Bandeau cookies conforme CNIL : le guide pratique

Consentement aux cookies : les règles posées par la CNIL

Depuis ses lignes directrices et sa recommandation « cookies et autres traceurs », la CNIL exige un consentement libre, éclairé, spécifique et univoque avant tout dépôt de traceur non essentiel. Le bandeau doit informer clairement des finalités poursuivies et laisser un choix réel, sans conséquence disproportionnée en cas de refus.

La règle centrale tient en une phrase : refuser doit être aussi simple qu'accepter. Un bouton « Tout refuser » doit figurer dès le premier écran, au même niveau que « Tout accepter ». Aucune case ne peut être pré-cochée, et la simple poursuite de la navigation ne vaut jamais consentement.

Aucun traceur non exempté ne peut être déposé avant le clic de l'internaute. Vous devez aussi conserver la preuve du consentement — quelles finalités, à quelle date, avec quelle version du bandeau — et pouvoir la produire en cas de contrôle.

Le retrait doit être aussi facile que le consentement : un lien ou une icône « Gérer mes cookies » accessible en permanence. La CNIL recommande de conserver les choix un temps raisonnable, souvent six mois, avant de les redemander. Négliger ces règles expose à des sanctions de la CNIL qui, pour les acteurs les plus importants, se chiffrent en dizaines de millions d'euros.

Quels cookies sont exemptés de consentement

Tous les cookies ne réclament pas de consentement. La CNIL exempte les traceurs strictement nécessaires à la fourniture du service expressément demandé par l'internaute : ceux-ci peuvent être déposés sans bandeau ni case à cocher.

Entrent typiquement dans cette catégorie le cookie de panier d'achat sur un site marchand, les cookies d'authentification et de session, la mémorisation du choix de langue, l'équilibrage de charge, et — logiquement — le cookie qui mémorise justement l'acceptation ou le refus des traceurs.

La mesure d'audience peut aussi être exemptée, mais sous conditions strictes : finalité limitée à la seule statistique pour le compte exclusif de l'éditeur, absence de recoupement avec d'autres traitements, données anonymisées et pas de suivi de l'internaute entre sites. Dans sa configuration standard, Google Analytics n'y entre pas — voir notre guide Google Analytics et RGPD.

Les erreurs qui rendent un bandeau non conforme

L'erreur la plus fréquente reste l'absence de bouton « Tout refuser » au premier niveau, ou son renvoi derrière un menu « Paramétrer ». Refuser doit demander autant d'efforts qu'accepter, pas un clic de plus.

Viennent ensuite les designs trompeurs : bouton « Accepter » coloré et « Refuser » en gris pâle à peine lisible. Le Conseil d'État a jugé que les deux boutons n'ont pas à être strictement identiques, mais le refus doit rester tout aussi accessible et compréhensible.

Enfin, beaucoup de sites déposent des traceurs (analytics, pixels publicitaires, vidéos intégrées) avant même le clic, utilisent des cases pré-cochées ou n'offrent aucun moyen de revenir sur son choix. Chacun de ces points suffit, à lui seul, à rendre le bandeau non conforme.

Cookie wall : peut-on bloquer l'accès en cas de refus ?

Un cookie wall (« mur de traceurs ») conditionne l'accès au site à l'acceptation des cookies. La CNIL ne l'interdit pas par principe, mais elle en apprécie la légalité au cas par cas.

Plusieurs critères doivent être réunis : une alternative réelle et équitable au consentement — souvent un accès payant à un tarif raisonnable —, une information claire sur les finalités, et seulement les traceurs nécessaires côté payant. L'avis 08/2024 du Comité européen de la protection des données a par ailleurs fragilisé le modèle « consentir ou payer » des grandes plateformes, en attendant généralement une alternative gratuite équivalente.

Pour une TPE ou une PME, mieux vaut éviter le cookie wall : le risque juridique dépasse le bénéfice attendu. Un bandeau clair offrant un vrai choix reste l'option la plus sûre.

Choisir et configurer une CMP conforme

Une CMP (plateforme de gestion du consentement) affiche le bandeau et journalise la preuve du consentement. Choisissez-en une qui place « Tout refuser » au premier niveau, propose une granularité par finalité, horodate chaque choix et gère son renouvellement dans le temps.

La configuration compte autant que l'outil. Les traceurs doivent être réellement bloqués — via un gestionnaire de balises — tant que le consentement n'est pas donné. Sinon, un bandeau visuellement parfait masque un dépôt illégal en arrière-plan.

Vérifiez enfin les réglages par défaut : certaines CMP sont livrées avec des finalités pré-activées ou un bouton de refus discret. Reconfigurez-les avant la mise en ligne, puis testez le résultat côté visiteur.

Vérifier que votre bandeau est vraiment conforme

Le seul moyen fiable de savoir si votre bandeau tient la route est de visiter votre site comme un internaute et d'inspecter les traceurs réellement déposés avant tout clic. Beaucoup de sites « avec bandeau » déposent malgré tout des cookies analytics ou publicitaires dès l'arrivée.

Notre audit RGPD gratuit scanne votre site et détecte ces dépôts prématurés, l'absence de bouton refuser ou les traceurs non déclarés. Pour aller plus loin, la checklist RGPD d'un site web et notre guide de conformité RGPD d'un site web couvrent les autres points de contrôle.

Ce contenu est informatif et ne constitue pas un conseil juridique : en cas de doute sur une situation précise, rapprochez-vous d'un professionnel du droit.