Durée de conservation des cookies : 13, 25 et 6 mois (CNIL)

« Combien de temps un cookie peut-il rester actif ? » Derrière cette question simple se cachent en réalité trois durées différentes, que la plupart des sites confondent. La durée de vie du cookie, la durée de conservation des données collectées et la durée de validité du consentement ne répondent pas aux mêmes règles, et fixer l'une à la place de l'autre est une erreur de conformité fréquente.

Les trois plafonds recommandés par la CNIL sont clairs : un traceur ne doit pas vivre plus de 13 mois, les données qu'il collecte ne se conservent pas au-delà de 25 mois, et le consentement se renouvelle à une périodicité raisonnable, de l'ordre de 6 mois. Ce guide sépare ces trois notions, explique à quoi chacune s'applique, et montre comment les paramétrer sans vous tromper de durée.

Les trois durées à ne pas confondre

Trois durées cohabitent dans la gestion des cookies : la durée de vie du cookie est de 13 mois maximum, la durée de conservation des données collectées est de 25 mois maximum, et la durée de validité du consentement conduit à le redemander à une périodicité raisonnable, de l'ordre de 6 mois selon la CNIL. Ces trois plafonds répondent à trois questions différentes et ne se remplacent pas.

La confusion la plus courante consiste à croire qu'il n'existe qu'une seule durée « des cookies ». En pratique, un même traceur peut expirer techniquement au bout de 13 mois, tout en ayant alimenté une base de données conservée 25 mois, sur la foi d'un consentement qu'il fallait rafraîchir au bout de 6 mois. Trois horloges, trois réglages.

Tableau récapitulatif des 3 durées

Le tableau ci-dessous distingue les trois durées, ce à quoi elles s'appliquent et le plafond recommandé par la CNIL. C'est la grille de lecture à garder en tête pour ne pas mélanger un réglage technique et une obligation juridique.

| Notion | Ce qu'elle mesure | Plafond CNIL | Ce qui déclenche le compteur | |---|---|---|---| | Durée de vie du cookie | Le temps pendant lequel le traceur reste actif dans le navigateur | 13 mois maximum | Le dépôt du cookie, sans remise à zéro à chaque visite | | Durée de conservation des données | Le temps de stockage des informations collectées via le traceur | 25 mois maximum | Le recueil de la donnée | | Validité du consentement | Le temps avant de redemander l'accord de l'internaute | De l'ordre de 6 mois | Le recueil du consentement |

Une seule de ces trois durées mal réglée suffit à fragiliser votre conformité. La suite détaille chacune d'elles, dans l'ordre.

La durée de vie des cookies : 13 mois maximum

La durée de vie d'un cookie ou d'un traceur ne doit pas dépasser 13 mois, selon la recommandation de la CNIL. Passé ce délai, le traceur doit expirer et ne pas se réactiver de lui-même. Ce plafond s'applique au cookie en tant qu'objet technique déposé dans le navigateur du visiteur.

Le point souvent négligé tient à la prolongation. La durée de vie ne se recalcule pas à chaque nouvelle visite. Un cookie déposé une première fois ne peut pas voir son compteur de 13 mois remis à zéro simplement parce que l'internaute revient sur le site. Cette prolongation automatique, fréquente dans les configurations par défaut, revient à faire vivre un traceur bien au-delà de la durée admise.

Concrètement, vérifiez la date d'expiration réelle de vos traceurs, pas seulement leur paramétrage théorique. Un scan de cookies vous montre pour chaque traceur sa durée de vie effective et son domaine émetteur. Testez votre site avec notre scanner de cookies.

La durée de conservation des données : 25 mois maximum

Les données et informations collectées via les traceurs ne se conservent pas au-delà de 25 mois, selon la recommandation de la CNIL. Cette durée est distincte de la durée de vie du cookie. Le traceur peut avoir expiré, les données qu'il a alimentées continuent d'exister dans vos outils de mesure ou de publicité, et c'est ce stockage qui est plafonné à 25 mois.

La distinction est importante parce qu'elle porte sur deux objets différents. Le cookie vit dans le navigateur du visiteur, la donnée vit dans votre système. Un rapport d'audience agrégé, un historique de navigation, un identifiant publicitaire : ces informations issues des traceurs doivent être supprimées ou anonymisées au terme des 25 mois.

Au-delà de ce délai, la donnée n'a plus de base pour être conservée sous une forme identifiante. Documentez cette durée dans votre registre des activités de traitement, au même titre que les autres durées de conservation de votre organisation.

La durée de validité du consentement : renouveler à une périodicité raisonnable

Le consentement aux cookies n'est pas acquis pour toujours. La CNIL recommande de renouveler le consentement à une périodicité raisonnable, de l'ordre de 6 mois. Au-delà, l'accord doit être redemandé à l'internaute, qui repasse par le bandeau cookie pour exprimer un nouveau choix.

Cette durée ne concerne ni le cookie ni la donnée, mais l'accord lui-même. Elle évite qu'un consentement donné une fois vaille indéfiniment, alors que les finalités, les partenaires ou les outils du site évoluent. Redemander l'accord à échéance raisonnable maintient un consentement éclairé et à jour.

En pratique, votre CMP paramètre cette échéance et déclenche un nouvel affichage du bandeau lorsqu'elle est atteinte. Attention à ne pas confondre ce renouvellement avec la durée de vie du cookie : un cookie peut techniquement vivre 13 mois, mais le consentement qui l'autorise se rafraîchit bien avant, à une périodicité de l'ordre de 6 mois. Pour aller plus loin sur les critères d'un site conforme, voyez notre guide rendre son site conforme au RGPD.

La conservation de la preuve de consentement

La preuve du consentement suit une logique à part : elle se conserve le temps nécessaire pour démontrer la conformité en cas de contrôle, sans durée légale unique fixée à un chiffre. C'est une durée probatoire, que vous justifiez et documentez, distincte des trois précédentes.

L'erreur classique consiste à supprimer la preuve dès que le consentement est renouvelé, au bout de 6 mois. Or renouveler un consentement ne fait pas disparaître l'intérêt de prouver le consentement passé. Si la CNIL contrôle une période antérieure, vous devez pouvoir montrer ce qui a été recueilli à l'époque. La durée de validité du consentement et la durée de conservation de la preuve sont deux choses différentes.

Une preuve utile est individuelle, horodatée et rejouable : elle indique qui a consenti, quand, à quelles finalités et sur quelle version du bandeau. La méthode complète est détaillée dans notre guide sur la preuve de consentement cookies.

Les erreurs fréquentes sur les durées

Les erreurs les plus courantes consistent à confondre les trois durées, à laisser un cookie se prolonger à chaque visite, à conserver les données au-delà de 25 mois ou à supprimer la preuve trop tôt. Les pièges à éviter, avec leur correction :

• Croire qu'il n'existe qu'une seule durée : le cookie, les données et le consentement suivent trois règles distinctes. Réglez les trois séparément.
• Prolonger la durée de vie à chaque visite : un cookie ne doit pas voir ses 13 mois remis à zéro parce que le visiteur revient. Vérifiez l'expiration réelle, pas le paramétrage théorique.
• Conserver les données au-delà de 25 mois : la donnée issue du traceur survit au cookie. Programmez sa suppression ou son anonymisation à échéance.
• Traiter le consentement comme définitif : sans renouvellement à une périodicité raisonnable, de l'ordre de 6 mois, l'accord se périme. Paramétrez la ré-sollicitation.
• Supprimer la preuve au bout de 6 mois : c'est confondre la validité du consentement avec la conservation de la preuve. Gardez la preuve le temps de démontrer la conformité sur les périodes contrôlables.
• Ne rien documenter : sans mention dans votre registre, ces durées sont invérifiables. Consignez les trois plus la durée de preuve.

Questions fréquentes

Quelle est la durée de vie maximale d'un cookie ? La CNIL recommande une durée de vie de 13 mois maximum pour un cookie ou un traceur. Cette durée ne se prolonge pas automatiquement à chaque visite : le compteur ne se remet pas à zéro parce que l'internaute revient sur le site.

Combien de temps peut-on conserver les données collectées par les cookies ? Les données et informations collectées via les traceurs se conservent 25 mois maximum selon la recommandation de la CNIL. Cette durée est distincte de la durée de vie du cookie : la donnée peut survivre au traceur dans vos outils, mais pas au-delà de 25 mois.

Tous les combien faut-il redemander le consentement aux cookies ? La CNIL recommande de renouveler le consentement à une périodicité raisonnable, de l'ordre de 6 mois. Au-delà, l'accord doit être redemandé via le bandeau cookie. Le consentement n'est pas acquis indéfiniment.

Quelle différence entre durée du cookie et durée du consentement ? La durée du cookie (13 mois) mesure le temps pendant lequel le traceur reste actif dans le navigateur. La durée de validité du consentement (de l'ordre de 6 mois) mesure le temps avant de redemander l'accord de l'internaute. Un cookie peut vivre plus longtemps que le consentement qui l'autorise, d'où le renouvellement.

Combien de temps conserver la preuve du consentement ? La preuve se conserve le temps nécessaire pour démontrer la conformité en cas de contrôle, sans durée légale unique. Ne la supprimez pas au bout de 6 mois : renouveler le consentement n'efface pas l'intérêt de prouver un consentement passé sur une période contrôlée par la CNIL.

Que risque-t-on en cas de durées non respectées ? Une non-conformité aux règles sur les cookies expose à une sanction pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, au titre de l'article 83 du RGPD, sans compter le risque réputationnel.