Votre site a bien une bannière cookies — mais est-elle vraiment conforme ? C’est la question que beaucoup de dirigeants de TPE et PME n’osent pas poser franchement, parce que la réponse pourrait les obliger à agir.
En 2026, la réglementation française sur les cookies ne s’est pas assouplie : la CNIL a publié en janvier une version consolidée de ses recommandations, et l’interprétation du droit existant est plus stricte, pas plus permissive. Pourtant, une fraction significative des sites de petites entreprises affiche encore des bannières incomplètes, voire trompeuses — souvent par méconnaissance de ce qui est réellement exigé, et non par mauvaise volonté.
Cet article pose les choses clairement, sans jargon inutile et sans vous faire peur pour rien. Vous allez comprendre quels textes s’appliquent, ce qu’une bannière conforme doit concrètement contenir, quels traceurs sont exemptés, et comment organiser la gestion des choix de vos visiteurs. L’objectif : vous donner les clés pour évaluer votre situation aujourd’hui et corriger ce qui doit l’être.
👉 L’essentiel à retenir
- Le consentement aux cookies doit être libre, spécifique, éclairé et univoque — la simple navigation sur le site ne suffit plus depuis 2020.
- Un bouton « Tout refuser » au même niveau et dans le même format que « Tout accepter » est obligatoire : un simple lien « Paramétrer » ne suffit pas.
- Le choix de l'utilisateur (acceptation ou refus) doit être mémorisé environ six mois pour ne pas le solliciter à chaque visite.
- Certains traceurs sont exemptés de consentement (panier d'achat, authentification, mesure d'audience strictement limitée) ; tous les autres nécessitent un accord préalable explicite.
- Seul le RGPD et la directive ePrivacy (transposée par l'article 82 de la loi Informatique et Libertés) encadrent les cookies en France — pas la loi Lemaire de 2016.
1. Quel cadre juridique régit vraiment les cookies en France ?
Commençons par dissiper une confusion fréquente : les cookies ne sont pas régis par la loi pour une République numérique de 2016 (dite loi Lemaire). Ce texte portait sur d’autres aspects de la société de l’information. En France, le régime des traceurs repose sur deux textes complémentaires qui s’appliquent simultanément.
1.1 La directive ePrivacy et son article 82
La directive européenne 2002/58/CE, dite directive « ePrivacy » ou « vie privée et communications électroniques », a été transposée en droit français par l’article 82 de la loi Informatique et Libertés. C’est cet article 82 qui pose le principe fondamental : sauf exception, aucun cookie ou traceur ne peut être déposé sur le terminal d’un utilisateur sans son consentement préalable. La règle vise l’accès au terminal — le fait de lire ou d’écrire une information sur l’appareil de la personne — indépendamment de la nature personnelle ou non de la donnée.
1.2 Le RGPD, obligatoirement en parallèle
Dès que les données collectées via ces traceurs constituent des données personnelles — et c’est presque toujours le cas dès lors qu’un identifiant unique, une adresse IP ou un historique de navigation est impliqué —, le RGPD s’applique en plus. Il encadre notamment les conditions de validité du consentement (article 7), les obligations d’information envers l’utilisateur (article 13) et les droits des personnes. En pratique, tout opérateur de site doit donc jongler avec les deux textes de façon concomitante.
1.3 Le référentiel CNIL : les délibérations de 2020 et la version 2026
Les lignes directrices et recommandation cookies de la CNIL — délibérations n° 2020-091 et n° 2020-092 du 17 septembre 2020, la recommandation n° 2020-092 ayant été modifiée par la délibération n° 2025-131 du 18 décembre 2025 — constituent le référentiel d’application concret en France. En janvier 2026, la CNIL a publié une version consolidée de ces recommandations, intégrant une interprétation renforcée sur plusieurs points pratiques. C’est ce document qui fait autorité pour évaluer la conformité de votre bannière.
À noter : le règlement ePrivacy européen, longtemps attendu pour remplacer la directive, a été formellement retiré en février 2025. Une proposition dite « Digital Omnibus » de novembre 2025 cherche à intégrer les règles sur les cookies dans le RGPD, mais elle n’est pas encore adoptée. En 2026, le cadre actuel reste donc pleinement en vigueur.
2. Le consentement : ce que « valide » signifie vraiment
Un consentement conforme aux exigences du RGPD et de l’article 82 doit réunir cinq qualités cumulatives : il doit être libre, spécifique, éclairé, univoque — et l’utilisateur doit pouvoir le retirer à tout moment avec la même facilité qu’il l’a accordé. Chacune de ces conditions a des implications concrètes sur la façon dont vous construisez votre interface.
2.1 La fin de la navigation silencieuse comme consentement
C’est l’un des points les plus mal assimilés : la simple poursuite de la navigation sur un site ne vaut plus consentement. Cette pratique, répandue jusqu’en 2020, est explicitement invalide selon les lignes directrices de la CNIL. Le consentement doit résulter d’un acte positif et clair — typiquement, cliquer sur un bouton « Tout accepter ». Si l’utilisateur ferme la bannière, scrolle ou clique ailleurs sans exprimer de choix, aucun traceur non essentiel ne peut être déposé.
2.2 Libre : pas de pression ni de design trompeur
Pour que le consentement soit libre, refuser doit être aussi aisé qu’accepter. La CNIL est explicite sur ce point : la seule présence d’un bouton « Paramétrer » en complément du bouton « Tout accepter » ne permet pas de se mettre en conformité, car elle tend en pratique à dissuader le refus. Un bouton « Tout refuser » doit exister, au même niveau hiérarchique, dans le même format visuel que « Tout accepter ».
La CNIL recommande également de s’assurer que l’interface ne recourt pas à des pratiques de design trompeuses : bouton de refus décoloré pour le rendre moins visible, barre de défilement difficilement compréhensible, formulations ambiguës. Ces pratiques, parfois désignées sous le terme de dark patterns, sont dans le viseur de l’autorité.
2.3 Spécifique : un consentement par finalité
L’utilisateur ne doit pas seulement accepter ou refuser « les cookies » en bloc. La CNIL recommande de lui permettre de consentir de façon indépendante pour chaque finalité — publicité ciblée, mesure d’audience, personnalisation, réseaux sociaux — par exemple au moyen de cases à cocher distinctes. Un consentement global qui fusionne toutes les finalités dans un même clic manque de spécificité.
2.4 Éclairé : une information claire et lisible
L’information présentée à l’utilisateur doit être visible, complète et rédigée en termes simples. Elle doit mentionner les finalités des traceurs et l’identité des responsables de traitement — y compris les tiers (Google, Meta, etc.) qui pourraient accéder aux données. Pour concilier concision et précision, la CNIL admet un système à deux niveaux : une information synthétique dans la bannière, et un second niveau de détail accessible via un lien.
3. La bannière en pratique : ce qu’elle doit afficher
Traduisons les principes en exigences concrètes pour l’interface que vos visiteurs voient à leur première visite.
3.1 Les deux boutons au premier niveau
La bannière doit proposer, dès le premier écran et sans que l’utilisateur ait à chercher, deux boutons présentés au même niveau et dans le même format : « Tout accepter » et « Tout refuser ». Un troisième bouton « Paramétrer » ou « Personnaliser » peut compléter l’interface, mais il ne peut pas remplacer le bouton de refus direct.
3.2 La mémorisation du choix : six mois, refus compris
La CNIL recommande que le choix exprimé — qu’il s’agisse d’un consentement ou d’un refus — soit enregistré de manière à ne pas solliciter à nouveau l’utilisateur pendant un certain laps de temps. Une durée de six mois est en général appropriée, tant pour l’acceptation que pour le refus. Cette symétrie est importante : de nombreux sites mémorisent bien l’acceptation, mais réaffichent la bannière à chaque visite en cas de refus, ce qui constitue une forme de harcèlement contraire à l’esprit du texte.
3.3 La possibilité de retrait à tout moment
L’utilisateur doit pouvoir révoquer son consentement à tout moment, avec la même simplicité qu’il l’a accordé. En pratique, cela implique un accès permanent à l’interface de gestion des cookies — typiquement un lien en pied de page libellé de façon intuitive : la CNIL suggère des formulations comme « module de gestion des cookies » ou « gérer mes cookies ». Ce lien doit fonctionner sur toutes les pages du site, pas seulement sur la page d’accueil.
3.4 Ce qui peut (et doit) être bloqué avant le consentement
Tant que l’utilisateur n’a pas exprimé son choix, aucun traceur non essentiel ne doit être chargé. Cela inclut les scripts Google Analytics en configuration standard, les pixels publicitaires Meta ou LinkedIn, les boutons de partage social qui envoient des données à des tiers, les outils de chat comme Intercom ou HubSpot. Un site conforme charge ces scripts conditionnellement, après que le consentement a été recueilli.
4. Les traceurs exemptés : ce qui ne nécessite pas de consentement
Tous les cookies ne sont pas soumis à consentement. L’article 82 prévoit des exemptions pour les traceurs strictement nécessaires au fonctionnement du service demandé par l’utilisateur. Comprendre ces exemptions évite de surcharger inutilement l’expérience utilisateur.
4.1 Les cas d’exemption reconnus par la CNIL
Sont notamment exemptés : les cookies de panier d’achat sur un site e-commerce, les cookies d’authentification (session utilisateur), les cookies de préférences de langue ou d’interface choisis par l’utilisateur, et les cookies liés à la sécurité des formulaires (protection CSRF). Ces traceurs ne font que mémoriser une action initiée par l’utilisateur pour lui permettre de continuer à utiliser le service.
La mesure d’audience peut également bénéficier d’une exemption, mais sous conditions strictes : les données ne doivent pas être transmises à des tiers, leur utilisation doit se limiter à la production de statistiques anonymes, et elles ne doivent pas permettre le suivi inter-sites ni la reconstitution d’un profil individuel. Ces conditions sont difficiles à remplir avec les solutions analytiques grand public dans leur configuration par défaut.
4.2 Ce qui n’est jamais exempté
La publicité ciblée, le retargeting, le partage de données avec des partenaires commerciaux, les tests A/B basés sur des identifiants persistants, les outils de heatmap ou de session recording qui collectent des données comportementales — aucune de ces finalités ne bénéficie d’exemption. Le consentement y est systématiquement requis, sans dérogation possible.
C’est un point critique pour les sites qui utilisent des outils de suivi des conversions : Google Tag Manager, les balises de conversion Google Ads, le pixel Meta — tous nécessitent un consentement valide avant d’être activés. Sans consentement préalable, non seulement vous n’êtes pas conforme, mais vous mesurez des données biaisées puisque vous excluez les refus de vos statistiques.
5. Choisir et configurer son outil de gestion du consentement
Une Consent Management Platform (CMP) — ou plus simplement un plugin de gestion du consentement — est l’outil qui implémente techniquement toutes ces exigences. Le marché propose des solutions à tous les niveaux, du plugin WordPress gratuit à la plateforme SaaS dédiée.
5.1 Ce que l’outil doit techniquement faire
Indépendamment de sa marque, votre solution de gestion du consentement doit : bloquer les scripts tiers avant la réponse de l’utilisateur, afficher une bannière avec les deux boutons au même niveau, mémoriser le choix six mois pour les acceptations comme pour les refus, générer une preuve de consentement horodatée, et proposer un point d’accès permanent pour modifier ou révoquer le choix. Axeptio, Didomi, CookieYes, Complianz — ces outils, dans leurs configurations conformes, couvrent ces points. La conformité ne tient pas à l’outil mais à la façon dont il est configuré.
5.2 L’intégration avec votre stratégie de données
Un site qui combine un suivi analytique, des campagnes Google Ads et un retargeting social doit réfléchir à sa CMP comme à une couche centrale de son architecture de données — pas comme à un simple widget décoratif. Si vos campagnes publicitaires reposent sur des données de conversion, une bannière mal configurée qui bloque vos scripts de mesure avant le consentement peut affecter la qualité de vos audiences et le pilotage de vos enchères. Le bon paramétrage passe donc par une vision d’ensemble de votre stack marketing.
C’est également un point à intégrer dans votre stratégie de conformité globale, aux côtés d’autres décisions comme le choix de l’hébergement de vos données. À ce titre, l’article sur l’hébergement de vos données en Suisse détaille comment certaines décisions d’infrastructure peuvent renforcer votre position RGPD de façon structurelle.
5.3 Le cas des sites WordPress : maintenance et mises à jour
Sur WordPress, les plugins de consentement sont soumis aux mêmes exigences de maintenance que le reste du site. Un plugin non mis à jour peut perdre sa certification ou ne plus bloquer correctement certains scripts après une mise à jour de thème ou d’un autre plugin. C’est l’une des raisons pour lesquelles la maintenance web régulière n’est pas uniquement une question de sécurité technique : c’est aussi une condition de conformité réglementaire continue.
Questions fréquentes
Un site vitrine sans e-commerce est-il vraiment concerné par les obligations CNIL sur les cookies ?
Oui, sans exception. Dès qu’un site utilise un outil d’analyse d’audience (Google Analytics, Matomo non anonymisé), un pixel de réseaux sociaux ou un service de chat en ligne, des traceurs sont déposés et le consentement s’impose. Seuls les traceurs strictement nécessaires au fonctionnement du service sont exemptés. Un site vitrine qui intègre simplement Google Analytics en mode standard doit donc afficher une bannière conforme.
Peut-on utiliser Google Analytics sans bannière cookies si on active l'anonymisation des IP ?
La simple anonymisation des IP ne suffit pas à qualifier Google Analytics de traceur exempt. La CNIL a publié des conditions strictes pour qu’un outil de mesure d’audience soit exempté de consentement : les données ne doivent pas être transmises à des tiers, leur usage doit être limité à la production de statistiques anonymes, et les données ne doivent pas permettre le suivi inter-sites. Google Analytics transmet des données vers des serveurs américains, ce qui rend l’exemption difficile à justifier en l’état. Consultez directement les recommandations de la CNIL ou un expert juridique pour votre configuration précise.
Que risque-t-on concrètement en cas de non-conformité sur les cookies ?
La CNIL peut prononcer des mises en demeure, des avertissements publics et des sanctions financières. Pour les manquements relatifs aux cookies, les amendes peuvent atteindre, selon l’article 83 du RGPD, jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les infractions les moins graves, et jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les infractions les plus graves, le montant le plus élevé étant retenu. Au-delà de la sanction financière, la mise en demeure est rendue publique, ce qui représente un risque réputationnel réel, surtout pour une entreprise locale dont la confiance client est un actif central.
Une Consent Management Platform (CMP) payante est-elle indispensable, ou un plugin gratuit suffit-il ?
La conformité ne dépend pas du prix de l’outil mais de sa configuration. Un plugin WordPress gratuit bien configuré (Complianz, CookieYes, Axeptio en version freemium) peut être conforme s’il affiche bien un bouton « Tout refuser » au même niveau que « Tout accepter », bloque les traceurs avant le consentement et mémorise le choix environ six mois. Une CMP payante offre généralement plus de garanties de mise à jour réglementaire automatique et un meilleur suivi des preuves de consentement, ce qui est pertinent si votre activité génère un volume de trafic important.
Faut-il recueillir un nouveau consentement si on change de plateforme d'analyse ou si on ajoute un pixel publicitaire ?
Oui. Toute modification substantielle des finalités ou de l’identité des tiers accédant aux données implique une nouvelle information et, si nécessaire, un nouveau consentement. Ajouter un pixel Meta Ads ou passer à un nouvel outil d’A/B testing, par exemple, change les finalités pour lesquelles l’utilisateur a (ou non) consenti. La bonne pratique consiste à mettre à jour la liste des traceurs dans votre bannière et à réinitialiser le consentement pour les utilisateurs déjà en base.
Conclusion
La conformité sur les cookies n’est pas une formalité administrative que l’on règle une fois pour toutes en installant n’importe quelle bannière. C’est un équilibre technique et juridique à tenir dans la durée : deux boutons au même niveau, un blocage réel des scripts avant le consentement, une mémorisation symétrique des acceptations et des refus, une information lisible sur les finalités et les tiers. La CNIL n’a pas changé les règles en 2026, mais elle les interprète plus strictement — et les sites qui jouent la montre prennent un risque réputationnel et financier que rien ne justifie.
Si vous avez un doute sur la conformité de votre bannière, sur votre configuration Google Analytics ou sur la façon dont vos outils publicitaires s’intègrent avec votre CMP, c’est le bon moment pour faire le point. Demandez un devis à DigitaLille : nous auditez votre situation et vous proposons une mise en conformité concrète, sans jargon et adaptée à la réalité de votre activité.