Un bandeau cookies n’est obligatoire que si votre site utilise des traceurs soumis au consentement : publicité, pixels de réseaux sociaux, contenus tiers, mesure d’audience non exemptée. Dans ce cas, la CNIL attend qu’aucun de ces traceurs ne soit déposé avant l’accord du visiteur, que celui-ci connaisse les finalités et les sociétés concernées, qu’il puisse refuser aussi simplement qu’accepter et changer d’avis à tout moment. Ce socle de 2020 a été complété fin 2025 et en 2026. Voici les règles, sources officielles à l’appui, dans le prolongement de nos conseils pour des pages claires et accessibles.
Bandeau cookies : quand est-il obligatoire ?
La règle vient de l’article 82 de la loi Informatique et Libertés, qui transpose la directive européenne « ePrivacy » : lire ou écrire des informations sur l’appareil du visiteur suppose de l’informer, puis d’obtenir son consentement. Seules exceptions : ce qui sert exclusivement à la communication électronique et ce qui est strictement nécessaire au service que le visiteur a expressément demandé. La CNIL vise d’ailleurs les pixels invisibles, l’empreinte d’un terminal et les autres identifiants, pas seulement les cookies.
| Usage | Exemple | Consentement |
|---|---|---|
| Panier, connexion au compte client | Cookie de panier ou de connexion | Non |
| Mémoriser le choix sur les cookies | Cookie de consentement | Non |
| Anti-spam dont le fournisseur réutilise les données | reCAPTCHA de Google, selon la CNIL | Oui |
| Mesure d’audience anonyme, pour votre seul compte | Outil configuré pour l’exemption | Non, sous conditions |
| Mesure d’audience dont le fournisseur réutilise les données | Google Analytics, selon la CNIL | Oui |
| Publicité, reciblage, conversions | Pixels des régies et des réseaux sociaux | Oui |
| Contenus tiers intégrés | Vidéo, carte, bouton de partage qui dépose des traceurs | Oui |
Pour un bouton de partage ou une vidéo hébergée par une plateforme, la CNIL admet que le consentement soit demandé quand le visiteur veut l’activer, dans une fenêtre qui présente les traceurs de la plateforme. Le contenu ne se charge qu’après son accord.
Si votre site ne dépose aucun traceur soumis au consentement, aucun bandeau n’est nécessaire. C’est le cas du nôtre, sans mesure d’audience, publicité ni contenu tiers, comme l’explique notre politique de confidentialité. La CNIL recommande tout de même de mentionner les traceurs exemptés dans ce type de page.
Refuser doit être aussi simple qu’accepter
La recommandation « cookies et autres traceurs » de la CNIL, version consolidée de janvier 2026, préconise fortement de proposer le refus sur le même écran et avec la même facilité que l’acceptation. Le plus clair : deux boutons « Tout refuser » et « Tout accepter » au premier niveau, de même taille, dans la même police et mis en évidence de la même façon. En sanctionnant plusieurs sites en 2026, la CNIL l’a rappelé : si l’on peut tout accepter en un clic, on doit pouvoir tout refuser en un clic.
Ce qui pose problème :
- un bouton « Accepter » seul, et un lien « Personnaliser » qui impose plusieurs clics pour refuser ;
- un bouton de refus grisé, plus petit ou noyé dans le texte ;
- une croix de fermeture dont l’effet n’est pas indiqué : fermer le bandeau peut valoir refus, à condition de l’indiquer sur le bandeau ;
- considérer que poursuivre la navigation vaut accord : selon les questions-réponses de la CNIL sur les cookies, sans acte positif clair, c’est un refus.
La CNIL met aussi en garde contre le design qui valorise un choix ou laisse croire le consentement obligatoire. Un bandeau honnête se conçoit comme tout écran du parcours, avec les méthodes de notre accompagnement en webdesign UX/UI : hiérarchie claire, libellés explicites, test sur mobile.
Informer par finalité et nommer les partenaires
Les finalités doivent être présentées avant le choix : la CNIL recommande une liste courte sur le premier écran, puis leur détail derrière un lien ou un bouton déroulant. La liste exhaustive et à jour des sociétés concernées doit aussi être accessible depuis le bandeau ; la CNIL suggère de lui donner un intitulé clair, comme « liste des sociétés utilisant des traceurs sur notre site », et d’indiquer leur nombre dès le premier écran.
Un exemple fictif, d’après ces recommandations :
Vos choix sur les cookies
Avec votre accord, nous et nos 4 partenaires utilisons des traceurs pour :
- Publicité personnalisée : vous montrer des offres liées à votre navigation ;
- Mesure publicitaire : évaluer l’efficacité de nos publicités.
Vous pourrez changer d’avis à tout moment grâce au lien « Gérer mes cookies », en bas de chaque page.
Tout refuser · Personnaliser mes choix · Tout accepter · Voir les 4 partenaires
La CNIL recommande de laisser accepter ou refuser chaque finalité séparément, ce que permet ici le bouton « Personnaliser mes choix ». Des cases pré-cochées ne valent pas consentement, pas plus que l’acceptation des conditions générales d’utilisation, et toute nouvelle finalité soumise au consentement impose de redemander. Notre méthode pour rédiger le contenu d’un site internet vaut aussi pour le texte du bandeau.
Conserver le choix et permettre de changer d’avis
Le choix du visiteur, acceptation comme refus, doit être enregistré pour ne pas lui reposer la question à chaque page. La CNIL considère que le conserver six mois est une bonne pratique, à apprécier au cas par cas, et recommande de renouveler la demande à intervalles appropriés.
Changer d’avis doit être aussi simple que donner son accord. La CNIL suggère un lien « Gérer mes cookies » accessible en permanence, en pied de page par exemple, ou une icône présente sur toutes les pages. Et le retrait doit produire ses effets : les traceurs déjà déposés ne doivent plus être lus.
Gardez enfin la preuve des consentements : la CNIL cite par exemple une capture d’écran horodatée du bandeau pour chaque version du site et l’historique des réglages de l’outil de gestion du consentement (CMP). Chaque outil ajouté ensuite — chat en ligne, vidéo, pixel publicitaire — peut déposer de nouveaux traceurs : leur inventaire se revoit à chaque évolution du site, un contrôle à inscrire dans votre contrat de maintenance de site internet.
Mesure d’audience : les conditions de l’exemption
Mesurer la fréquentation peut se passer de consentement. Selon la page de la CNIL consacrée aux outils de mesure d’audience, les traceurs doivent alors à la fois :
- servir uniquement à mesurer l’audience, pour le compte exclusif de l’éditeur du site ;
- produire des statistiques anonymes, sans recoupement avec d’autres traitements ni transmission de données non anonymes à des tiers ;
- ne pas permettre de suivre la navigation d’une personne d’un site à l’autre.
La CNIL recommande aussi d’en informer les visiteurs, dans la politique de confidentialité notamment. Elle conseille de limiter la durée de vie des traceurs (treize mois, par exemple), sans prolongation automatique à chaque visite, et de conserver les données vingt-cinq mois au plus.
Aucun outil n’est « validé par la CNIL » : celle-ci a remplacé sa liste d’outils exemptés par une grille d’auto-évaluation, publiée en juillet 2025, et interdit à leurs éditeurs de se présenter ainsi. Demandez à votre fournisseur la configuration à appliquer et ses justificatifs : en cas de contrôle, votre responsabilité reste engagée. Matomo, par exemple, décrit dans son guide de configuration pour l’exemption un mode qui désactive notamment l’identifiant utilisateur, les cartes de chaleur et l’enregistrement des sessions.
À l’inverse, un fournisseur qui réutilise les données pour son propre compte sort de l’exemption. La fiche de la CNIL sur la mesure de fréquentation cite Google Analytics parmi ces offres, et demande d’obtenir du fournisseur un engagement contractuel de non-réutilisation, avec ses consignes de réglage.
Ce qui change en 2026
Comptes clients : un choix valable sur tous les appareils
Depuis le 16 janvier 2026, les recommandations finales de la CNIL sur le consentement multi-terminaux précisent comment un site à compte client peut appliquer les choix du visiteur à tous ses appareils, de l’ordinateur au téléphone. Ce dispositif reste facultatif ; s’il est proposé, le refus doit valoir partout, comme l’accord, et le visiteur doit le savoir avant de choisir.
Les pixels de suivi dans les e-mails
Dans sa recommandation sur les pixels de suivi, publiée le 14 avril 2026, la CNIL soumet au consentement le pixel invisible qui signale l’ouverture d’une newsletter, quand il sert à optimiser les campagnes ou à profiler les destinataires. Sont exemptées la sécurisation d’une authentification et la mesure de la délivrabilité réduite à l’espacement ou à l’arrêt des envois vers les adresses inactives, pour des e-mails demandés par le destinataire ou liés à un service qu’il a demandé.
La CNIL recommande de recueillir ce consentement dans le formulaire d’inscription et de prévoir un lien de retrait en pied de chaque e-mail. Pour les adresses déjà collectées, elle admettait la poursuite du suivi à condition d’en informer les destinataires dans les trois mois, pour leur permettre de s’y opposer : ce délai est écoulé.
En Europe : une réforme proposée, rien d’applicable
Le 19 novembre 2025, la Commission européenne a proposé, dans son paquet « omnibus numérique », de réduire le nombre de bandeaux et de permettre aux internautes de consentir en un clic et d’enregistrer leurs préférences dans le navigateur (communiqué de la Commission). Le texte n’est pas adopté : en novembre 2026, il attend encore le vote des commissions du Parlement européen, selon la fiche de procédure du Parlement.
Contrôles et sanctions récentes
En 2025, la CNIL a sanctionné 21 organismes pour des manquements liés aux cookies et autres traceurs, sur 83 sanctions au total, selon son bilan annuel des sanctions. Les grandes plateformes ne sont pas seules visées. Parmi les 23 sanctions prononcées de janvier à juillet 2026 en procédure simplifiée, réservée aux dossiers simples, plusieurs font suite à des contrôles en ligne de sites de billetterie ou de télémarketing : bandeaux incomplets, cookies déposés avant tout choix, refus caché derrière « Personnaliser ». Dans cette procédure, l’amende est plafonnée à 20 000 euros pour une entreprise de moins de 50 millions d’euros de chiffre d’affaires, et à 100 000 euros au-delà, selon l’article 22-1 de la loi Informatique et Libertés ; la décision n’est pas rendue publique.
| Décision | Organisme | Amende | Ce qui était reproché |
|---|---|---|---|
| 1er septembre 2025 | Google LLC et Google Ireland | 325 millions d’euros | Création de compte : refus de la publicité personnalisée plus difficile que l’acceptation jusqu’en octobre 2023, information insuffisante ; publicités dans Gmail sans consentement |
| 1er septembre 2025 | Infinite Styles Services, pour shein.com | 150 millions d’euros | Traceurs publicitaires déposés dès l’arrivée, bandeaux incomplets, traceurs déposés ou lus malgré un refus |
| 26 mars 2026 | Organisateur d’événements vendant des billets, en procédure simplifiée | 15 000 euros et injonction | Consentement et information sur les cookies, parmi d’autres manquements |
| 22 octobre 2026 | Fnac Darty Participations et Services, Fnac Direct | 7 millions d’euros et injonction sous astreinte | Traceur de recommandation de produits dans l’application mobile, actif malgré le refus : produits consultés envoyés à un domaine tiers |
Un bandeau accessible et léger
Utilisable au clavier et avec un lecteur d’écran
Premier élément avec lequel le visiteur interagit, le bandeau rend tout le site inutilisable s’il bloque le clavier. Sur une boutique soumise à l’European Accessibility Act, applicable depuis juin 2025, il fait partie du parcours d’achat à rendre accessible. Quelques exigences :
- de vrais boutons, utilisables au clavier, avec un focus bien visible ;
- un bandeau placé tôt dans l’ordre de tabulation, pour pouvoir refuser sans parcourir toute la page ;
- un bandeau qui ne masque jamais entièrement l’élément qui reçoit le focus : la documentation du W3C sur le critère 2.4.11 des WCAG 2.2 cite le bandeau cookies et propose de le rendre modal ou d’ajouter une marge de défilement (scroll-padding) ;
- un texte contrasté, à 4,5:1 au moins, et lisible une fois agrandi ;
- un titre et des libellés explicites, bien annoncés par les lecteurs d’écran.
Un bandeau qui ne fait pas sauter la page
Selon les recommandations de web.dev sur les bandeaux cookies, ils sont une source très courante de décalages de mise en page. Inséré en haut de la page, le bandeau repousse le contenu vers le bas, ce que mesure le CLS, l’indicateur de stabilité visuelle des Core Web Vitals. Une fenêtre superposée, en bas de l’écran par exemple, ne déplace rien.
Deux autres réflexes :
- charger le script du bandeau en asynchrone, directement dans la page plutôt que par un gestionnaire de balises ;
- ne lancer les scripts tiers qu’après le choix, sans tout charger d’un coup : web.dev note que le clic sur « Tout accepter » peut dégrader la réactivité de la page, mesurée par l’INP.
Vérifier votre bandeau cookies en six étapes
- Dans une fenêtre de navigation privée, ouvrez les outils de développement, puis chargez votre site : avant tout clic, vous ne devez y voir ni cookie soumis au consentement (onglet « Application » de Chrome, « Stockage » de Firefox), ni appel vers une régie ou un réseau social (onglet « Réseau »).
- Cliquez sur « Tout refuser » : cela doit demander autant de clics qu’accepter.
- Changez de page : ni le bandeau ni les traceurs soumis au consentement ne doivent réapparaître.
- Acceptez, puis retirez votre accord depuis le lien « Gérer mes cookies » : les traceurs ne doivent plus être lus, ni les partenaires appelés.
- Comparez la liste des partenaires aux outils réellement installés.
- Parcourez le bandeau au clavier seul, puis sur votre téléphone.
Si un test échoue, commencez par l’inventaire de vos outils. Le bandeau le plus simple à rendre conforme est celui qui a peu à demander.
Questions fréquentes
Peut-on bloquer l’accès à son site tant que les cookies ne sont pas acceptés ?
Pas de façon systématique. Le Conseil d’État a jugé le 19 juin 2020 que la CNIL ne pouvait pas interdire par principe ces « murs de traceurs » (cookie walls) : elle examine chaque cas pour vérifier que le consentement reste libre. Elle recommande de proposer une alternative réelle et équitable pour accéder au contenu sans être suivi, et l’éditeur doit pouvoir démontrer que son mur se limite aux finalités nécessaires à une juste rémunération du service. Pour un site vitrine, dont le contenu n’est pas financé par la publicité, un tel mur se justifie difficilement.
Qui est responsable si le bandeau cookies de mon site n’est pas conforme ?
L’éditeur du site, c’est-à-dire l’entreprise qui le publie. Selon les lignes directrices de la CNIL, il reste responsable des traceurs déposés pour son compte, même lorsqu’il en confie la gestion à un prestataire, et il doit s’assurer que ses partenaires ne déposent pas, par son site, de traceurs contraires aux règles. La clause par laquelle un partenaire s’engage à recueillir le consentement ne suffit pas : la preuve de ce consentement doit pouvoir être produite.
Un plugin de bandeau cookies suffit-il pour être en règle ?
Pas à lui seul. Un module de consentement ne protège que ce qu’il bloque réellement : si une extension, une vidéo ou un pixel se charge avant le choix du visiteur ou malgré son refus, le site n’est pas en règle, quel que soit l’outil. Configurez-le à partir de l’inventaire réel des traceurs de votre site, vérifiez son comportement avant et après chaque choix, et refaites ce contrôle chaque fois qu’un nouvel outil est installé.
Faut-il une page « politique de cookies » sur son site ?
La loi impose une information, pas une page portant ce nom. Les finalités, la liste des sociétés qui déposent des traceurs et le moyen de retirer son accord doivent être présentés dès le bandeau ; la CNIL recommande de les laisser ensuite accessibles à tout moment, par exemple depuis le pied de page. Ces informations peuvent figurer dans une page dédiée ou dans la politique de confidentialité. Même sans bandeau, la CNIL recommande d’y mentionner les cookies techniques et la mesure d’audience exemptée.