Bandeau cookies CNIL : ce que la règle exige vraiment

Publié le 12/11/2026 · par Site en Règle

Beaucoup de sites affichent un bandeau cookies sans que celui-ci fasse ce qu'il annonce. Le bandeau est visible, mais les traceurs sont déjà partis. Ou bien le bouton « Accepter » est en grand, et pour refuser il faut ouvrir trois écrans. Dans les deux cas, le site n'est pas conforme à ce que la CNIL attend.

Ce guide résume les règles, avec les sources officielles, puis vous donne une liste à contrôler vous-même en quelques minutes. Nous distinguons ce qui est écrit dans les textes et ce qui relève de la recommandation.

Ce guide est une information générale, pas un conseil juridique.

La règle de base : consentement avant dépôt

Le cadre est l'article 82 de la loi Informatique et Libertés, qui transpose la directive ePrivacy. La CNIL le résume ainsi : avant de déposer ou de lire un traceur sur l'appareil d'un visiteur, vous devez recueillir son consentement, sauf si le traceur est exempté. Le consentement doit être libre, spécifique, éclairé et univoque, et il se manifeste par une action positive.

Concrètement, cela veut dire trois choses :

• Avant le choix du visiteur, aucun traceur soumis à consentement ne doit être déposé ni lu.
• Continuer à naviguer ou faire défiler la page ne vaut pas consentement.
• Accepter les CGV ne vaut pas consentement aux cookies : les deux demandes doivent être séparées.

Source : CNIL, Cookies et autres traceurs : que dit la loi ?.

Refuser doit être aussi simple qu'accepter

C'est le point le plus souvent sanctionné chez les petits sites. La CNIL écrit que refuser les traceurs doit être aussi aisé que de les accepter, et recommande d'afficher côté à côté un bouton « Tout accepter » et un bouton « Tout refuser », avec la même visibilité. Elle indique aussi que les visiteurs doivent pouvoir retirer leur consentement facilement et à tout moment.

Dans son communiqué du 6 juillet 2026 sur 23 sanctions simplifiées, la CNIL cite des sites qui permettaient d'accepter tous les cookies en un clic mais exigeaient plusieurs étapes pour les refuser. La procédure simplifiée plafonne chaque amende à 20 000 €, et 19 de ces 23 sanctions sont parties de plaintes.

Sources :

• CNIL, Lignes directrices modificatives et recommandation du 17 septembre 2020.
• CNIL, 23 nouvelles sanctions simplifiées.

Ce que le bandeau doit dire

Avant que le visiteur consente, il doit être informé des finalités des traceurs et des conséquences d'une acceptation ou d'un refus. La CNIL demande aussi d'indiquer l'identité des acteurs qui utilisent des traceurs, ce qui inclut les services tiers installés sur votre site (statistiques, publicité, vidéos, widgets).

Un bandeau qui dit seulement « Ce site utilise des cookies pour améliorer votre expérience » ne remplit pas cette exigence : il ne dit ni quelles finalités, ni quels acteurs.

Quels cookies n'ont pas besoin de consentement

Certains traceurs sont exemptés, car ils sont nécessaires au service demandé. La CNIL cite notamment :

• l'authentification et la sécurité ;
• le contenu d'un panier d'achat ;
• la personnalisation de l'interface (langue, présentation) ;
• l'équilibrage de charge ;
• la mémorisation du choix du visiteur sur les traceurs ;
• certains traceurs de mesure d'audience, sous conditions.

Le cas de la mesure d'audience

La mesure d'audience peut être exemptée si elle respecte des conditions strictes : finalité limitée à la mesure de l'audience du site pour l'éditeur, production de statistiques anonymes uniquement, pas de croisement avec d'autres traitements, pas de suivi d'un site à l'autre. La CNIL recommande une durée de vie du cookie de 13 mois maximum, sans renouvellement automatique, et une conservation des données de 25 mois maximum.

La CNIL précise que des offres de mesure d'audience très répandues, dont Google Analytics, sortent de l'exemption, car l'outil réutilise les données pour son propre compte. Nous détaillons ce point, et la façon de le vérifier, dans notre guide Google Analytics avant consentement.

Source : CNIL, Mesurer la fréquentation de vos sites web et de vos applications.

Les erreurs que nous voyons le plus souvent

Voici les écarts typiques d'un petit site de vente en ligne. Ce sont des cas de figure fréquents, pas des statistiques :

1. Le bandeau existe, mais les scripts de statistiques ou de publicité se chargent avant tout clic.
2. Le bandeau propose « Accepter » et « Personnaliser », sans « Refuser » au premier niveau.
3. Le bouton « Refuser » existe, mais il est grisé, minuscule ou en lien texte.
4. Le choix « Refuser » est enregistré, mais certains scripts partent quand même.
5. Il n'y a aucun moyen de revenir sur son choix une fois le bandeau fermé.
6. Une vidéo ou une carte intégrée charge des traceurs tiers dès l'ouverture de la page.

À vérifier soi-même

Ouvrez une fenêtre de navigation privée, sans extension de blocage de publicités, et visitez la page d'accueil de votre site sans cliquer sur le bandeau.

• ☐ Le bandeau s'affiche dès l'arrivée sur le site.
• ☐ Un bouton « Tout refuser » (ou équivalent clair) est visible au premier niveau, à côté de « Tout accepter », avec une taille et un style comparables.
• ☐ Le bandeau décrit les finalités et renvoie à la liste des acteurs qui déposent des traceurs.
• ☐ Sans cliquer, ouvrez les outils de votre navigateur (touche F12), onglet « Application » (ou « Stockage »), puis « Cookies » : aucun cookie de statistiques ou de publicité n'est présent.
• ☐ Dans l'onglet « Réseau », rechargez la page : aucune requête vers des services de mesure ou de publicité tiers avant votre choix.
• ☐ Cliquez sur « Tout refuser », rechargez : les cookies de statistiques et de publicité n'apparaissent toujours pas.
• ☐ Un lien permanent (pied de page, par exemple) permet de rouvrir les choix et de les modifier.
• ☐ Le consentement aux cookies est demandé séparément de l'acceptation des CGV.
• ☐ Les pages avec vidéo ou carte intégrée ne chargent pas de traceurs tiers avant consentement.

Si l'un de ces points échoue, c'est un écart à corriger en priorité, et le premier est généralement le moins coûteux à régler : la configuration de votre gestionnaire de consentement.

Et si vous voulez un second regard

Nous contrôlons ces points sur le site d'une société : traceurs déposés avant consentement, bandeau, pages légales et principaux blocages d'accessibilité. Vous recevez un rapport PDF avec un score par rubrique et les corrections classées par priorité : Check-up express à 29 € (page d'accueil et 4 pages) ou Check-up complet à 79 €. Il s'agit d'un audit technique fondé sur les recommandations publiques de la CNIL, sans garantie de conformité totale.

Ce guide est une information générale, pas un conseil juridique.