Un bandeau de cookies avec un bouton "Accepter" en vert vif et un lien minuscule "Parametrer" en gris clair : c'est le design le plus courant sur les sites francais, et c'est aussi une pratique que la CNIL sanctionne depuis 2022. Refuser doit etre aussi simple qu'accepter, meme nombre de clics, meme visibilite. Beaucoup de dirigeants pensent qu'un bandeau de cookies suffit en soi a etre en regle, alors que c'est surtout sa mecanique de consentement qui est jugee.
Quels cookies demandent vraiment un consentement
Tous les cookies ne se valent pas devant la loi. La CNIL distingue :
- Les cookies strictement necessaires : panier d'achat, connexion a un espace client, preference de langue. Aucun consentement requis.
- Les cookies de mesure d'audience exemptes : sous conditions strictes (donnees anonymisees, pas de croisement avec d'autres traitements, information claire), certains outils comme Matomo configure en mode anonyme peuvent echapper au consentement.
- Les cookies publicitaires et de mesure d'audience classiques : Google Analytics dans sa configuration standard, Meta Pixel, Google Ads. Consentement prealable obligatoire, avant tout depot du cookie.
L'erreur la plus repandue : le tag Google Analytics ou le Meta Pixel qui se declenche des le chargement de la page, avant meme que le visiteur ait repondu au bandeau. Techniquement, cela veut dire que le cookie est depose avant le consentement, ce qui est une infraction en soi, independamment du design du bandeau.
Ce qu'un bandeau conforme doit permettre
- Un bouton "Refuser" ou "Continuer sans accepter" au meme niveau visuel que "Accepter"
- Aucune case precochee pour les cookies non essentiels
- Un acces facile pour modifier son choix a tout moment (lien en pied de page, pas seulement au premier passage)
- Une duree de conservation du consentement limitee, la CNIL recommande 6 mois maximum avant de redemander
- Un blocage technique reel des cookies tant que le consentement n'est pas donne, pas juste un bandeau visuel qui n'empeche rien en coulisses
Le cas des liens de tracking dans les emails et publicites
Un point moins connu : les liens trackes dans une campagne d'emailing ou les parametres UTM combines a des outils de reciblage publicitaire (Facebook Ads, Google Ads) tombent aussi sous le coup de cette reglementation des qu'ils permettent d'identifier un visiteur individuellement. Un site e-commerce qui fait du retargeting sans bandeau conforme cumule le risque CNIL avec un risque commercial : des visiteurs mefiants qui quittent le site.
Sanctions recentes et ordre de grandeur
Entre 2022 et 2025, la CNIL a sanctionne des entreprises de toutes tailles pour des bandeaux non conformes, avec des amendes allant de quelques milliers d'euros pour une PME a plusieurs millions pour les grands groupes technologiques. Pour une TPE ou PME, le risque reel est plus souvent une mise en demeure avec delai de mise en conformite qu'une amende immediate, mais le controle existe et les plaintes de particuliers via le site de la CNIL sont simples a deposer.
Comment on gere ca sur les sites qu'on livre
On installe une solution de gestion du consentement (CMP) qui bloque reellement les scripts tant que le choix n'est pas fait, pas un simple bandeau cosmetique pose par-dessus des scripts qui tournent deja. Sur un site vitrine comme sur un site e-commerce, cette configuration se fait une fois a la mise en ligne et se revoit a chaque ajout d'un nouvel outil marketing (nouveau pixel publicitaire, nouvel outil de chat, nouvelle solution d'emailing).
Le reflexe a avoir avant d'ajouter un nouvel outil
Avant d'installer un nouveau script sur votre site (chat en ligne, pixel publicitaire, outil d'A/B testing), demandez-vous s'il depose un cookie et lequel. Si la reponse est oui et que ce n'est pas strictement necessaire au fonctionnement du site, il doit passer par votre outil de consentement, pas etre colle directement dans le code. C'est souvent a ce moment-la, lors de l'ajout d'un outil marketing dans la precipitation, que la conformite se degrade. Si votre bandeau actuel vous semble douteux, un audit rapide dans le cadre d'une prestation de maintenance et securite permet de verifier ce qui se passe reellement en coulisses.