Bandeau cookies conforme CNIL : le guide complet 2026

Ton site affiche un petit bandeau « En continuant, vous acceptez les cookies » ? Mauvaise nouvelle : il y a de fortes chances qu'il soit hors-la-loi. Et la CNIL ne plaisante plus avec les cookies.

Depuis plusieurs années, les cookies sont une priorité de contrôle de la CNIL. Elle a multiplié les mises en demeure, les contrôles en ligne automatisés et les sanctions. Le montant peut grimper jusqu'à 2 % du chiffre d'affaires (et jusqu'à 4 % en cas de manquement aggravé au RGPD). La CNIL a déjà prononcé des amendes records sur ce seul sujet : 150 millions d'euros contre Google et 60 millions contre Facebook fin 2021, puis 40 millions contre Criteo en 2023, en grande partie à cause de bandeaux cookies non conformes ou d'un consentement mal recueilli.

Et le pire ? Un bandeau non conforme se repère en quelques secondes, sans même ouvrir le site en profondeur. C'est exactement ce que regardent les contrôleurs. Voici comment mettre le tien en règle.

Pourquoi les cookies sont autant surveillés

Un cookie (ou plus largement un « traceur ») permet de stocker ou lire des informations sur le terminal de tes visiteurs. Certains sont anodins, d'autres servent à te pister à travers le web pour de la publicité ciblée. Le droit français, via l'article 82 de la loi Informatique et Libertés (qui transpose la directive ePrivacy), encadre strictement leur dépôt.

La règle de base est simple : pour tout cookie non essentiel, tu dois obtenir le consentement de l'internaute AVANT de le déposer. Pas après. Pas « pendant qu'il réfléchit ». Avant.

C'est ce principe que la majorité des sites violent sans le savoir, parce qu'ils ont copié-collé un bandeau trouvé sur internet il y a cinq ans.

La règle CNIL du consentement, en clair

La CNIL a publié des lignes directrices et des recommandations très précises sur le consentement aux cookies. Voici ce qu'elles imposent concrètement.

Le consentement doit être préalable

Aucun traceur non essentiel ne doit être déposé tant que l'utilisateur n'a pas dit oui. Si tes balises Google Analytics ou Meta Pixel se déclenchent au chargement de la page, avant tout clic, tu es en infraction. Le simple fait d'afficher le bandeau ne suffit pas : il faut bloquer les traceurs jusqu'au consentement.

Refuser doit être aussi simple qu'accepter

C'est LE point sur lequel des dizaines de sites se sont fait sanctionner. Si ton bandeau a un gros bouton vert « Tout accepter » mais qu'il faut cliquer sur « Paramétrer », puis décocher dix options, puis valider pour refuser, c'est non conforme.

La CNIL exige un bouton « Tout refuser » accessible dès le premier écran, au même niveau que « Tout accepter ». Même taille, même visibilité, même nombre de clics. C'est précisément l'absence de ce bouton qui a coûté 150 et 60 millions d'euros à Google et Facebook.

Pas de cases pré-cochées

Le consentement doit être un acte positif et clair. Une case déjà cochée par défaut ne vaut rien : ce n'est pas l'utilisateur qui a agi. Toutes les options de cookies non essentiels doivent être décochées par défaut.

Continuer la navigation ne vaut pas consentement

« En poursuivant votre navigation, vous acceptez… » : cette phrase est morte juridiquement depuis 2020. Scroller, cliquer sur un lien ou continuer à lire n'est plus un consentement valable. Il faut une action explicite (un clic sur « Accepter »).

Le silence et l'inaction non plus

Si l'utilisateur ferme le bandeau sans choisir, ou l'ignore, tu ne peux pas en déduire un accord. Tant qu'il n'a pas accepté, les traceurs non essentiels restent bloqués.

Quels cookies nécessitent un consentement (et lesquels non)

Tous les cookies ne sont pas logés à la même enseigne. La distinction est capitale, car elle détermine ce que tu dois bloquer ou non.

Cookies strictement nécessaires (exemptés de consentement) : ils sont indispensables au fonctionnement du site ou à un service expressément demandé par l'utilisateur. Tu peux les déposer sans rien demander. Par exemple :

• Le cookie qui mémorise le contenu d'un panier d'achat.
• Le cookie de session qui te garde connecté.
• Le cookie qui enregistre ton choix en matière de cookies (logique : il faut bien se souvenir que tu as refusé).
• Certains cookies de sécurité et d'équilibrage de charge.

Cookies soumis à consentement (bloqués tant que pas de oui) :

• Mesure d'audience non exemptée (Google Analytics standard, par exemple).
• Publicité et marketing (Meta Pixel, Google Ads, reciblage publicitaire).
• Réseaux sociaux (boutons de partage, widgets, pixels Facebook/LinkedIn/TikTok).
• Tests A/B et personnalisation comportementale.

Un cas particulier mérite ton attention : la mesure d'audience. La CNIL prévoit une exemption de consentement pour les outils d'analyse statistique, à condition qu'ils soient strictement limités à la mesure d'audience du site, ne servent pas à te pister ailleurs, ne croisent pas les données et soient correctement configurés. Google Analytics dans sa version standard ne remplit pas ces conditions et nécessite donc le consentement. Des solutions comme Matomo (en mode exempté) ou des alternatives sans cookie peuvent, elles, en être dispensées.

Tu n'es pas sûr de ce que ton site dépose réellement ? Lumiq scanne ton site en 30 secondes, détecte les traceurs actifs avant consentement et te dit lesquels posent problème. L'analyse est gratuite.

Les durées à respecter

Le consentement n'est pas éternel, et les cookies non plus. Trois durées à retenir.

• Durée de validité du consentement : la CNIL recommande de redemander le consentement au maximum tous les 6 mois. Au-delà, tu dois réafficher le bandeau aux visiteurs concernés.
• Durée de vie des traceurs : les cookies déposés ne doivent pas dépasser 13 mois, et ne pas être renouvelés automatiquement à chaque visite.
• Durée des données de mesure d'audience : les informations collectées via les traceurs ne doivent pas être conservées au-delà de 25 mois.

Ces durées doivent être réévaluées périodiquement pour rester proportionnées. Et surtout, elles doivent être indiquées dans ta politique de cookies.

Ce que doit contenir ta politique de cookies

Le bandeau, c'est la porte d'entrée. Mais derrière, tu dois avoir une politique de cookies complète, accessible à tout moment (en pied de page, idéalement). Elle doit détailler, de façon claire et compréhensible :

• Ce qu'est un cookie et à quoi il sert, en langage simple.
• La liste des cookies déposés, par catégorie (nécessaires, audience, marketing, réseaux sociaux).
• La finalité de chaque cookie : à quoi il sert précisément.
• L'identité des émetteurs, y compris les cookies tiers (Google, Meta, etc.).
• La durée de conservation de chaque traceur.
• Les conséquences d'un refus (généralement : aucune, ou un service dégradé sur certaines fonctions).
• Comment retirer son consentement à tout moment, aussi facilement qu'il a été donné.
• Les destinataires des données et, le cas échéant, les transferts hors UE.

Une politique de cookies vague ou générique est presque aussi risquée qu'une absence de politique. La CNIL attend de la précision.

Configurer Google Analytics et Meta Pixel correctement

C'est là que la théorie rencontre le terrain. Avoir un beau bandeau ne sert à rien si tes outils se déclenchent quand même.

Google Analytics (GA4)

• Bloque le chargement du script GA4 tant que le consentement « mesure d'audience » n'a pas été donné. C'est le rôle d'une solution de gestion du consentement (CMP) couplée au Consent Mode de Google.
• Active l'anonymisation et désactive les fonctionnalités publicitaires si tu veux te rapprocher de l'exemption (mais GA4 standard reste généralement soumis au consentement).
• Vérifie qu'aucune donnée n'est envoyée à Google avant le clic sur « Accepter ». Tu peux le contrôler dans l'onglet réseau de ton navigateur.

Meta Pixel (Facebook)

• Le Pixel Meta est un traceur purement publicitaire : il nécessite toujours un consentement explicite.
• Il doit être complètement bloqué tant que l'utilisateur n'a pas accepté la catégorie « marketing » ou « publicité ».
• Méfie-toi des intégrations « rapides » (plugins, balises collées dans le <head>) qui le déclenchent au chargement. C'est l'erreur la plus fréquente.

Le bon réflexe : utiliser une CMP (plateforme de gestion du consentement) qui conditionne le déclenchement de chaque balise au choix de l'utilisateur, via Google Tag Manager ou un script de blocage.

Les erreurs fréquentes qui rendent un bandeau non conforme

Voici les pièges qui reviennent le plus souvent lors des contrôles :

• Les traceurs se déposent avant tout choix (le classique : GA et le Pixel chargés au premier affichage).
• Pas de bouton « Tout refuser » au premier niveau, ou caché derrière « Paramétrer ».
• Le bouton « Accepter » est mis en avant (couleur vive) et « Refuser » est grisé, en tout petit ou absent.
• Des cases pré-cochées dans le panneau de paramétrage.
• Le bandeau réapparaît en boucle tant que tu n'as pas accepté (une forme de pression interdite).
• « En continuant, vous acceptez » comme seul mécanisme.
• Impossible de retirer son consentement une fois donné (pas de lien « gérer mes cookies » accessible).
• Politique de cookies inexistante ou inaccessible.
• Le refus rend le site inutilisable (« cookie wall » non justifié).

Chacun de ces points, pris isolément, peut suffire à déclencher une mise en demeure.

Checklist d'un bandeau cookies conforme

Avant de considérer ton site en règle, vérifie chaque point :

• Aucun traceur non essentiel n'est déposé avant le consentement.
• Un bouton « Tout accepter » est présent.
• Un bouton « Tout refuser » est présent au même niveau, aussi visible et accessible.
• Aucune case n'est pré-cochée dans les paramètres.
• L'utilisateur peut paramétrer par catégorie (audience, marketing, etc.).
• Le choix est mémorisé et le bandeau ne réapparaît pas en boucle.
• Le consentement peut être retiré à tout moment facilement (lien permanent).
• Une politique de cookies détaillée est accessible depuis le bandeau et le pied de page.
• Les durées (consentement, traceurs, audience) sont respectées et indiquées.
• Google Analytics et Meta Pixel sont bien bloqués jusqu'au consentement.
• Le consentement est redemandé périodiquement (au plus tous les 6 mois).

Si une seule case reste vide, ton site présente un risque. Lumiq vérifie automatiquement ces points sur ton site et génère une politique de cookies conforme prête à publier, sans avocat. L'analyse prend 30 secondes et elle est gratuite.

Questions fréquentes

Un bandeau cookies est-il obligatoire pour tous les sites ?

Pas exactement. L'obligation porte sur le consentement aux traceurs non essentiels. Si ton site ne dépose que des cookies strictement nécessaires (session, panier, sécurité), tu n'as pas besoin de bandeau de consentement. Mais dès que tu utilises de la mesure d'audience non exemptée, de la publicité ou des boutons de réseaux sociaux, le bandeau et le recueil du consentement deviennent obligatoires.

Quel est le risque réel si mon bandeau n'est pas conforme ?

La CNIL peut prononcer une amende allant jusqu'à 2 % de ton chiffre d'affaires pour un manquement aux règles sur les cookies (jusqu'à 4 % en cas de manquement aggravé). Au-delà des géants (Google, Facebook, Criteo), la CNIL contrôle aussi des entreprises de toutes tailles, souvent après une plainte ou via ses contrôles en ligne automatisés. Le risque n'est donc pas réservé aux grands groupes.

Google Analytics est-il interdit en France ?

Non, mais il doit être utilisé correctement. GA4 dans sa configuration standard nécessite le consentement préalable de l'utilisateur, car il ne remplit pas les conditions de l'exemption « mesure d'audience » de la CNIL. Tu peux le garder, à condition de bloquer son chargement jusqu'au consentement et de bien le configurer (Consent Mode, anonymisation).

À quelle fréquence dois-je redemander le consentement ?

La CNIL recommande de renouveler la demande de consentement au maximum tous les 6 mois. Si un visiteur a refusé, tu peux lui reposer la question lors d'une visite ultérieure, mais sans le harceler à chaque page. La durée de vie des cookies eux-mêmes ne doit par ailleurs pas dépasser 13 mois.