Les bandeaux cookies sont devenus un passage obligé sur une grande partie du web. Pour une entreprise qui lance son site, la question arrive vite : faut-il en mettre un, lequel, et à quoi doit-il ressembler ? On croise des sites qui en affichent un sans en avoir besoin, et d'autres dont le bandeau ne respecte pas les règles.
La réponse ne dépend ni de la taille de votre entreprise ni du type de site, mais d'une seule question : quels traceurs votre site utilise-t-il ? Cet article s'appuie sur les textes de la CNIL : ses lignes directrices de 2020 et sa recommandation sur les cookies, dans la version consolidée publiée le 16 janvier 2026.
La règle : pas de traceur sans accord, sauf exceptions
Le texte de référence est l'article 82 de la loi Informatique et Libertés, qui transpose en droit français la directive européenne dite « ePrivacy ». Il impose d'informer l'utilisateur de manière claire et complète, puis d'obtenir son consentement, avant toute opération qui lit ou écrit des informations dans son appareil. Deux exceptions seulement : les opérations qui ont pour finalité exclusive de permettre ou de faciliter la communication électronique, et celles qui sont strictement nécessaires à un service en ligne demandé expressément par l'utilisateur.
Trois précisions de la CNIL montrent que la règle va plus loin qu'on ne le pense :
- Pas seulement les cookies : elle vise aussi le stockage local des navigateurs (« local storage »), le calcul d'empreinte de l'appareil (« fingerprinting »), les identifiants générés par les systèmes des téléphones et les identifiants matériels. D'où le terme de « traceurs ».
- Pas seulement les données personnelles : la règle s'applique que les informations lues ou écrites soient des données personnelles ou non.
- Tous les appareils : ordinateur, smartphone et tablette, mais aussi télévision, console ou véhicule connectés.
Les traceurs qui n'ont pas besoin de consentement
La CNIL dresse une liste, non exhaustive, des traceurs qui peuvent être considérés comme exemptés :
- les traceurs qui conservent le choix de l'utilisateur sur les cookies ;
- les traceurs d'authentification, y compris ceux qui sécurisent la connexion, par exemple contre les tentatives d'accès automatisées ;
- les traceurs qui gardent en mémoire le panier d'achat d'une boutique, ou qui servent à facturer les achats ;
- les traceurs de personnalisation de l'interface, comme le choix de la langue, lorsque cette personnalisation est un élément attendu du service ;
- les traceurs d'équilibrage de charge entre serveurs ;
- les traceurs qui permettent aux sites payants de limiter l'accès gratuit à un échantillon de contenu ;
- certains traceurs de mesure d'audience, sous conditions (voir ci-dessous).
Une condition vaut pour tous : un traceur n'est exempté que s'il sert uniquement à l'une de ces finalités. La CNIL prend l'exemple d'un cookie de connexion : il peut être déposé sans consentement pour authentifier l'utilisateur, mais s'il sert aussi à de la publicité, le consentement redevient obligatoire.
Exempté ne veut pas dire invisible : la CNIL recommande d'informer les utilisateurs de l'existence de ces traceurs et de leurs finalités, par exemple dans la politique de confidentialité. Elle cite le cas d'un cookie qui ne stocke que la langue préférée de l'utilisateur : il peut être couvert par l'exemption, et ne constitue même pas un traitement de données personnelles.
Le cas particulier des statistiques de visite
Mesurer la fréquentation de son site est presque indispensable, et la CNIL en tient compte : les traceurs de mesure d'audience peuvent être exemptés, mais à des conditions strictes. Ils doivent :
- servir uniquement à mesurer l'audience du site, pour le compte exclusif de son éditeur ;
- ne pas permettre de suivre la personne sur d'autres sites ou applications ;
- produire uniquement des statistiques anonymes, sans que les données soient recoupées avec d'autres traitements ni transmises à des tiers.
La CNIL recommande en outre d'informer les utilisateurs de ces traceurs, de limiter leur durée de vie à 13 mois, sans la prolonger automatiquement à chaque nouvelle visite, et de ne pas conserver les informations collectées plus de 25 mois.
En pratique, tout dépend de l'outil et de sa configuration. Un outil de statistiques qui réutilise les données pour son propre compte, ou qui les transmet à des tiers, ne remplit pas ces conditions. La CNIL consacre une page de son site aux solutions de mesure d'audience : à consulter avant de choisir.
Alors, faut-il un bandeau ?
Non, si votre site n'utilise que des traceurs exemptés. Un site vitrine qui mémorise la langue choisie et mesure son audience avec un outil configuré selon les conditions ci-dessus n'a pas à demander de consentement. La CNIL recommande seulement d'expliquer ces traceurs, dans la politique de confidentialité par exemple.
Oui, dès qu'un traceur soumis au consentement entre en jeu. Par exemple :
- un pixel publicitaire ou un outil de reciblage, pour vos campagnes sur les réseaux sociaux ou les moteurs de recherche ;
- une mesure d'audience qui ne remplit pas les conditions d'exemption ;
- des boutons de partage ou des contenus de réseaux sociaux qui déposent des traceurs ;
- des contenus tiers intégrés (vidéo, carte, module de prise de rendez-vous, de discussion ou de protection anti-spam) qui déposent ou lisent leurs propres traceurs ;
- tout traceur servant à la publicité personnalisée ou au profilage.
Pour les boutons de partage, la CNIL admet une solution élégante : ne déclencher les traceurs que lorsque l'utilisateur utilise réellement la fonction de partage, et lui demander son accord à ce moment-là plutôt qu'à son arrivée sur le site.
Attention aux traceurs des autres. Selon la CNIL, l'éditeur d'un site est responsable des traceurs qu'il dépose, même s'il en confie la gestion à un prestataire, et l'organisme qui autorise des tiers à déposer des traceurs depuis son site doit s'assurer qu'un mécanisme de recueil du consentement est bien en place. Ignorer ce que dépose un module installé sur son site ne dégage donc pas de sa responsabilité.
Les règles d'un bandeau conforme
Si votre site a besoin d'un bandeau, voici ce que la CNIL attend.
Informer avant de demander
Avant de faire son choix, l'utilisateur doit connaître au minimum l'identité du ou des responsables des traceurs, leurs finalités, la manière d'accepter ou de refuser, les conséquences de son choix et son droit de retirer son consentement. La CNIL recommande de présenter chaque finalité sous un intitulé court (« Publicité personnalisée », « Partage sur les réseaux sociaux »…) accompagné d'une brève description, et de rendre accessible la liste complète et à jour des sociétés qui utilisent des traceurs sur le site.
Un vrai « oui », jamais un oui par défaut
Le consentement doit résulter d'un acte positif clair. La CNIL considère que continuer à naviguer sur un site, utiliser une application ou faire défiler une page ne vaut pas consentement, et la Cour de justice de l'Union européenne a jugé en 2019 que des cases pré-cochées ne valent pas davantage. Les mentions du type « En poursuivant votre navigation, vous acceptez les cookies » ne suffisent donc pas. Sans acte positif, l'utilisateur doit être considéré comme ayant refusé, et aucun traceur soumis au consentement ne peut être lu ni déposé.
Refuser aussi facilement qu'accepter
C'est le point central. La CNIL recommande fortement que le refus soit accessible sur le même écran et avec la même facilité que l'acceptation. Elle estime qu'un bandeau qui demande un seul clic pour accepter, mais plusieurs pour « paramétrer » un refus, risque dans la plupart des cas de biaiser le choix. La solution qu'elle donne en exemple : deux boutons de même niveau et de même format, « Tout accepter » et « Tout refuser ».
Elle recommande aussi des boutons et une police de même taille, aussi lisibles l'un que l'autre et mis en évidence de la même manière, sans design trompeur qui laisserait croire que le consentement est obligatoire. Un lien « Continuer sans accepter » peut aussi exprimer le refus, à condition que cette possibilité soit clairement indiquée à l'utilisateur.
Permettre de choisir finalité par finalité
Les boutons globaux sont admis, à condition d'avoir d'abord présenté toutes les finalités. Pour un choix plus fin, la CNIL suggère un bouton « Personnaliser mes choix » placé au même niveau que « Tout accepter » et « Tout refuser ». Les cases à cocher doivent être décochées par défaut, et les interrupteurs désactivés.
Se souvenir du choix, et permettre d'en changer
Le choix doit être conservé, faute de quoi le bandeau réapparaîtrait à chaque page. La CNIL considère que conserver le consentement comme le refus pendant 6 mois constitue une bonne pratique. L'utilisateur doit aussi pouvoir retirer son consentement à tout moment, aussi simplement qu'il l'a donné : la CNIL suggère un lien du type « Gérer mes cookies », ou une icône accessible sur toutes les pages, par exemple en bas de l'écran.
Pouvoir prouver le consentement
Le responsable doit pouvoir démontrer à tout moment que le consentement a été valablement recueilli. Parmi les moyens cités par la CNIL : conserver des captures d'écran horodatées du bandeau pour chaque version du site, ou l'historique horodaté des configurations de l'outil de gestion du consentement (souvent appelé « CMP »).
Et le « cookie wall » ?
Bloquer l'accès au site tant que l'utilisateur n'a pas accepté, ce qu'on appelle un « cookie wall », est susceptible selon la CNIL de porter atteinte à la liberté du consentement dans certains cas. Sa licéité s'apprécie au cas par cas, et l'utilisateur doit alors être clairement informé des conséquences de son refus. Pour un site vitrine, c'est un risque qui n'a pas lieu d'être.
Les erreurs classiques
- Pas de bouton « Tout refuser » au premier niveau, alors que « Tout accepter » y figure.
- « En poursuivant votre navigation, vous acceptez… » : la navigation ne vaut pas consentement.
- Des traceurs déposés dès l'arrivée sur le site, avant tout clic : le bandeau ne sert alors à rien.
- Des cases pré-cochées dans le panneau de personnalisation.
- Aucun moyen de changer d'avis une fois le bandeau fermé.
- Un bandeau affiché alors que le site n'utilise que des traceurs exemptés : ce n'est pas interdit, mais c'est une gêne inutile pour vos visiteurs.
Comment savoir quels traceurs votre site utilise
Avant de choisir une solution, faites l'inventaire. Quelques pistes concrètes :
- Ouvrez votre site dans une fenêtre de navigation privée, sans cliquer sur rien, puis ouvrez les outils de développement du navigateur (touche F12 sous Windows) : l'onglet « Application » de Chrome ou « Stockage » de Firefox liste les cookies et le stockage local du site.
- Recommencez après avoir cliqué sur « Tout refuser » : aucun traceur soumis au consentement ne doit apparaître.
- Listez les services tiers branchés sur votre site : statistiques, pixels publicitaires, vidéos, cartes, discussion, prise de rendez-vous, anti-spam. Pour chacun, la documentation de l'éditeur indique en général les traceurs qu'il utilise.
- Demandez à votre prestataire la liste des traceurs et de leurs finalités : c'est une information qu'il devrait pouvoir vous fournir.
Que risque-t-on ?
La CNIL sanctionne les manquements à ces règles. Exemple récent : le 27 novembre 2025, elle a infligé une amende de 1,5 million d'euros à American Express pour des traceurs déposés sans consentement, déposés malgré le refus de l'utilisateur, ou lus après le retrait de son consentement. Les sanctions les plus médiatisées concernent de grandes entreprises, mais les règles s'appliquent à tous les sites, quelle que soit leur taille.
Ce qui pourrait changer
Le 19 novembre 2025, la Commission européenne a présenté un paquet de simplification du droit du numérique, baptisé « omnibus numérique ». Il propose notamment de faire passer les règles sur les cookies dans le RGPD, d'imposer la possibilité de tout refuser en un seul clic, d'obliger les sites à respecter le choix de l'utilisateur pendant au moins six mois, de permettre d'exprimer ses préférences une fois pour toutes, par exemple dans son navigateur, et de dispenser de consentement certains usages sans risque, comme le comptage des visites.
Ce n'est encore qu'une proposition. Selon le suivi législatif du Parlement européen, mis à jour le 20 septembre 2026, le texte n'est pas adopté, et ses dispositions sur les cookies sont toujours en discussion : elles peuvent encore évoluer. D'ici là, rien ne change, et ce sont les règles décrites dans cet article qui s'appliquent.
En résumé
- Faites l'inventaire des traceurs de votre site, y compris ceux des services tiers.
- Si tous sont exemptés (choix des cookies, connexion, panier, langue, statistiques conformes) : pas de bandeau de consentement, mais une explication dans votre politique de confidentialité.
- Sinon : un bandeau avec « Tout accepter » et « Tout refuser » au même niveau, des finalités expliquées, et aucun traceur avant le choix.
- Conservez le choix (6 mois est une bonne pratique) et proposez un lien « Gérer mes cookies » sur toutes les pages.
- Gardez une trace datée de votre configuration pour pouvoir prouver le consentement.
- Refaites la vérification à chaque nouvel outil branché sur le site.
Les cookies ne sont qu'une partie des informations obligatoires d'un site : nous avons détaillé le reste dans notre article sur les mentions légales d'un site professionnel. Et un site qui n'a pas besoin de bandeau, cela se décide dès la conception, en choisissant les bons outils. C'est ce que nous faisons pour chaque site vitrine : parlons-en.
Sources
- Lignes directrices « cookies et autres traceurs », délibération n° 2020-091 du 17 septembre 2020 (CNIL)
- Recommandation « cookies et autres traceurs », version consolidée du 16 janvier 2026 (CNIL)
- Cookies et autres traceurs : que dit la loi ? (CNIL)
- Cookies : solutions pour les outils de mesure d'audience (CNIL)
- Cookies : la CNIL sanctionne American Express d'une amende de 1,5 million d'euros (CNIL)
- Digital Package, questions et réponses (Commission européenne, en anglais)
- The Digital Omnibus Regulation Proposal (Parlement européen, suivi législatif, en anglais)
