--- title: "Bandeau cookies : les règles de la CNIL à respecter en 2026" description: "Bandeau cookies : ce que la CNIL attend en 2026, du refus en un clic à la mesure d’audience exemptée, les sanctions récentes et un test en six étapes." canonical_url: "https://studiofogg.fr/journal/bandeau-cookies-regles-cnil" --- > Index of every page on this site: [llms.txt](https://studiofogg.fr/llms.txt) Un bandeau cookies n’est obligatoire que si votre site utilise des traceurs soumis au consentement : publicité, pixels de réseaux sociaux, contenus tiers, mesure d’audience non exemptée. Dans ce cas, la CNIL attend qu’aucun de ces traceurs ne soit déposé avant l’accord du visiteur, que celui-ci connaisse les finalités et les sociétés concernées, qu’il puisse refuser aussi simplement qu’accepter et changer d’avis à tout moment. Ce socle de 2020 a été complété fin 2025 et en 2026. Voici les règles, sources officielles à l’appui, dans le prolongement de [nos conseils pour des pages claires et accessibles](https://studiofogg.fr/journal/rubrique/ux-contenus-accessibilite). ## Bandeau cookies : quand est-il obligatoire ? La règle vient de l’[article 82 de la loi Informatique et Libertés](https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000037813978), qui transpose la directive européenne « ePrivacy » : lire ou écrire des informations sur l’appareil du visiteur suppose de l’informer, puis d’obtenir son consentement. Seules exceptions : ce qui sert exclusivement à la communication électronique et ce qui est strictement nécessaire au service que le visiteur a expressément demandé. La CNIL vise d’ailleurs [les pixels invisibles, l’empreinte d’un terminal et les autres identifiants](https://www.cnil.fr/fr/cookies-et-autres-traceurs/que-dit-la-loi), pas seulement les cookies.
Usage Exemple Consentement
Panier, connexion au compte client Cookie de panier ou de connexion Non
Mémoriser le choix sur les cookies Cookie de consentement Non
Anti-spam dont le fournisseur réutilise les données reCAPTCHA de Google, selon la CNIL Oui
Mesure d’audience anonyme, pour votre seul compte Outil configuré pour l’exemption Non, sous conditions
Mesure d’audience dont le fournisseur réutilise les données Google Analytics, selon la CNIL Oui
Publicité, reciblage, conversions Pixels des régies et des réseaux sociaux Oui
Contenus tiers intégrés Vidéo, carte, bouton de partage qui dépose des traceurs Oui
Pour un bouton de partage ou une vidéo hébergée par une plateforme, la CNIL admet que le consentement soit demandé quand le visiteur veut l’activer, dans une fenêtre qui présente les traceurs de la plateforme. Le contenu ne se charge qu’après son accord. Si votre site ne dépose aucun traceur soumis au consentement, aucun bandeau n’est nécessaire. C’est le cas du nôtre, sans mesure d’audience, publicité ni contenu tiers, comme l’explique [notre politique de confidentialité](https://studiofogg.fr/politique-de-confidentialite). La CNIL recommande tout de même de mentionner les traceurs exemptés dans ce type de page. ## Refuser doit être aussi simple qu’accepter La [recommandation « cookies et autres traceurs » de la CNIL, version consolidée de janvier 2026](https://www.cnil.fr/sites/default/files/2026-01/recommandation_cookies_consolidee.pdf), préconise fortement de proposer le refus sur le même écran et avec la même facilité que l’acceptation. Le plus clair : deux boutons « Tout refuser » et « Tout accepter » au premier niveau, de même taille, dans la même police et mis en évidence de la même façon. En sanctionnant plusieurs sites en 2026, la CNIL l’a rappelé : si l’on peut tout accepter en un clic, on doit pouvoir tout refuser en un clic. Ce qui pose problème : - un bouton « Accepter » seul, et un lien « Personnaliser » qui impose plusieurs clics pour refuser ; - un bouton de refus grisé, plus petit ou noyé dans le texte ; - une croix de fermeture dont l’effet n’est pas indiqué : fermer le bandeau peut valoir refus, à condition de l’indiquer sur le bandeau ; - considérer que poursuivre la navigation vaut accord : selon les [questions-réponses de la CNIL sur les cookies](https://www.cnil.fr/fr/cookies-et-autres-traceurs/regles/cookies/FAQ), sans acte positif clair, c’est un refus. La CNIL met aussi en garde contre le design qui valorise un choix ou laisse croire le consentement obligatoire. Un bandeau honnête se conçoit comme tout écran du parcours, avec les méthodes de [notre accompagnement en webdesign UX/UI](https://studiofogg.fr/services/webdesign-ux-ui-nantes) : hiérarchie claire, libellés explicites, test sur mobile. ## Informer par finalité et nommer les partenaires Les finalités doivent être présentées avant le choix : la CNIL recommande une liste courte sur le premier écran, puis leur détail derrière un lien ou un bouton déroulant. La liste exhaustive et à jour des sociétés concernées doit aussi être accessible depuis le bandeau ; la CNIL suggère de lui donner un intitulé clair, comme « liste des sociétés utilisant des traceurs sur notre site », et d’indiquer leur nombre dès le premier écran. Un exemple fictif, d’après ces recommandations : > **Vos choix sur les cookies** > > Avec votre accord, nous et nos 4 partenaires utilisons des traceurs pour : > > - **Publicité personnalisée** : vous montrer des offres liées à votre navigation ; > - **Mesure publicitaire** : évaluer l’efficacité de nos publicités. > > Vous pourrez changer d’avis à tout moment grâce au lien « Gérer mes cookies », en bas de chaque page. > > **Tout refuser** · **Personnaliser mes choix** · **Tout accepter** · Voir les 4 partenaires La CNIL recommande de laisser accepter ou refuser chaque finalité séparément, ce que permet ici le bouton « Personnaliser mes choix ». Des cases pré-cochées ne valent pas consentement, pas plus que l’acceptation des conditions générales d’utilisation, et toute nouvelle finalité soumise au consentement impose de redemander. [Notre méthode pour rédiger le contenu d’un site internet](https://studiofogg.fr/journal/rediger-les-textes-de-son-site-internet) vaut aussi pour le texte du bandeau. ## Conserver le choix et permettre de changer d’avis Le choix du visiteur, acceptation comme refus, doit être enregistré pour ne pas lui reposer la question à chaque page. La CNIL considère que le conserver six mois est une bonne pratique, à apprécier au cas par cas, et recommande de renouveler la demande à intervalles appropriés. Changer d’avis doit être aussi simple que donner son accord. La CNIL suggère un lien « Gérer mes cookies » accessible en permanence, en pied de page par exemple, ou une icône présente sur toutes les pages. Et le retrait doit produire ses effets : les traceurs déjà déposés ne doivent plus être lus. Gardez enfin la preuve des consentements : la CNIL cite par exemple une capture d’écran horodatée du bandeau pour chaque version du site et l’historique des réglages de l’outil de gestion du consentement (CMP). Chaque outil ajouté ensuite — chat en ligne, vidéo, pixel publicitaire — peut déposer de nouveaux traceurs : leur inventaire se revoit à chaque évolution du site, un contrôle à inscrire dans [votre contrat de maintenance de site internet](https://studiofogg.fr/services/maintenance-site-internet-nantes). ## Mesure d’audience : les conditions de l’exemption Mesurer la fréquentation peut se passer de consentement. Selon [la page de la CNIL consacrée aux outils de mesure d’audience](https://www.cnil.fr/fr/cookies-solutions-pour-les-outils-de-mesure-daudience), les traceurs doivent alors à la fois : - servir uniquement à mesurer l’audience, pour le compte exclusif de l’éditeur du site ; - produire des statistiques anonymes, sans recoupement avec d’autres traitements ni transmission de données non anonymes à des tiers ; - ne pas permettre de suivre la navigation d’une personne d’un site à l’autre. La CNIL recommande aussi d’en informer les visiteurs, dans la politique de confidentialité notamment. Elle conseille de limiter la durée de vie des traceurs (treize mois, par exemple), sans prolongation automatique à chaque visite, et de conserver les données vingt-cinq mois au plus. Aucun outil n’est « validé par la CNIL » : celle-ci a remplacé sa liste d’outils exemptés par une grille d’auto-évaluation, publiée en juillet 2025, et interdit à leurs éditeurs de se présenter ainsi. Demandez à votre fournisseur la configuration à appliquer et ses justificatifs : en cas de contrôle, votre responsabilité reste engagée. Matomo, par exemple, décrit dans [son guide de configuration pour l’exemption](https://matomo.org/wp-content/uploads/2026/04/Configurer-Matomo-pour-la-CNIL-FR.pdf) un mode qui désactive notamment l’identifiant utilisateur, les cartes de chaleur et l’enregistrement des sessions. À l’inverse, un fournisseur qui réutilise les données pour son propre compte sort de l’exemption. [La fiche de la CNIL sur la mesure de fréquentation](https://www.cnil.fr/fr/mesurer-la-frequentation-de-vos-sites-web-et-de-vos-applications) cite Google Analytics parmi ces offres, et demande d’obtenir du fournisseur un engagement contractuel de non-réutilisation, avec ses consignes de réglage. ## Ce qui change en 2026 ### Comptes clients : un choix valable sur tous les appareils Depuis le 16 janvier 2026, [les recommandations finales de la CNIL sur le consentement multi-terminaux](https://www.cnil.fr/fr/cookies-et-autres-traceurs-recommandations-finales-sur-le-consentement-multi-terminaux) précisent comment un site à compte client peut appliquer les choix du visiteur à tous ses appareils, de l’ordinateur au téléphone. Ce dispositif reste facultatif ; s’il est proposé, le refus doit valoir partout, comme l’accord, et le visiteur doit le savoir avant de choisir. ### Les pixels de suivi dans les e-mails Dans sa [recommandation sur les pixels de suivi, publiée le 14 avril 2026](https://www.cnil.fr/fr/recommandation-pixel-suivi-courriels), la CNIL soumet au consentement le pixel invisible qui signale l’ouverture d’une newsletter, quand il sert à optimiser les campagnes ou à profiler les destinataires. Sont exemptées la sécurisation d’une authentification et la mesure de la délivrabilité réduite à l’espacement ou à l’arrêt des envois vers les adresses inactives, pour des e-mails demandés par le destinataire ou liés à un service qu’il a demandé. La CNIL recommande de recueillir ce consentement dans le formulaire d’inscription et de prévoir un lien de retrait en pied de chaque e-mail. Pour les adresses déjà collectées, elle admettait la poursuite du suivi à condition d’en informer les destinataires dans les trois mois, pour leur permettre de s’y opposer : ce délai est écoulé. ### En Europe : une réforme proposée, rien d’applicable Le 19 novembre 2025, la Commission européenne a proposé, dans son paquet « omnibus numérique », de réduire le nombre de bandeaux et de permettre aux internautes de consentir en un clic et d’enregistrer leurs préférences dans le navigateur ([communiqué de la Commission](https://ec.europa.eu/commission/presscorner/api/files/document/print/fr/ip_25_2718/IP_25_2718_FR.pdf)). Le texte n’est pas adopté : en novembre 2026, il attend encore le vote des commissions du Parlement européen, selon [la fiche de procédure du Parlement](https://oeil.europarl.europa.eu/oeil/fr/procedure-file?reference=2025%2F0360%28COD%29). ## Contrôles et sanctions récentes En 2025, la CNIL a sanctionné 21 organismes pour des manquements liés aux cookies et autres traceurs, sur 83 sanctions au total, selon [son bilan annuel des sanctions](https://www.cnil.fr/fr/bilan-sanctions-2025). Les grandes plateformes ne sont pas seules visées. Parmi [les 23 sanctions prononcées de janvier à juillet 2026 en procédure simplifiée](https://www.cnil.fr/fr/23-nouvelles-sanctions-simplifiees), réservée aux dossiers simples, plusieurs font suite à des contrôles en ligne de sites de billetterie ou de télémarketing : bandeaux incomplets, cookies déposés avant tout choix, refus caché derrière « Personnaliser ». Dans cette procédure, l’amende est plafonnée à 20 000 euros pour une entreprise de moins de 50 millions d’euros de chiffre d’affaires, et à 100 000 euros au-delà, selon [l’article 22-1 de la loi Informatique et Libertés](https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000054142442) ; la décision n’est pas rendue publique.
Décision Organisme Amende Ce qui était reproché
1er septembre 2025 Google LLC et Google Ireland 325 millions d’euros Création de compte : refus de la publicité personnalisée plus difficile que l’acceptation jusqu’en octobre 2023, information insuffisante ; publicités dans Gmail sans consentement
1er septembre 2025 Infinite Styles Services, pour shein.com 150 millions d’euros Traceurs publicitaires déposés dès l’arrivée, bandeaux incomplets, traceurs déposés ou lus malgré un refus
26 mars 2026 Organisateur d’événements vendant des billets , en procédure simplifiée 15 000 euros et injonction Consentement et information sur les cookies, parmi d’autres manquements
22 octobre 2026 Fnac Darty Participations et Services, Fnac Direct 7 millions d’euros et injonction sous astreinte Traceur de recommandation de produits dans l’application mobile, actif malgré le refus : produits consultés envoyés à un domaine tiers
Ce guide résume les règles publiées par la CNIL au 4 novembre 2026 et ne remplace pas un avis juridique. Si votre site combine publicité, comptes clients et nombreux partenaires, faites valider votre dispositif par un juriste ou votre délégué à la protection des données. ## Un bandeau accessible et léger ### Utilisable au clavier et avec un lecteur d’écran Premier élément avec lequel le visiteur interagit, le bandeau rend tout le site inutilisable s’il bloque le clavier. Sur une boutique soumise à [l’European Accessibility Act, applicable depuis juin 2025](https://studiofogg.fr/journal/european-accessibility-act-ce-qui-change-pour-votre-site), il fait partie du parcours d’achat à rendre accessible. Quelques exigences : - de vrais boutons, utilisables au clavier, avec un focus bien visible ; - un bandeau placé tôt dans l’ordre de tabulation, pour pouvoir refuser sans parcourir toute la page ; - un bandeau qui ne masque jamais entièrement l’élément qui reçoit le focus : la documentation du W3C sur [le critère 2.4.11 des WCAG 2.2](https://www.w3.org/WAI/WCAG22/Understanding/focus-not-obscured-minimum.html) cite le bandeau cookies et propose de le rendre modal ou d’ajouter une marge de défilement (scroll-padding) ; - un texte contrasté, à 4,5:1 au moins, et lisible une fois agrandi ; - un titre et des libellés explicites, bien annoncés par les lecteurs d’écran. ### Un bandeau qui ne fait pas sauter la page Selon [les recommandations de web.dev sur les bandeaux cookies](https://web.dev/articles/cookie-notice-best-practices), ils sont une source très courante de décalages de mise en page. Inséré en haut de la page, le bandeau repousse le contenu vers le bas, ce que mesure le [CLS, l’indicateur de stabilité visuelle des Core Web Vitals](https://studiofogg.fr/glossaire#cls). Une fenêtre superposée, en bas de l’écran par exemple, ne déplace rien. Deux autres réflexes : - charger le script du bandeau en asynchrone, directement dans la page plutôt que par un gestionnaire de balises ; - ne lancer les scripts tiers qu’après le choix, sans tout charger d’un coup : web.dev note que le clic sur « Tout accepter » peut dégrader la réactivité de la page, mesurée par l’INP. ## Vérifier votre bandeau cookies en six étapes 1. Dans une fenêtre de navigation privée, ouvrez les outils de développement, puis chargez votre site : avant tout clic, vous ne devez y voir ni cookie soumis au consentement (onglet « Application » de Chrome, « Stockage » de Firefox), ni appel vers une régie ou un réseau social (onglet « Réseau »). 2. Cliquez sur « Tout refuser » : cela doit demander autant de clics qu’accepter. 3. Changez de page : ni le bandeau ni les traceurs soumis au consentement ne doivent réapparaître. 4. Acceptez, puis retirez votre accord depuis le lien « Gérer mes cookies » : les traceurs ne doivent plus être lus, ni les partenaires appelés. 5. Comparez la liste des partenaires aux outils réellement installés. 6. Parcourez le bandeau au clavier seul, puis sur votre téléphone. Si un test échoue, commencez par l’inventaire de vos outils. Le bandeau le plus simple à rendre conforme est celui qui a peu à demander. ## Sitemap See the full [sitemap](https://studiofogg.fr/sitemap.md) for all pages.