Quelles règles pour les cookies et le bandeau de consentement ?

Quels textes s'appliquent aux cookies ?

Les cookies et autres traceurs (pixels, identifiants publicitaires, empreinte du navigateur, stockage local) relèvent d'abord de la directive ePrivacy de 2002, transposée en France à l'article 82 de la loi Informatique et Libertés : tout accès ou inscription d'informations dans le terminal de l'utilisateur suppose son consentement préalable, sauf pour les traceurs strictement nécessaires. Le RGPD intervient pour définir ce qu'est un consentement valable et pour encadrer les traitements de données réalisés grâce aux traceurs. La CNIL a adopté le 17 septembre 2020 des lignes directrices et une recommandation qui détaillent les modalités pratiques, applicables depuis le 1er avril 2021.

Les traceurs exemptés de consentement

Certains traceurs peuvent être déposés sans consentement, parce qu'ils ont pour finalité exclusive de permettre la communication électronique ou sont strictement nécessaires à un service expressément demandé par l'utilisateur. La CNIL cite le panier d'achat, l'authentification, la mémorisation des préférences d'affichage, la sécurité, l'équilibrage de charge, la mémorisation du choix de l'utilisateur en matière de cookies et, sous conditions strictes, certains traceurs de mesure d'audience. L'utilisateur doit tout de même être informé de leur existence, par exemple dans la politique de confidentialité.

La mesure d'audience exemptée

Un outil de statistiques peut être exempté de consentement s'il sert uniquement à produire des statistiques anonymes pour le compte exclusif de l'éditeur, sans recoupement avec d'autres traitements, sans suivi de la navigation sur d'autres sites et avec une durée de vie des traceurs limitée à treize mois. La CNIL publie une liste de solutions qu'elle a identifiées comme pouvant être configurées pour respecter ces conditions. La configuration reste de la responsabilité de l'éditeur ; un outil réputé exemptable mais mal paramétré ne l'est plus.

Les conditions d'un consentement valable

Le consentement doit être libre, spécifique, éclairé et univoque. Concrètement, l'utilisateur doit être informé des finalités de chaque traceur et de l'identité des acteurs qui les utilisent, pouvoir accepter ou refuser par finalité, et manifester son accord par un geste positif clair. Aucun traceur soumis à consentement ne doit être déposé avant ce choix. La poursuite de la navigation, le défilement de la page ou la fermeture du bandeau ne valent pas consentement, et les cases pré-cochées sont interdites depuis l'arrêt Planet49 de la Cour de justice.

Refuser aussi facilement qu'accepter

C'est le point qui a donné lieu aux sanctions les plus lourdes. La CNIL considère que, si un bouton « Tout accepter » figure au premier niveau du bandeau, un bouton « Tout refuser » doit y figurer aussi, avec une présentation et une facilité d'accès équivalentes. Un lien discret « Continuer sans accepter » est admis s'il est suffisamment visible. Il ne doit pas falloir plus de clics pour refuser que pour accepter, et les couleurs ou la taille des boutons ne doivent pas orienter le choix de façon trompeuse. En décembre 2021, la CNIL a sanctionné Google à hauteur de 150 millions d'euros et Facebook à hauteur de 60 millions d'euros pour des mécanismes de refus plus complexes que l'acceptation ; en septembre 2025, elle a prononcé des amendes de 325 millions d'euros contre Google et de 150 millions d'euros contre Shein, notamment pour des manquements liés aux traceurs.

Combien de temps garder le choix ?

La CNIL recommande de conserver le choix de l'utilisateur, qu'il accepte ou qu'il refuse, pendant une durée qui ne le sollicite pas à chaque visite, en indiquant que six mois constituent une durée raisonnable avant de lui redemander son avis. Le refus doit être mémorisé aussi longtemps que l'acceptation, pour ne pas harceler l'utilisateur jusqu'à ce qu'il cède. Les traceurs soumis à consentement ne doivent pas avoir une durée de vie supérieure à treize mois. L'utilisateur doit pouvoir retirer son consentement à tout moment, par exemple grâce à un lien ou un bouton permanent en bas de page.

Prouver le consentement

L'éditeur doit pouvoir démontrer qu'il a recueilli un consentement valable : version du bandeau présentée, horodatage du choix, finalités acceptées. Les plateformes de gestion du consentement fournissent généralement ces éléments. La preuve peut aussi être apportée par la démonstration du fonctionnement du mécanisme, par exemple en montrant que les scripts concernés ne se chargent qu'après acceptation.

Les cookie walls

Subordonner l'accès à un site à l'acceptation des traceurs, ce qu'on appelle un mur de cookies, n'est pas interdit par principe mais fait l'objet d'une appréciation au cas par cas : la CNIL examine notamment si l'utilisateur dispose d'une alternative réelle et équitable, comme un accès payant raisonnable sans traceurs publicitaires, et si l'information est claire. Le CEPD a adopté en avril 2024 un avis sur les modèles « consentir ou payer » des très grandes plateformes, en demandant qu'une option gratuite sans publicité comportementale soit proposée.

Une réforme en discussion

Le projet européen de simplification présenté en novembre 2025 prévoyait d'intégrer les règles sur les traceurs dans le RGPD et d'encourager des signaux de préférence automatiques envoyés par le navigateur. Le Conseil de l'Union a écarté ce transfert dans sa position du 21 octobre 2026, et aucun texte n'est adopté à la date de vérification : l'article 82 de la loi Informatique et Libertés et les lignes directrices de la CNIL restent la référence. Pour l'ensemble des obligations d'un site, voir le guide site internet et RGPD.

Ce que dit l'article 82 de la loi Informatique et Libertés

Les règles applicables aux cookies figurent à l'article 82 de la loi du 6 janvier 1978, qui transpose l'article 5, paragraphe 3, de la directive ePrivacy. Tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète, sauf s'il l'a été au préalable, de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal, ou à inscrire des informations dans cet équipement, et des moyens dont il dispose pour s'y opposer. Ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'utilisateur ait exprimé, après avoir reçu cette information, son consentement. Deux exceptions sont prévues : les traceurs ayant pour finalité exclusive de permettre ou faciliter la communication par voie électronique, et ceux strictement nécessaires à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur.

Pas seulement les cookies

Les règles s'appliquent à tous les traceurs, quelle que soit la technologie utilisée : cookies déposés par le navigateur, stockage local du navigateur, pixels invisibles intégrés aux pages ou aux courriels, empreintes de navigateur calculées à partir des caractéristiques de l'appareil, identifiants publicitaires des téléphones, kits de développement intégrés aux applications mobiles. Le pixel de suivi inséré dans un courriel pour savoir s'il a été ouvert est ainsi un traceur soumis à consentement, sauf lorsqu'il sert exclusivement à mesurer la délivrabilité globale ou la sécurité. La CNIL a précisé ces règles dans ses lignes directrices et sa recommandation de 2020, mises à jour par la suite, et a engagé en 2025 des travaux spécifiques sur les pixels de suivi dans les courriels, soumis à consultation publique.

Les sanctions de la CNIL sur les cookies

Les cookies ont donné lieu à certaines des sanctions les plus élevées prononcées par la CNIL. En décembre 2020, elle a infligé 100 millions d'euros à Google et 35 millions d'euros à Amazon pour le dépôt de cookies publicitaires sans consentement. En décembre 2021, elle a sanctionné Google à hauteur de 150 millions d'euros et Facebook à hauteur de 60 millions d'euros parce que le refus des cookies était plus complexe que leur acceptation. En 2025, elle a de nouveau sanctionné Google à hauteur de 325 millions d'euros et Shein à hauteur de 150 millions d'euros pour des manquements relatifs aux cookies et, pour Google, à l'insertion de publicités dans la messagerie. Ces décisions ont profondément modifié les bandeaux de consentement en France, la plupart des grands sites proposant désormais un bouton « Tout refuser ».

Concevoir un bandeau conforme

Un bandeau de consentement conforme présente, dès le premier niveau, une information claire sur les finalités des traceurs, et trois possibilités au même niveau : accepter, refuser, personnaliser. Le bouton de refus doit avoir la même forme, la même taille et la même visibilité que le bouton d'acceptation ; un lien discret « Continuer sans accepter » est admis par la CNIL à condition d'être suffisamment visible. Le bandeau ne doit pas bloquer l'accès au contenu de façon disproportionnée, ni masquer la possibilité de refuser derrière plusieurs clics. Le second niveau permet de choisir finalité par finalité et présente la liste des partenaires. Aucun traceur soumis à consentement ne doit être déposé avant le choix de l'utilisateur, et le refus doit empêcher effectivement leur dépôt. Un lien permanent, en pied de page, permet de modifier son choix à tout moment.

Vérifier son site

Un éditeur peut contrôler lui-même la conformité de son site. En ouvrant une fenêtre de navigation privée et les outils de développement du navigateur, il observe les cookies déposés et les requêtes envoyées vers des domaines tiers avant toute interaction avec le bandeau : seuls des traceurs exemptés doivent apparaître. Il clique ensuite sur « Refuser » et vérifie qu'aucun nouveau traceur publicitaire ou de réseau social n'est déposé, puis recharge la page pour s'assurer que le refus est mémorisé. Il contrôle enfin que le lien de modification du choix fonctionne. Plusieurs outils gratuits automatisent ces vérifications, mais l'observation manuelle reste la plus fiable. La CNIL utilise des méthodes similaires lors de ses contrôles en ligne.

Les applications mobiles

Les règles des cookies s'appliquent aux applications mobiles, qui intègrent souvent des kits de développement fournis par des tiers pour la mesure d'audience, la publicité ou l'analyse des plantages. La CNIL a publié en 2024 des recommandations sur les applications mobiles, qui précisent les responsabilités de l'éditeur, du développeur, des fournisseurs de kits et des magasins d'applications. Le consentement doit être recueilli avant l'activation des kits soumis à consentement, et les permissions demandées par le système d'exploitation, comme l'accès à la localisation ou aux contacts, ne remplacent pas le consentement exigé par le RGPD. L'accès à l'identifiant publicitaire de l'appareil suppose aussi le consentement de l'utilisateur.

Les cookies et le RGPD : deux textes à combiner

Le dépôt et la lecture d'un traceur relèvent de l'article 82 de la loi française, mais les traitements de données réalisés ensuite, comme le profilage publicitaire ou l'analyse de la navigation, relèvent du RGPD. Un même dispositif doit donc respecter les deux textes : consentement au dépôt du traceur, puis base légale, information, durée de conservation et droits pour le traitement des données collectées. La CNIL est compétente pour les deux, mais la procédure diffère : pour les cookies, elle peut agir directement contre un organisme établi hors de France, sans passer par le guichet unique, ce qui explique qu'elle ait pu sanctionner de grandes plateformes établies en Irlande pour des manquements liés aux cookies.

Les alternatives aux cookies tiers

La disparition progressive des cookies tiers dans les navigateurs a conduit les acteurs de la publicité à développer des alternatives : identifiants fondés sur l'adresse électronique hachée, publicité contextuelle fondée sur le contenu de la page, solutions de mesure côté serveur, cohortes d'intérêts calculées par le navigateur. Ces techniques ne sont pas exemptées par nature : un identifiant fondé sur une adresse électronique reste une donnée personnelle, et un suivi côté serveur reste soumis au consentement lorsqu'il accède à des informations sur l'appareil ou permet un suivi publicitaire. La publicité contextuelle, qui ne repose pas sur le profil de l'internaute, est la seule réellement compatible avec une absence de consentement.

Une réforme annoncée

La proposition de règlement dit « Omnibus numérique », présentée par la Commission européenne en novembre 2025, envisage notamment d'intégrer les règles relatives aux traceurs dans le RGPD, d'élargir les exemptions de consentement à certains usages à faible risque, comme la mesure d'audience agrégée ou la sécurité, et de permettre aux utilisateurs d'exprimer leurs choix une fois pour toutes par des signaux automatiques envoyés par le navigateur. Le Conseil a adopté son mandat de négociation le 21 octobre 2026, mais le texte n'était pas adopté à la date de mise à jour de ce guide. En attendant, les règles actuelles de l'article 82 et les recommandations de la CNIL restent pleinement applicables.

Les cookies et les données de géolocalisation

Certains sites et applications collectent la géolocalisation précise des utilisateurs, par le navigateur ou par le système d'exploitation. Cette collecte suppose une autorisation explicite de l'utilisateur, demandée au moment où la fonction est utilisée, par exemple pour trouver le magasin le plus proche. Elle ne doit pas servir à d'autres finalités, comme la publicité ciblée, sans consentement spécifique. La géolocalisation déduite de l'adresse IP, moins précise, reste une donnée personnelle et doit être mentionnée dans l'information. Les données de localisation précises, qui peuvent révéler les habitudes de vie, les lieux de culte fréquentés ou l'état de santé, font l'objet d'une attention particulière de la CNIL, qui a sanctionné plusieurs courtiers en données de localisation.

Durées à retenir pour les traceurs

La CNIL recommande une durée de vie maximale de treize mois pour les traceurs soumis à consentement, sans prorogation automatique lors des nouvelles visites, et une conservation des informations collectées par ces traceurs pendant vingt-cinq mois au maximum. Le choix de l'utilisateur, qu'il s'agisse d'une acceptation ou d'un refus, doit être conservé pendant une durée raisonnable, six mois étant considérés comme adaptés, au terme desquels il peut être sollicité à nouveau. Le refus doit être mémorisé aussi longtemps que l'acceptation, pour éviter que l'utilisateur soit sollicité à chaque visite jusqu'à ce qu'il cède.

Les erreurs fréquentes sur les bandeaux

Les contrôles de la CNIL révèlent des erreurs récurrentes : absence de bouton de refus au premier niveau, refus présenté sous forme d'un lien peu visible alors que l'acceptation est un bouton coloré, cases pré-cochées dans le panneau de personnalisation, traceurs déposés avant tout choix, refus non respecté, bandeau réaffiché à chaque visite après un refus, liste de partenaires introuvable ou interminable, absence de lien permettant de modifier son choix, ou encore formulation trompeuse comme « Nous respectons votre vie privée » accompagnée d'un seul bouton « J'ai compris ». La plupart de ces erreurs se corrigent facilement en paramétrant correctement la plateforme de gestion du consentement. Le choix d'une solution sérieuse, régulièrement mise à jour, et la vérification après chaque modification du site évitent la majorité des manquements.

Qui est responsable des cookies ?

L'éditeur du site est responsable du recueil du consentement pour l'ensemble des traceurs déposés lors de la visite de son site, y compris ceux des partenaires. Les partenaires qui utilisent ces traceurs pour leurs propres finalités, comme les régies publicitaires ou les réseaux sociaux, sont eux-mêmes responsables des traitements qu'ils effectuent ensuite. La Cour de justice a jugé, dans l'arrêt Fashion ID de 2019, que l'éditeur et le réseau social sont responsables conjoints de la collecte et de la transmission des données par un module social intégré. L'éditeur ne peut donc pas se décharger sur ses partenaires : il doit savoir quels traceurs sont déposés par son site, à quelles fins, et s'assurer qu'aucun n'est activé sans consentement lorsqu'il en faut un.