Chatbot et cookies : faut-il le consentement ?

Cela dépend du moment où le chatbot dépose son cookie. La CNIL distingue deux cas. Si le cookie est déposé avant que le visiteur active le chatbot, par exemple dès le chargement de la page, il faut son consentement préalable. S'il n'est déposé qu'au moment où le visiteur active le chat, en cliquant sur la fenêtre ou sur un bouton, il peut être dispensé de consentement, à condition de ne servir qu'au chatbot.

Cette page donne une information générale, à partir des textes publiés par la CNIL et par l'administration. Elle ne remplace pas l'avis d'un juriste sur le cas précis d'un client.

Ce que dit la CNIL

Dans ses conseils sur les chatbots, publiés le 19/02/2021, la CNIL envisage deux possibilités pour l'exploitant :

• déposer le cookie avant l'activation du chatbot : il doit alors recueillir le consentement préalable du visiteur, qui doit être « libre, spécifique, éclairé et univoque » ;
• ne déposer le cookie qu'à l'activation par l'utilisateur : le traceur est alors considéré comme « strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur », et le consentement n'est pas requis.

La CNIL ajoute une limite : l'exemption ne vaut que si le traceur sert uniquement à fournir le chatbot. « Toute autre finalité » rattachée à ce traceur, par exemple de la mesure d'audience ou de la publicité, demande le consentement.

Ce que cela change pour l'intégration

Pour vous, créateur du site, la règle se traduit en choix techniques.

Les widgets ne se comportent pas tous pareil. Dans les mesures publiées par chatbot.fr le 06/08/2026, sur une page vide et sans aucun clic, certains widgets n'avaient déposé aucun cookie, d'autres en avaient déposé jusqu'à 11. Mesurez l'outil de votre client avant de choisir la méthode.

Vérifier soi-même

1. Ouvrez le site en navigation privée, sans accepter le bandeau.
2. Dans les outils de développement du navigateur, regardez les cookies et le stockage du site.
3. Notez ce qui apparaît avant tout clic sur la bulle.
4. Ouvrez le chat, puis notez ce qui s'ajoute.
5. Demandez à l'éditeur la finalité de chaque traceur relevé.

Charger le widget au clic

La façon la plus simple de rester dans le cas exempté est de ne charger le widget qu'au clic sur un faux bouton, une « façade ». Rien ne part tant que le visiteur ne demande pas le chat. Cette technique sert aussi la vitesse du site : voir l'effet d'un chatbot sur la vitesse du site.

Avec un outil de gestion du consentement

Si le widget doit attendre l'accord, rattachez son script à une catégorie de votre outil de gestion du consentement. Sur Wix, l'aide recommande de classer chaque code personnalisé par catégorie pour respecter les lois sur la vie privée. Le choix de la catégorie suit la finalité réelle des traceurs, pas le confort de l'intégration.

Les règles du bandeau qui s'appliquent aussi au chatbot

La CNIL rappelle, dans sa page sur la mise en conformité des sites (publiée le 01/10/2020) :

• refuser doit être aussi simple qu'accepter : « tout accepter » et « tout refuser » au même niveau et dans le même format ;
• le silence vaut refus : continuer à naviguer n'est pas un accord, et fermer le bandeau doit être considéré comme un refus ;
• une durée de six mois pour conserver le choix, consentement comme refus, est « en général appropriée ».

La fiche du site entreprendre.service-public.gouv.fr (vérifiée le 13/10/2026) ajoute deux points utiles pour vous :

• les cookies peuvent être déposés « par un service tiers intégré au site » : le site doit recenser chacun d'eux, avec « son origine et sa finalité » ;
• un lien permettant de modifier ou retirer son consentement (« Gérer mes cookies ») doit être accessible depuis toutes les pages.

Attention à la position de la bulle : elle ne doit pas masquer ce lien.

Qui décide quoi

• Le client, éditeur du site, valide la liste des traceurs et le texte du bandeau : c'est son site, et c'est à lui que s'adressent les obligations de la fiche officielle.
• Vous réglez le chargement du widget, vérifiez ce qu'il dépose et documentez les traceurs.
• L'éditeur du chatbot doit vous indiquer ce que fait chacun de ses traceurs.
• Un juriste tranche en cas de doute : finalités mêlées, données de santé, public mineur.

Les traitements de données liés au chatbot (conversations, coordonnées laissées par le visiteur) relèvent d'autres règles que celles des cookies. La page sur les mentions légales d'un site avec chatbot indique ce qu'il faut ajouter au site.