Guide pratique — Cookies et traceurs
Consentement préalable, bouton « refuser » au même niveau que « accepter », validité du choix limitée à 6 mois, preuve du consentement à conserver : la CNIL a fait du bandeau cookies son sujet de contrôle le plus fréquent, et le plus sanctionné. Les règles exactes de 2026, les cookies dispensés, les erreurs à éviter et les sanctions réelles.
Dès qu'un site dépose un traceur non strictement nécessaire (publicité, réseaux sociaux, mesure d'audience non exemptée), l'article 82 de la loi Informatique et Libertés impose le recueil préalable du consentement. Le référentiel pratique est fixé par les lignes directrices et la recommandation de la CNIL du 17 septembre 2020 (délibérations 2020-091 et 2020-092) : aucun traceur déposé avant le choix, refuser doit être aussi simple qu'accepter — un bouton « Tout refuser » au même niveau que « Tout accepter » —, le choix est enregistré et valable 6 mois, et le site doit pouvoir prouver le consentement recueilli. Les cookies strictement nécessaires (panier, authentification, mémorisation du choix) et certaines mesures d'audience strictement encadrées sont dispensés de consentement mais doivent rester mentionnés. La CNIL contrôle les sites en ligne et sanctionne : 150 M€ pour Google et 60 M€ pour Facebook en décembre 2021, pour un refus rendu plus difficile que l'acceptation.
En France, les cookies et autres traceurs sont régis par l'article 82 de la loi du 6 janvier 1978 (loi Informatique et Libertés), qui transpose l'article 5.3 de la directive « ePrivacy » de 2002. Le principe : toute opération d'écriture ou de lecture d'informations dans l'équipement de l'utilisateur — ordinateur, téléphone, tablette — est interdite sauf si l'utilisateur, informé de manière claire et complète, a consenti préalablement, ou si l'opération est strictement nécessaire au service qu'il a demandé.
Le texte vise tous les traceurs, pas seulement les cookies : pixels invisibles, empreintes de navigateur (fingerprinting), identifiants publicitaires mobiles, balises web dans les e-mails. Et il s'applique à tout site ou application accessible depuis la France, y compris étranger — c'est ce qui a permis à la CNIL de sanctionner Google, Amazon ou Facebook.
La doctrine applicable est précisée par deux textes de la CNIL du 17 septembre 2020, applicables en pratique depuis le printemps 2021 : les lignes directrices (délibération n° 2020-091), qui fixent le droit, et la recommandation (délibération n° 2020-092), qui décrit les modalités pratiques de recueil du consentement — le format du bandeau, les boutons, la durée de conservation du choix. C'est ce référentiel que la formation restreinte de la CNIL applique dans ses sanctions. Si vous vous demandez dans quels cas le bandeau est obligatoire, notre guide dédié détaille les situations concrètes ; ici, nous décrivons les règles du bandeau lui-même.
Le consentement doit être préalable : tant que le visiteur n'a pas choisi, aucun cookie soumis à consentement ne peut être déposé ou lu. C'est l'erreur la plus fréquente — et la plus facile à constater pour la CNIL, qui ouvre simplement le site et regarde ce qui se dépose dans le navigateur avant tout clic. Vidéos intégrées, boutons de partage, outils de chat, pixels publicitaires : tout doit être bloqué jusqu'au consentement.
C'est la règle que les sanctions ont consacrée : le bandeau doit proposer, au premier niveau d'affichage, un bouton « Tout refuser » aussi visible et aussi rapide que le bouton « Tout accepter ». Imposer un clic supplémentaire pour refuser, cacher le refus dans un lien discret ou le noyer dans les paramètres est un manquement : c'est précisément ce qui a coûté 150 M€ à Google et 60 M€ à Facebook en décembre 2021.
Le premier niveau du bandeau doit informer clairement des finalités des traceurs (publicité, mesure d'audience, réseaux sociaux…) et des conséquences d'un refus, en langage simple. Le visiteur doit pouvoir consentir de manière granulaire, finalité par finalité, via un niveau de paramétrage. La liste des tiers déposant des traceurs doit être accessible.
Pour éviter la sur-sollicitation, le choix du visiteur — consentement comme refus — est enregistré et ne lui est pas redemandé à chaque visite. La recommandation de la CNIL considère qu'une durée de 6 mois constitue une bonne pratique : passé ce délai, le bandeau réapparaît pour recueillir à nouveau le choix. Une durée plus courte harcèlerait le visiteur ; plus longue, elle figerait un choix qui ne reflète plus sa volonté.
C'est au responsable du site de pouvoir démontrer le consentement : l'affirmer ne suffit pas. Il faut donc conserver une preuve — en pratique, un cookie ou un enregistrement technique qui matérialise le choix de chaque utilisateur, avec sa date et son périmètre. Symétriquement, le visiteur doit pouvoir retirer son consentement à tout moment, aussi facilement qu'il l'a donné : un lien « Cookies » ou « Gérer mes cookies » accessible sur chaque page, en pied de page par exemple.
Tous les traceurs ne nécessitent pas le consentement. Sont dispensés — la CNIL en dresse une liste précise — les traceurs strictement nécessaires à la fourniture du service demandé par l'utilisateur :
Les traceurs de mesure d'audience peuvent également être exemptés, mais sous conditions strictes : produire des statistiques anonymisées strictement nécessaires au fonctionnement et à l'administration du site, ne pas suivre globalement la navigation de la personne, ne pas recouper les données avec d'autres traitements ni les transmettre à des tiers, et limiter la durée de vie des traceurs. La plupart des configurations par défaut des grands outils d'analytics ne remplissent pas ces conditions — d'où la nécessité, dans bien des cas, de recueillir le consentement pour eux aussi.
Important : même exemptés, ces traceurs doivent être mentionnés dans une page d'information accessible depuis le site (souvent la politique de confidentialité ou une page « Cookies » dédiée), qui explique leur finalité et la manière de s'y opposer via les réglages du navigateur.
Les contrôles de la CNIL portent sur des manquements simples à vérifier. Les plus fréquents :
Un mot sur les cookies walls — rendre l'accès au site conditionné à l'acceptation des traceurs : le Conseil d'État a censuré en 2020 l'interdiction absolue qu'en faisait la CNIL, qui examine désormais ces pratiques au cas par cas, à la lumière du caractère libre du consentement. Pour une TPE, la prudence commande de laisser l'accès libre : le risque juridique dépasse de loin le bénéfice d'un taux d'acceptation plus élevé.
Les manquements à l'article 82 relèvent du pouvoir de sanction de la CNIL, dont le plafond suit le régime le plus sévère du règlement : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu. La CNIL peut contrôler un site entièrement en ligne, sans convocation ni déplacement : nul n'est trop petit pour être vérifié, et le coût du contrôle pour l'autorité est quasi nul.
Les décisions publiques donnent l'échelle des griefs :
Ces montants visent des géants du numérique, mais la même formation restreinte prononce mises en demeure publiques et amendes contre des acteurs de toute taille — sites de presse, e-commerçants, secteurs de la santé ou de l'immobilier. Pour une TPE, le coût principal est ailleurs : une mise en demeure publique est indexée par les moteurs de recherche, associée au nom de l'entreprise. Notre guide sur les montants et critères des amendes CNIL détaille la gradation des sanctions.
La démarche tient en cinq étapes, réalisables en une journée pour un site de TPE :
Pour y voir clair, commencez par le scan gratuit MonKitLégal : il liste en 2 minutes les cookies et services tiers réellement déposés par votre site. Le kit à 9 € installe ensuite un bandeau conforme aux règles CNIL — blocage préalable, refus au premier niveau, choix conservé 6 mois — et génère la page d'information qui l'accompagne, avec politique de confidentialité, mentions légales et registre des traitements.
Non, mais presque. L'article 82 de la loi Informatique et Libertés impose le recueil du consentement préalable pour tout traceur déposé ou lu sur l'équipement de l'utilisateur qui n'est pas strictement nécessaire au service demandé : publicité, réseaux sociaux, mesure d'audience non exemptée, personnalisation. Dès qu'un tel traceur existe — Google Analytics non exempté, vidéo YouTube intégrée, bouton de partage, pixel publicitaire —, un bandeau de consentement est obligatoire. Seuls les cookies strictement nécessaires (panier, authentification, mémorisation du choix, équilibrage de charge, personnalisation de l'interface) et certaines mesures d'audience strictement encadrées en sont dispensés. En pratique, un site vitrine sans traceur tiers n'a pas besoin de bandeau ; dès qu'on ajoute un outil d'audience ou une vidéo intégrée, il en faut un.
La recommandation de la CNIL (délibération n° 2020-092 du 17 septembre 2020) considère qu'une durée de 6 mois constitue une bonne pratique : le choix du visiteur, tant le consentement que le refus, est enregistré et ne lui est pas redemandé pendant cette période, puis le bandeau réapparaît pour renouveler la collecte du choix. Une durée plus courte sur-solliciterait le visiteur, une durée plus longue viderait son choix de sens. Le choix doit par ailleurs pouvoir être modifié à tout moment, via un lien facilement accessible (par exemple « Cookies » en pied de page), et le site doit pouvoir prouver, pour chaque utilisateur, le consentement recueilli : c'est la trace du consentement, à conserver.
Selon la CNIL, sont dispensés du recueil du consentement les traceurs strictement nécessaires à la fourniture du service demandé par l'utilisateur : cookies conservant le contenu d'un panier d'achat, identifiants de session pour l'authentification, mémorisation du choix de l'utilisateur sur le dépôt des traceurs, traceurs d'équilibrage de charge (load balancing), personnalisation de l'interface (langue, affichage). Les traceurs de mesure d'audience peuvent aussi être exemptés, mais sous conditions strictes : statistiques strictement nécessaires au fonctionnement du site, absence de suivi global de la navigation, absence de recoupement avec d'autres traitements, données anonymisées et durée de vie limitée. Ces cookies exemptés doivent malgré tout être mentionnés dans une page d'information accessible.
Les manquements à l'article 82 de la loi Informatique et Libertés sont directement sanctionnables par la CNIL, hors mécanisme européen de coopération : elle peut contrôler un site à distance, sans se déplacer, et prononcer des amendes dont le plafond suit le régime le plus sévère du RGPD (20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel). Les sanctions réelles montrent la sévérité du sujet : 100 millions d'euros pour Google et 35 millions pour Amazon en décembre 2020, 150 millions pour Google et 60 millions pour Facebook en décembre 2021 — des griefs de dépôt sans consentement, d'information insuffisante ou de refus plus difficile que l'acceptation. Les TPE encourent des montants bien moindres, mais mises en demeure et amendes concernent aussi des petites structures, car le contrôle en ligne ne coûte rien à l'autorité.
Non. Le consentement doit être une manifestation de volonté libre, spécifique, éclairée et univoque, traduite par un acte positif clair : cliquer sur « Tout accepter » ou sur « Accepter » pour une finalité. Une case pré-cochée, un paramétrage par défaut favorable aux traceurs, la simple poursuite de la navigation ou le défilement de la page ne constituent pas un consentement valable. La CNIL condamne également les dark patterns : bouton « Refuser » moins visible ou absent du premier niveau, couleurs qui orientent vers l'acceptation, refus en plusieurs étapes quand l'acceptation se fait en un clic. Refuser doit être aussi simple qu'accepter, au même niveau du bandeau.
Le scan gratuit MonKitLégal liste les cookies et traceurs réellement déposés par votre site — souvent plus nombreux que prévu. Le kit à 9 € installe un bandeau conforme aux règles CNIL et génère la documentation qui l'accompagne : page cookies, politique de confidentialité, mentions légales, registre des traitements.
Analyser mon site gratuitement