.
• Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten (OH Digitale Dienste), Version 1.2, Datenschutzkonferenz (en allemand), lu le 25 octobre 2026.
• Cookies et autres traceurs, Autorité de protection des données (Belgique), lu le 25 octobre 2026.
• Naviguer en mode navigation privée, Aide Google Chrome, lu le 25 octobre 2026.
• Open Chrome DevTools, Chrome for Developers (en anglais), lu le 25 octobre 2026.
• Inspect network activity, Chrome for Developers (en anglais), lu le 25 octobre 2026.
• Storage Inspector, Mozilla (en anglais), lu le 25 octobre 2026.

Comment cet article a été fait : rédigé avec l'aide de l'IA, puis vérifié par rapport au fonctionnement réel de ChatterLab et aux sources citées dans l'article. Une erreur ? Écrivez à management@sri-group.eu.