Aller au contenu

Cookies et CNIL : ce que votre bandeau doit faire

La réponse courte.

Un cookie qui n'est pas indispensable au site ne se dépose qu'après l'accord du visiteur. C'est le cas de la publicité, des réseaux sociaux et de la plupart des mesures d'audience.

Refuser doit être aussi simple qu'accepter. La CNIL contrôle les sites en ligne et sanctionne, jusqu'à des centaines de millions d'euros.

Guide de DATIVO, mis à jour le 05/11/2026. Sources vérifiées à cette date, listées en fin de page.

La règle

L'article 82 de la loi Informatique et Libertés pose la règle. Lire ou écrire dans le terminal du visiteur demande son consentement, sauf exception.

La CNIL précise cette règle dans ses lignes directrices et sa recommandation du 17 septembre 2020.

Le refus doit se faire par une action aussi simple que l'acceptation. La CNIL recommande fortement un refus sur le même écran, avec la même facilité.

Ce que votre bandeau doit faire

  • Ne rien déposer avant le choix, sauf les traceurs indispensables au site.
  • Proposer « Refuser » à côté d'« Accepter », avec la même visibilité.
  • Ne cocher aucune case d'avance dans le panneau de personnalisation.
  • Respecter le refus : aucun traceur déposé après un « Refuser ».
  • Nommer les services tiers qui déposent des traceurs.
  • Permettre de changer d'avis à tout moment, aussi simplement.

Certains outils de mesure d'audience peuvent se passer de consentement, sous les conditions fixées par la CNIL. Leurs traceurs ne doivent pas vivre plus de 13 mois.

Ce que la CNIL sanctionne

Les décisions récentes de la CNIL, publiées sur son site :

  • 1er septembre 2025 : 150 millions d'euros pour SHEIN, cookies déposés avant tout choix et refus inopérant.
  • 1er septembre 2025 : 325 millions d'euros pour Google, dont des cookies déposés à la création d'un compte.
  • 14 novembre 2024 : 50 millions d'euros pour Orange, dont des cookies encore lus après le retrait du consentement.
  • 22 octobre 2026 : 7 millions d'euros pour la FNAC, au sujet de son application mobile.

Pour les cookies, l'amende peut atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial, le plus élevé des deux.

Comment vous mettre en ordre

  1. Faites l'inventaire des traceurs déposés par votre site et ses services tiers.
  2. Classez-les : indispensables, mesure d'audience exemptée, soumis au consentement.
  3. Réglez votre outil de consentement pour bloquer les traceurs soumis au consentement avant le choix.
  4. Testez le refus : refusez, puis vérifiez qu'aucun traceur n'est déposé.
  5. Mettez à jour votre politique en nommant les services tiers.

L'audit fait ce test pour vous. Il affiche votre accueil, clique sur « Refuser » et relève les traceurs avant et après.

Ce que l'audit vérifie sur ce sujet

Chaque point a sa page : pourquoi il compte, comment corriger, sa source exacte.

Questions fréquentes

Un bandeau « J'ai compris » suffit-il ?

Non. Un simple bandeau d'information ne recueille aucun consentement. Le visiteur doit pouvoir accepter ou refuser.

Ma mesure d'audience demande-t-elle un consentement ?

En général, oui. Certains outils en sont dispensés, sous conditions. Par exemple, leurs traceurs ne vivent pas plus de 13 mois.

Puis-je bloquer l'accès au site tant que le visiteur n'a pas accepté ?

C'est un « mur de cookies ». La CNIL l'apprécie au cas par cas. L'audit le signale pour information.

Comment savoir quels cookies dépose mon site ?

L'audit l'affiche dans un navigateur, refuse, et liste les traceurs déposés avant et après le choix, avec leurs services.

Sources

Sources vérifiées le 05/11/2026. Ce guide informe ; il ne rend pas d'avis juridique.

Les autres guides

Vérifiez votre site sur ces points

L'audit les contrôle avec 75 autres, en quelques minutes, sans rien forcer.

29,99 € HT l'audit complet d'un site (35,99 € TTC). Rapport en quelques minutes, facture à votre entreprise.