Guide pratique — cookies et consentement
Oui, dès que votre site dépose un seul traceur non essentiel — et la plupart des sites en déposent sans que leur propriétaire l'ait choisi. Qui est concerné, ce qu'un bandeau conforme CNIL doit contenir, et ce que risquent ceux qui s'en passent.
Le bandeau cookies est obligatoire dès que votre site dépose des traceurs non essentiels : Google Analytics, vidéos YouTube embarquées, boutons de réseaux sociaux, pixels publicitaires, chat en ligne. Ces traceurs doivent rester bloqués jusqu'au consentement du visiteur, et le bouton « Refuser » doit être aussi visible que « Accepter ». Seul un site 100 % sans cookies non essentiels y échappe.
La règle vient de l'article 82 de la loi Informatique et Libertés, qui transpose en droit français l'article 5.3 de la directive ePrivacy (la fameuse « ordonnance cookies » de 2011). Le principe est simple : tout cookie ou traceur qui n'est pas strictement nécessaire au fonctionnement du service demandé par l'utilisateur ne peut être déposé ou lu qu'après recueil de son consentement, recueil précédé d'une information claire.
La CNIL a précisé les modalités pratiques dans ses lignes directrices et sa recommandation de 2020, complétées depuis par ses délibérations de sanction : le consentement doit être libre, éclairé, univoque, et — point que beaucoup de bandeaux ratent encore — le refus doit être aussi simple que l'acceptation. Un bouton « Accepter tout » bien visible avec un refus caché dans un sous-menu est non conforme. C'est précisément le motif des plus grosses amendes cookies prononcées à ce jour.
Le bandeau n'est pas une fin en soi : c'est l'outil qui matérialise cette obligation sur un site web. Il doit bloquer par défaut, informer, recueillir un choix, le mémoriser, et permettre de le modifier à tout moment.
Beaucoup de dirigeants de TPE répondent « mon site ne met pas de cookies ». En pratique, c'est rarement vrai : les traceurs arrivent avec les outils qu'on ajoute au site sans y penser. Vous êtes concerné si votre site contient l'un de ces éléments :
À l'inverse, aucun bandeau n'est nécessaire si votre site ne dépose que des cookies strictement nécessaires : identifiant de session, panier d'achat, choix de langue, sécurité. La CNIL exempte aussi, sous conditions strictes, certaines mesures d'audience configurées pour produire des statistiques anonymes (Matomo correctement paramétré, par exemple). Un site vitrine statique sobre — pages HTML, formulaire de contact, rien d'embarqué — peut légitimement se passer de bandeau. Pour le vérifier, le plus simple est de scanner votre site : notre analyse gratuite liste les traceurs réellement déposés.
Un bandeau conforme n'est pas qu'une question de boutons. Les lignes directrices de la CNIL et ses délibérations définissent un cahier des charges précis :
Références : lignes directrices et recommandation de la CNIL du 17 septembre 2020 relatives aux cookies et autres traceurs, modifiées depuis ; article 82 de la loi n° 78-17 du 6 janvier 1978.
La formation restreinte de la CNIL sanctionne les manquements aux règles sur les cookies depuis plusieurs années, et pas seulement les géants du web. Les décisions sont publiques et montrent ce qui est réellement reproché :
Ces montants concernent des groupes au chiffre d'affaires immense. Pour une TPE, le risque n'est pas une amende à sept chiffres : c'est une mise en demeure publique de la CNIL (qui nomme l'entreprise dans son communiqué), un contrôle à la suite d'une plainte de visiteur, ou simplement un bandeau qui bloque un partenariat ou une campagne publicitaire exigeant une preuve de conformité. Les contrôles cookies sont par ailleurs l'un des axes récurrents du programme annuel de la CNIL, y compris sur des sites de petite taille.
La démarche tient en trois étapes, quel que soit votre CMS :
C'est exactement ce que livre le kit MonKitLégal : notre scan gratuit détecte les traceurs de votre site, puis le kit à 9 € génère un bandeau cookies prêt à coller, préconfiguré selon ce que le scan a trouvé, avec les textes conformes aux lignes directrices de la CNIL et le blocage avant consentement. Mentions légales, politique de confidentialité, CGU/CGV et registre des traitements sont inclus dans le même prix — c'est le socle complet des obligations d'un site, pas seulement le bandeau.
Pour aller plus loin sur les autres obligations de votre site : la liste complète des mentions légales obligatoires, les règles spécifiques d'une boutique en ligne, et nos comparatifs si vous hésitez entre une CMP par abonnement et un kit : alternative à Axeptio, alternative à Cookiebot, ou avocat, générateur gratuit ou kit ?
Oui, dans sa configuration standard. Google Analytics dépose des traceurs de mesure d'audience qui ne sont pas strictement nécessaires au fonctionnement du site : ils doivent être bloqués jusqu'au consentement du visiteur, donc recueillir ce consentement via un bandeau. Seule une solution de mesure d'audience configurée selon les critères d'exemption de la CNIL (statistiques anonymisées, pas de suivi intersites, durées limitées) peut s'en passer — ce que Google Analytics ne permet pas nativement.
Non. La CNIL a explicitement condamné ce mécanisme : poursuivre sa navigation, scroller ou cliquer n'importe où sur la page ne constitue pas un consentement valable. Le consentement doit résulter d'un acte positif clair — un clic sur « Accepter » — et le refus doit être aussi simple que l'acceptation, avec un bouton « Refuser » au même niveau. Les traceurs non essentiels doivent rester bloqués tant que l'utilisateur n'a pas fait de choix.
Le cookie wall est en principe interdit : il prive le consentement de son caractère libre, puisque le refus prive l'utilisateur de l'accès au service. La CNIL admet une tolérance très encadrée, uniquement si une alternative réelle et équitable est proposée (par exemple un accès payant raisonnable sans traceurs). Pour un site vitrine de TPE, la question ne se pose pas : le site doit rester accessible à ceux qui refusent les cookies.
La CNIL recommande de conserver le choix de l'utilisateur — qu'il ait accepté ou refusé — pendant 6 mois avant de lui redemander son consentement. Cela vaut aussi pour le refus : re-présenter le bandeau à chaque visite à quelqu'un qui a refusé est une pratique sanctionnée, car elle pousse à accepter par lassitude. Le mécanisme doit donc mémoriser le refus comme l'acceptation.
Non. Si votre site n'utilise que des cookies strictement nécessaires au fonctionnement (session de connexion, panier d'achat, préférence de langue) et aucun traceur soumis à consentement, aucun bandeau n'est exigé. Attention aux traceurs cachés : vidéos YouTube ou Dailymotion embarquées, boutons de partage de réseaux sociaux, Google Maps, chat en ligne ou pixel publicitaire déposent des cookies tiers sans que vous l'ayez choisi. Un scan de votre site permet de les repérer.
Le scan gratuit liste les traceurs de votre site en 2 minutes et contrôle mentions légales, politique de confidentialité et CGU/CGV au passage. Le kit à 9 € génère ensuite le bandeau préconfiguré et tous les documents, prêts à coller.
Analyser mon site gratuitement