La CNIL a prononcé, entre 2021 et 2024, plus de 200 millions d’euros d’amendes liées aux cookies, dont les plus lourdes frappaient des bandeaux qui déposaient des traceurs avant tout clic ou qui rendaient le refus plus difficile que l’acceptation. Un bandeau cookies conforme repose sur trois exigences cumulatives : informer clairement, recueillir un consentement libre avant tout dépôt, et permettre de retirer ce consentement aussi facilement qu’il a été donné, selon les règles publiées par la CNIL.
Sommaire
- Quatre manquements que la CNIL sanctionne le plus souvent
- Bouton « Tout refuser » : une obligation depuis 2022
- Quels cookies sont exemptés de consentement selon la CNIL ?
- Recommandations de la CNIL : ce que le bandeau doit contenir
- RGPD et cookies : le cadre juridique en deux textes
- Checklist de conformité pour un bandeau opérationnel
Quatre manquements que la CNIL sanctionne le plus souvent
Les mises en demeure publiées par la CNIL en mai 2023 visaient des bannières cookies jugées trompeuses chez plusieurs éditeurs de sites web. Les griefs reviennent à quatre schémas récurrents.
| Manquement constaté | Conséquence technique | Base légale invoquée |
|---|---|---|
| Dépôt de cookies avant toute action de l’utilisateur | Traceurs actifs dès le chargement de la page | Article 82 de la directive ePrivacy, transposé à l’article 82 de la loi Informatique et Libertés |
| Absence de bouton « Tout refuser » au même niveau que « Tout accepter » | Le refus exige plusieurs clics supplémentaires | Lignes directrices CNIL du 17 septembre 2020 |
| Cases pré-cochées pour les catégories de traceurs | Consentement présumé, non libre | Article 7 du RGPD |
| Poursuite de la navigation assimilée à un consentement | Aucune action positive de l’utilisateur | Délibération CNIL n° 2020-091 |
Le point commun de ces quatre cas : le consentement n’est ni libre, ni éclairé, ni univoque. La CNIL considère qu’un simple déséquilibre visuel entre les boutons suffit à vicier le recueil.
Voir aussi Accessibilité numérique : qui est concerné et par quoi commencer
Bouton « Tout refuser » : une obligation depuis 2022
Est-il obligatoire d’afficher une bannière cookie ? Oui, dès lors que le site utilise des traceurs non essentiels. Et depuis le 1er avril 2021 (date d’entrée en vigueur des lignes directrices et de la recommandation CNIL), le bandeau doit proposer un mécanisme de refus aussi simple que celui d’acceptation.
Concrètement, si le bouton « Tout accepter » apparaît sur le premier écran, un bouton « Tout refuser » ou « Continuer sans accepter » doit figurer au même niveau, avec un contraste visuel équivalent. Un lien discret en bas de page ou un bouton grisé ne satisfait pas cette exigence. La CNIL a adressé des mises en demeure sur ce seul motif à des sites comptant plusieurs millions de visiteurs mensuels.
Quels cookies sont exemptés de consentement selon la CNIL ?
Certains traceurs ne nécessitent aucun bandeau parce qu’ils sont strictement nécessaires au fonctionnement du service demandé par l’utilisateur. La fiche de mise en conformité de la CNIL en dresse la liste.
- Cookies d’identifiant de session, indispensables au maintien de la connexion
- Cookies de panier d’achat sur un site e-commerce
- Cookies de préférence de langue ou d’affichage, limités à la session
- Cookies de mesure d’audience configurés pour produire des données anonymes, sous réserve de respecter les conditions fixées par la CNIL (pas de recoupement avec d’autres traitements, durée de vie limitée à 13 mois)
- Cookies d’authentification et de sécurité (lutte contre la fraude)
Tous les autres traceurs, notamment ceux liés à la publicité ciblée, au reciblage, aux boutons de partage sur les réseaux sociaux ou aux vidéos intégrées qui collectent des données, exigent un consentement préalable. Pour approfondir les obligations générales liées à la collecte de données, la page sur les obligations RGPD réellement applicables à une PME détaille le cadre complet.
Recommandations de la CNIL : ce que le bandeau doit contenir
Quelles sont les recommandations de la CNIL concernant les cookies ? Le bandeau doit remplir six fonctions, toutes vérifiables lors d’un contrôle.
Première fonction : identifier clairement le responsable du traitement. Deuxième : lister les finalités des traceurs par catégorie (publicité, statistiques, personnalisation). Troisième : présenter les boutons « Tout accepter » et « Tout refuser » sur le même plan. Quatrième : offrir un accès à un second niveau de paramétrage, finalité par finalité. Cinquième : conserver la preuve du consentement recueilli. Sixième : permettre le retrait du consentement à tout moment, par un lien ou une icône accessible en permanence sur le site.
La durée de validité du consentement ne doit pas dépasser 13 mois, selon la recommandation de la CNIL. Passé ce délai, le bandeau doit réapparaître. Pour les sites qui exploitent des outils d’analyse, la configuration des événements GA4 doit s’articuler avec ce mécanisme de consentement pour ne déclencher les balises qu’après acceptation.
Voir aussi CGV d’un site e-commerce : les clauses qu’on oublie et qui coûtent cher
RGPD et cookies : le cadre juridique en deux textes
Quelles sont les règles du RGPD concernant l’utilisation des cookies ? Deux textes se superposent. La loi Informatique et Libertés (article 82) transpose la directive ePrivacy et impose le consentement avant le dépôt de tout traceur non essentiel. Le RGPD (règlement UE 2016/679) encadre ensuite le traitement des données collectées via ces traceurs : base légale, droits des personnes, registre des traitements, analyse d’impact si le profilage est à grande échelle.
Un site qui recueille correctement le consentement cookies mais ne tient pas de registre des traitements reste en infraction. Les deux obligations sont distinctes et cumulatives. La page consacrée à la constitution légale d’une base email illustre cette articulation entre consentement spécifique et traitement des données collectées.
Checklist de conformité pour un bandeau opérationnel
À retenir
- Vérifier qu’aucun cookie non essentiel ne se dépose avant le clic sur « Tout accepter » (un test via l’inspecteur réseau du navigateur suffit)
- Placer les boutons « Tout accepter » et « Tout refuser » côte à côte, même taille, même contraste
- Conserver la preuve horodatée du consentement pendant toute sa durée de validité (13 mois maximum)
- Rendre le retrait du consentement accessible en permanence via un lien visible dans le pied de page, par exemple « Gérer mes cookies »
- Relancer le bandeau après 13 mois ou dès qu’une nouvelle finalité de traceur est ajoutée au site
Pour mesurer l’effet d’un bandeau sur le comportement des visiteurs, le taux de rebond et son interprétation permettent de distinguer un rejet lié au bandeau d’un problème de contenu. La lecture du rapport de performances dans la Search Console complète cette analyse en croisant impressions et clics réels.
Questions fréquentes
Est-il obligatoire d’afficher une bannière cookie ?
Oui, dès qu’un site dépose des traceurs non essentiels (publicité, analyse d’audience non anonymisée, boutons de partage). Seuls les cookies strictement nécessaires au fonctionnement du service en sont dispensés.
Quels cookies sont exemptés de consentement selon la CNIL ?
Les cookies de session, de panier d’achat, de préférence d’affichage limitée à la session et les cookies de mesure d’audience configurés pour produire des statistiques anonymes selon les conditions fixées par la CNIL.
Quelles sont les règles du RGPD concernant l’utilisation des cookies ?
Le dépôt de traceurs relève de la directive ePrivacy transposée en droit français (article 82 de la loi Informatique et Libertés). Le RGPD encadre le traitement des données collectées via ces traceurs : base légale, droit d’accès, de rectification et de suppression pour l’utilisateur.
Thomas Lefèvre est développeur freelance full-stack à Paris depuis 2015, spécialisé WordPress sur mesure, no-code et SEO technique. Sur Synergie.Web il documente les outils testés sur de vrais projets, sans partenariat commercial.
Sources
À lire aussi
Mentions légales : la liste exacte selon le statut de l’éditeur
Tout site internet accessible au public doit afficher des mentions légales identifiant son éditeur, sous…
RGPD pour un site de PME : les obligations réellement applicables
Le règlement général sur la protection des données (RGPD) impose à toute PME exploitant un site internet de…
Transfert de nom de domaine OVH : le guide complet 2026
Pourtant, une fois qu'on connaît les étapes exactes, le processus est parfaitement balisé et rarement…
Transférer un nom de domaine OVH : guide étape par étape
C'est une opération qui fait peur à beaucoup de porteurs de projets web, mais qui reste en réalité assez…
À qui appartient un nom de domaine ? Comment vérifier
J'ai perdu le compte du nombre de clients qui m'ont contacté avec la même question : « Thomas, à qui…
Nom de domaine : quelle est la définition exacte ?
Quand un client me demande de créer son site, la première question qui revient presque systématiquement…
