B2 · Episode 3 · 4:44
Understanding the GDPR: What Cookie Banners Really Mean
This episode explains how the GDPR regulates personal data processing, clarifying that cookie banners are not universally mandated by law—but rather reflect websites' overreach. It details the six lawful bases for data processing and emphasizes that consent is only required when legitimate interest or direct marketing is involved.
Source：Benjamin Bellamy / Libre à vous ! (April, Cause Commune) · License：CC BY-SA 2.0
Transcript
Rendez vous compte, à cause du RGPD, on perdrait 575 millions d'heures par an,
Just think: because of the GDPR, we lose 575 million hours each year,
soit plus de 14 milliards
that is, over 14 billion euros,
d'euros, 2 milliards rien que pour la France.
2 billion euros of that just in France.
En cause, les fameux cookies banner que le RGPD nous impose.
The culprit? Those infamous cookie banners—the GDPR forces websites to display them.
Vous savez, ces bandeaux cookies dont le souci de notre vie privée est la priorité,
You know those cookie banners that claim ‘your privacy matters’?
mais s'ils nous enquiquinent, c'est pas leur faute, c'est la faute au RGPD.
Yet if they annoy us, it’s not their fault—it’s the GDPR’s fault.
Alors, re stop!
Hold on—let’s pause right there!
Le RGPD n'a jamais, j'insiste bien,
The GDPR has never—let me stress this—
jamais dit que tous les sites de la planète devaient devenir pénibles.
never required every website worldwide to become annoying.
Ce que le RGPD dit en revanche,
What the GDPR *does* say, instead, is:
c'est que c'est fini la fête du slip des données personnelles.
the ‘free-for-all party’ with personal data is over.
Arrêtez de faire n'importe quoi avec, dorénavant,
Stop mishandling them—henceforth,
le traitement de ces données personnelles est encadré.
processing personal data must be regulated.
Attention, c'est passé vite, donc je vais répéter car chaque mot compte:
Careful—this went fast, so I’ll repeat it: every word counts:
traitement, données personnelles.
‘processing’ and ‘personal data’.
Pas de données personnelles, pas de bandeaux cookies.
No personal data? No cookie banner needed.
Pas de traitement de données personnelles, pas de bandeaux cookies.
No processing of personal data? No cookie banner needed.
Et dans le cas où il y a traitement de données personnelles,
And only if personal data *is* being processed,
et dans ce cas- là uniquement, le RGPD dit que ce traitement doit être licite,
then—and only then—the GDPR requires that processing to be lawful,
loyal et transparent.
fair, and transparent.
Et que les données collectées doivent être minimales et traitées de manière à en
Collected data must be kept to a minimum,
garantir la sécurité et la confidentialité.
and processed in ways that ensure their security and confidentiality.
C'est tout. Je sais pas vous, mais moi, ça me paraît pas exagéré,
That’s it. I don’t know about you, but to me, this seems perfectly reasonable,
surtout quand on voit que nos données fuient de partout toutes les semaines.
especially when we see our data leaking everywhere—every single week.
Alors je te connais, tu vas me dire: globalement je vois bien,
I know what you’re thinking: ‘In general, I get it,’
mais concrètement ça veut dire quoi licite?
‘but concretely—what does “lawful” actually mean?’
Oui, concrètement, ce qui est re quoi
Yes, concretely, what is lawful?
licite? Tu vas pas le croire, mais dans son article 6 justement,
You won’t believe it, but precisely in its Article 6,
le RGPD avait anticipé ta question.
the GDPR had already anticipated your question.
Et pour que ce soit vraiment clair,
And to make this truly clear,
il a même listé les six cas de figure de traitement licite,
he even listed the six lawful bases for data processing,
six et pas un de plus. Un, le traitement est nécessaire à l'exécution d'un contrat,
exactly six—and no more. First: processing is necessary to perform a contract,
par exemple votre adresse dans le cadre d'un service de livraison.
for example, your address for a delivery service.
Deux, au respect d'une obligation légale,
Two, compliance with a legal obligation,
par exemple une réglementation bancaire. Trois,
for example banking regulation. Three,
à la sauvegarde des intérêts vitaux,
to safeguard vital interests,
par exemple votre dossier médical si vous êtes dans le coma.
for example, your medical file if you are in a coma.
Quatre, à l'exécution d'une mission d'intérêt public,
Four, when carrying out a mission in the public interest,
un recensement par exemple. Cinq,
for example, conducting a census. Five,
aux fins des intérêts légitimes poursuivis par le site,
for the legitimate interests pursued by this website,
pour limiter la fraude par exemple.
for example, to prevent fraud.
Et enfin six, la personne a consenti au traitement de ses données,
And finally, point six: the person has consented to the processing of their data,
exemple la prospection commerciale.
for example, for commercial prospecting.
Et comme le RGPD est très laxiste, si si si, le RGPD est laxiste,
And since the GDPR is very lax—yes, yes, yes, it really is lax—
sur ces six bases légales, nous ne pouvons nous opposer qu'aux quatre premières.
of these six legal bases, we can only object to the first four.
Nous ne pouvons nous opposer aux quatre premières.
We cannot oppose the first four.
Contrat, obligation légale.
Contract, a legal obligation.
intérêt vitale intérêt public.
vital public interest.
Donc là, ça va vite, pas de case à cocher ou à décocher.
So now it goes quickly—no boxes to check or uncheck.
On ne peut s'opposer qu'aux deux dernières, intérêt légitime et consentement.
We can only oppose the last two: legitimate interest and consent.
Et encore, pour l'intérêt légitime, ça peut être coché par défaut.
Moreover, for legitimate interest, the checkbox can be pre-checked.
Le consentement, lui, doit être libre, spécifique, éclairé et univoque.
Consent must be freely given, specific, informed, and unambiguous.
Normal. Bref, tout ça veut dire que quand vous voyez un bandeau cookie,
That’s normal. In short, all this means that
c'est pas la faute au RGPD, non,
when you see a cookie banner,
c'est la faute au responsable du traitement du site, quoi,
it’s not GDPR’s fault—no,
qui est en train de se gaver avec vos données personnelles.
it’s the website’s data controller’s fault—basically,
Mais un simple cookie de session pour se connecter ne nécessite aucun bandeau
But a simple session cookie used only to log you in
cookie. Exemple, le site e- commerce qui utilise mon adresse,
requires no cookie banner at all. For example,
pas de bandeau cookie.
an e-commerce site using my address needs no cookie banner.
Le journal payant en ligne qui a mon numéro d'abonné, pas de bandeau cookie.
A paid online newspaper holding my subscription number? No cookie banner.
Le site de ma banque qui doit sûrement vérifier deux
My bank’s website—which surely checks two or three things about me—
trois trucs sur moi, pas de bandeau cookie.
also needs no cookie banner.
La page RGPD du site du ministère de l'Économie qui ne devrait traiter aucune donnée
The French Ministry of Economy’s GDPR webpage—which shouldn’t process any personal data at all—
personnelle, pas besoin de bandeau cookie.
doesn’t need a cookie banner either.
Bon, pour faire simple, un site qui se tire ses revenus de la publicité,
Okay, to put it simply: a site funded by advertising
parce que pourquoi pas, on paye pas son loyer avec de la visibilité,
(because, why not? You can’t pay rent with visibility!)
bandeau cookie, ok, je veux bien.
—yes, a cookie banner is fine with me.
Pour tous les autres, non.
For all other sites? No.
Un site qui ne vit pas de la pub n'a aucune bonne raison d'afficher un bandeau
A site not funded by ads has absolutely no good reason
cookie, sauf à caresser son tableur Excel avec nos données personnelles.
to display a cookie banner—unless it’s stroking its Excel spreadsheet with our personal data.
Oui, je l'ai déjà dit il y a deux mois,
Yes, I said it two months ago,
mais va falloir vous y habituer car je le répéterai tant qu'ils seront là.
but you’ll have to get used to it—I’ll keep repeating it as long as they’re still there.
Et enfin, un site qui.
And finally, a site that—
Qui vous dit« le respect de votre vie privée est notre priorité»,
tells you, ‘Respecting your privacy is our top priority,’
il vous ment, c'est un menteur.
is lying—it’s a liar.
Si c'était vraiment le cas, il ne traiterait pas mes données personnelles en dehors
If that were true, it wouldn’t process my personal data beyond what the contract requires;
des besoins du contrat, il n'aurait pas besoin de ce bandeau et il ne l'afficherait
it wouldn’t need this banner—and therefore wouldn’t show it.
donc pas. Et nous, on économiserait 575 millions d'heures par an,
And we’d save 575 million hours per year,
par exemple pour partir en vacances et se la couler douce sur des plages sans
for instance, to go on vacation—to relax on plastic-free beaches,
plastique, en buvant de l'eau dans nos gourdes.
drinking water from our reusable bottles.
À votre santé.
To your health!
Merci Benjamin, on te retrouvera l'année prochaine et d'ici là tous les mercredis
Thank you, Benjamin!
dans ton podcast RDGP, il n'y a pas de faute, c'est rien de grave patron,
We’ll see you again next year, and until then, every Wednesday,
donc sur rdgp.
tune in to your podcast RDGP.
fr, le podcast sérieux
It’s at rdgp.fr,
qui vous emmène au cœur des enjeux des droits numériques,
a serious podcast that
des libertés individuelles et de la vie privée.
takes you to the heart of digital rights, individual freedoms, and privacy issues.
Merci Frédéric, bien évidemment, je précise,
Thank you, Frédéric! Of course, I should clarify:
les auditrices et auditeurs auront démasqué mon horrible mensonge le 5 novembre à
Listeners will uncover my terrible lie on November 5th at 3:45 p.m. —
15h45, tu n'étais pas sur plaisiropensource.
you weren’t on plaisiropensource.com,
com, puisque tu étais déjà ici en train de me donner la réplique.
since you were already here, delivering your lines with me.
Merci Benjamin.
Thank you, Benjamin!