First-party vs tiers, précisément
La distinction porte sur qui pose le cookie ou collecte la donnée. Un cookie first-party est posé par le domaine que l'utilisateur visite réellement et n'est lisible que par ce site. Un cookie tiers est posé par un domaine externe intégré à la page, et était le mécanisme du suivi inter-sites. La donnée first-party — événements, profils, achats collectés sur vos propres supports — en est la version durable : elle ne dépend du partage de données d'aucun tiers.
Les cookies tiers ne sont pas morts — mais acculés
Il est facile d'exagérer. Google n'a pas tué les cookies tiers dans Chrome : en avril 2025, il a annulé son plan de retrait progressif, et une autre mise à jour de 2025 a retiré une grande partie de la stack publicitaire Privacy Sandbox tout en gardant un ensemble plus restreint de fonctions. Mais la direction est claire : Safari et Firefox bloquent les cookies tiers par défaut depuis des années, et les régulateurs traitent les cookies non essentiels comme nécessitant un consentement. S'appuyer sur le suivi tiers, c'est bâtir sur un terrain qui ne cesse de rétrécir.
| Donnée first-party | Cookies tiers | |
|---|---|---|
| Posé par | Le site que l'utilisateur visite | Un domaine externe intégré |
| Sert à | Vos propres analytics et messages | Le suivi inter-sites |
| Durabilité | Durable — vous la collectez | En recul — les navigateurs la bloquent |
| Qui la détient | Vous | Le tiers |
Le first-party n'est pas un raccourci de conformité
La collecte first-party est plus durable, mais elle n'est pas automatiquement licite. La position du régulateur, c'est que le caractère first-party ou tiers d'un cookie n'est pas la considération principale — les cookies non essentiels, comme l'analytics ou le marketing, requièrent toujours un consentement valide : libre, spécifique, éclairé et par une action positive non ambiguë. Les cases pré-cochées et les curseurs « activés » ne comptent pas. Les cookies strictement nécessaires à un service demandé par l'utilisateur sont exemptés ; tout le reste exige un oui. La donnée first-party est le bon socle, mais vous portez toujours les obligations qui vont avec.