Le cadre légal : trois textes, une seule exigence
Pour comprendre pourquoi votre bandeau de cookies est potentiellement hors-la-loi, il faut remonter aux sources. En France, la gestion des cookies repose sur une combinaison de trois textes qui se superposent et se complètent.
Le premier, c'est la directive ePrivacy (2002/58/CE, modifiée en 2009), transposée en droit français à l'article 82 de la loi Informatique et Libertés. C'est elle qui pose le principe fondamental : tout dépôt de traceur sur le terminal d'un utilisateur est interdit sans son accord préalable, sauf exceptions strictement définies. Autrement dit, le cookie ne peut pas se poser avant que l'utilisateur ait eu l'occasion de choisir.
Le second texte, le RGPD (Règlement Général sur la Protection des Données, entré en vigueur en mai 2018), prend le relais pour encadrer ce que vous faites des données une fois collectées. Il définit les conditions de validité du consentement — libre, spécifique, éclairé, univoque — et impose notamment la possibilité de le retirer aussi facilement qu'il a été donné.
Enfin, les lignes directrices de la CNIL, publiées en 2020 et complétées par une recommandation en 2021, viennent préciser concrètement comment tout cela s'applique sur un site web ou une application mobile. C'est ce corpus doctrinal qui guide les contrôles et, in fine, les sanctions.
"Le consentement doit être libre, spécifique, éclairé et univoque. Et refuser doit être aussi simple qu'accepter." — CNIL, Lignes directrices sur les cookies et autres traceurs, 2020
Les règles du jeu en 2025–2026
La CNIL ne laisse pas beaucoup de place à l'interprétation. Les exigences sont précises, et les décisions de sanction rendues ces deux dernières années les ont confirmées point par point.
Aucun cookie avant le choix
C'est la règle la plus basique et pourtant la plus fréquemment violée. Aucun traceur non essentiel — qu'il soit publicitaire, analytique ou de personnalisation — ne doit se charger avant que l'utilisateur ait interagi avec le bandeau. Pas une seule requête. Pas un pixel. Les contrôles automatisés de la CNIL vérifient précisément cela en analysant le trafic réseau dès la première visite.
Refuser doit être aussi simple qu'accepter
C'est probablement le point sur lequel les entreprises se font le plus souvent épingler. Si un bouton "Tout accepter" est visible en premier niveau, un bouton "Tout refuser" d'égale visibilité et d'égale accessibilité doit l'accompagner. Envoyer l'utilisateur dans un menu de paramétrage à trois clics pour refuser alors qu'accepter se fait en un clic : c'est illégal.
L'information doit être claire et complète
Dès le premier niveau du bandeau, l'utilisateur doit comprendre à quoi servent les cookies proposés. Écrire simplement que les cookies "améliorent l'expérience utilisateur" ne suffit pas — plusieurs organismes ont été sanctionnés pour cette raison exacte en 2025. Les finalités doivent être nommées explicitement : publicité ciblée, mesure d'audience, partage avec des partenaires, etc.
Le retrait du consentement doit être effectif
L'utilisateur qui a accepté doit pouvoir revenir en arrière à tout moment, sans que cela lui coûte plus d'efforts que l'acceptation initiale. Et surtout, ce retrait doit avoir des effets réels et immédiats : les traceurs concernés doivent cesser de fonctionner. Pas demain. Pas à la prochaine session. Maintenant.
La durée de validité du consentement
Un consentement n'est pas valable à vie. La CNIL recommande de ne pas dépasser 13 mois sans redemander l'accord de l'utilisateur. Au-delà, le consentement est considéré comme périmé et doit être recueilli à nouveau.
Le multi-device : les nouvelles règles de décembre 2025
La CNIL a publié fin 2025 des recommandations spécifiques au consentement multi-appareils, pour les services où les utilisateurs se connectent avec un compte. Si vous permettez à un consentement de s'appliquer sur tous les terminaux d'un même compte, trois conditions s'imposent simultanément : l'utilisateur doit en être informé dès le premier niveau de la CMP, le refus doit avoir la même portée globale que l'acceptation, et un bandeau d'information doit apparaître lors de la première connexion sur un nouvel appareil.
Le multi-device reste optionnel : aucune obligation de le proposer. Mais si vous le faites, les trois conditions ci-dessus sont cumulatives. En ignorer une seule invalide le consentement.
Cookies exemptés de consentement : la liste courte
Tout n'est pas soumis au consentement. Certains cookies peuvent fonctionner sans demander quoi que ce soit à l'utilisateur, à condition de répondre à des critères très stricts.
Les cookies strictement nécessaires
Sont exemptés les traceurs indispensables au fonctionnement du site : cookie de session, panier d'achat, authentification, préférences de langue, sécurité (CSRF). Leur rôle est technique et leur durée de vie doit être proportionnée à leur usage. Pas de consentement requis, mais ils doivent tout de même être mentionnés dans la politique de confidentialité.
Les outils de mesure d'audience sous conditions
C'est là que ça se complique. Depuis 2021, la CNIL a mis en place un programme d'évaluation pour identifier les solutions analytiques pouvant être exemptées de consentement. En juillet 2025, une nouvelle délibération est venue préciser les conditions, qui sont cumulatives et non négociables :
- Finalité strictement limitée à la mesure d'audience du site (performances, détection d'erreurs, optimisation ergonomique) — pour le compte exclusif de l'éditeur
- Données produites exclusivement anonymes : aucune donnée identifiante ne peut être conservée
- Aucun recoupement avec d'autres traitements, aucune transmission à des tiers
- Pas de suivi global de la navigation entre différents sites ou applications
- Google Analytics n'est pas exempté — il ne remplit pas les conditions (transfert hors UE, réutilisation des données par Google)
Des solutions comme Matomo (correctement configuré) ou Wysistat peuvent entrer dans ce cadre. Attention : choisir un outil sur la liste ne suffit pas. La configuration précise selon les recommandations CNIL est obligatoire. Depuis janvier 2026, la CNIL a remplacé son ancien programme d'évaluation par un outil d'auto-évaluation à destination des fournisseurs.
Croire que Google Analytics 4 est conforme parce que vous avez activé "l'anonymisation des IP". Ce n'est pas suffisant : Google conserve et réutilise les données pour son propre compte, ce qui exclut automatiquement GA4 du périmètre d'exemption.
Dark patterns : la ligne rouge à ne pas franchir
Le terme "dark pattern" désigne une interface délibérément conçue pour orienter le choix de l'utilisateur dans un sens qui lui est défavorable. Dans le contexte des cookies, c'est le principal cheval de bataille de la CNIL depuis 2024.
En décembre 2024, la Commission a mis en demeure plusieurs éditeurs dont les bandeaux recouraient à des designs trompeurs. En 2025, ces mises en demeure se sont transformées en sanctions réelles.
Ce qui est interdit
- Bouton "Tout accepter" en couleur vive et "Refuser" en gris pâle ou en texte simple
- Formuler le refus de façon négative ou culpabilisante ("Je refuse le meilleur de notre site")
- Masquer le bouton de refus derrière un lien discret en bas de bannière
- Pré-cocher des cases pour certaines catégories de cookies
- Utiliser des formulations ambiguës qui font croire que refuser empêchera l'accès au site
- Faire apparaître un interstitiel qui donne l'impression qu'il n'existe qu'une seule option
- Indiquer simplement que les cookies "améliorent l'expérience" sans préciser les finalités réelles
La CNIL analyse ces bandeaux en s'appuyant sur un triptyque : ses propres lignes directrices de 2020, sa recommandation de 2021, et le rapport de l'EDPB (European Data Protection Board) publié en janvier 2023 sur les interfaces trompeuses.
"Les éditeurs doivent choisir des designs qui ne trompent pas les utilisateurs. Un consentement obtenu par manipulation n'est pas un consentement valide." — CNIL, Mise en demeure sur les dark patterns, décembre 2024
Les amendes : qui a payé et combien
2025 restera dans les annales comme une année record. La CNIL a prononcé 83 sanctions pour un total d'environ 487 millions d'euros — une progression vertigineuse par rapport aux années précédentes. La doctrine est claire : l'autorité sanctionne moins souvent mais frappe beaucoup plus fort.
Le barème théorique
Le RGPD prévoit deux niveaux d'amende selon la gravité du manquement. Pour les violations les moins sévères, le plafond est fixé à 10 millions d'euros ou 2% du chiffre d'affaires mondial annuel — le montant le plus élevé s'appliquant. Pour les violations graves (consentement, transferts internationaux illicites, droits des personnes), la jauge monte à 20 millions d'euros ou 4% du CA mondial. Pour les géants de la tech, cela représente des milliards théoriques.
| Entreprise | Motif lié aux cookies | Amende | Année |
|---|---|---|---|
| Google / YouTube | Cookies publicitaires déposés sans consentement sur google.fr et youtube.fr ; bouton "Refuser" moins visible qu'"Accepter" | 90 M€ | 2022 |
| Facebook (Meta) | Absence de bouton de refus aussi simple que l'acceptation | 60 M€ | 2022 |
| Amazon | Dépôt de cookies sans consentement préalable | 35 M€ | 2021 |
| Dépôt de cookies lors de la création de compte sans consentement valide ; publicités insérées dans Gmail sans accord | 325 M€ | 2025 | |
| SHEIN (Roadget) | Traceurs publicitaires et analytiques déposés avant interaction avec le bandeau | 150 M€ | 2025 |
| American Express | Non-respect du refus de consentement, trackers persistants après opposition | 1,5 M€ | 2025 |
| Condé Nast (Vanity Fair) | Cookies déposés avant interaction ; information insuffisante sur le bandeau | 750 000 € | 2025 |
Et pour les petites structures ?
L'idée que "je suis trop petit pour être contrôlé" est une illusion dangereuse. En 2025, 32% des entreprises contrôlées étaient des PME ou TPE. La procédure simplifiée, créée précisément pour traiter rapidement les petits dossiers, permet à la CNIL de sanctionner en quelques semaines avec des amendes allant jusqu'à 20 000 euros — sans passer par la formation restreinte au complet. En pratique, les amendes pour les TPE démarrent autour de 3 000 euros, mais leur impact sur une petite trésorerie est évidemment bien plus lourd que 150 millions sur un géant du CAC 40.
La CNIL peut doubler l'amende en cas de récidive. Google a reçu trois sanctions distinctes en France. Chaque nouvelle violation après une première sanction est considérée comme aggravante.
Comment la CNIL vous contrôle
Les méthodes de contrôle de la CNIL ont considérablement évolué ces dernières années. L'autorité ne se contente plus d'attendre les plaintes des utilisateurs — elle va chercher les non-conformités de manière proactive.
Les robots qui scannent votre site
La CNIL dispose aujourd'hui d'outils automatisés capables d'analyser en quelques secondes le comportement d'un site lors d'une première visite simulée. Ces scripts vérifient notamment : quels cookies sont déposés avant toute interaction avec le bandeau, si les requêtes réseau vers des tiers (Facebook Pixel, Google Analytics, etc.) se déclenchent avant le consentement, et si le bouton de refus est accessible dès le premier niveau. La taille du site n'a aucune importance — ces robots scannent à grande échelle.
Le contrôle approfondi
Quand le contrôle automatisé détecte une anomalie, ou suite à une plainte d'un utilisateur, la CNIL peut déclencher un audit approfondi. Des agents examinent alors l'interface, les logs, la configuration des outils tiers, la chaîne de traitement des données, et la cohérence entre ce que dit la politique de confidentialité et ce qui se passe réellement côté technique.
Vous avez généralement un mois pour corriger les manquements constatés. Passé ce délai sans conformité, la formation restreinte de la CNIL peut prononcer une sanction publique. La décision est publiée sur le site de la CNIL, avec le nom de l'entreprise. Ce n'est pas uniquement une question d'argent : c'est aussi une question de réputation.
La checklist de conformité : l'essentiel sans jargon
Voici ce que vous devez vérifier sur votre site, point par point. C'est la synthèse opérationnelle de tout ce qui précède.
Le bandeau de consentement (CMP)
- Aucun cookie non essentiel ne se charge avant l'interaction de l'utilisateur avec le bandeau
- Un bouton "Tout accepter" ET un bouton "Tout refuser" (ou équivalent) sont visibles au premier niveau, avec le même poids visuel
- Les finalités des cookies sont clairement nommées (publicité ciblée, mesure d'audience, etc.) — pas de formule floue
- Le bandeau n'utilise pas de couleurs, tailles ou formulations qui favorisent l'acceptation
- Un lien vers la politique de confidentialité complète est accessible depuis le bandeau
Après le choix de l'utilisateur
- Si l'utilisateur refuse, aucun traceur publicitaire ou analytique non exempté ne se déclenche
- L'utilisateur peut modifier ses choix à tout moment via un lien accessible (souvent en pied de page)
- Le retrait du consentement est effectif immédiatement, sans manipulation supplémentaire
- Le consentement est re-sollicité après 13 mois maximum
Les outils tiers
- Vos outils analytiques (GA4, Hotjar, etc.) sont bloqués par la CMP avant consentement
- Le Facebook Pixel, les pixels TikTok et autres outils publicitaires sont conditionnés au consentement
- Si vous utilisez un outil de mesure d'audience en mode exempté (Matomo, Wysistat…), sa configuration respecte scrupuleusement les critères CNIL
- Votre politique de confidentialité liste tous les traceurs utilisés, leurs finalités et leur durée de conservation
La preuve
- Votre CMP enregistre les consentements avec horodatage et version des préférences (logs)
- Vous êtes en mesure de démontrer techniquement que le refus empêche effectivement le dépôt des traceurs
- Votre tag manager (GTM, etc.) est configuré pour ne déclencher les tags tiers qu'après consentement confirmé
Testez régulièrement votre site en mode navigation privée, avec les outils de développement ouverts (onglet Réseau). Vous verrez immédiatement si des requêtes vers des tiers se déclenchent avant toute interaction avec votre bandeau. C'est exactement ce que font les robots de la CNIL.
Ce que tout ça change concrètement
La conformité cookies n'est plus un sujet réservé aux équipes juridiques des grands groupes. En 2025, 21 organismes ont été condamnés spécifiquement pour des manquements liés aux cookies — et parmi eux, des structures de toutes tailles. Les 487 millions d'euros d'amendes au total ne doivent pas masquer une réalité : les petites structures, elles, reçoivent des sanctions de quelques milliers à quelques dizaines de milliers d'euros, ce qui peut peser lourd.
L'essentiel à retenir tient en trois mots : avant, pendant, après. Avant le choix : aucun traceur. Pendant le choix : des options claires et équilibrées. Après le refus : un respect effectif et vérifiable de la décision de l'utilisateur. Tout le reste — CMP, logs, politique de confidentialité — n'est que la mise en œuvre de cette logique.
La bonne nouvelle ? Se mettre en conformité n'est pas insurmontable. Des outils existent, des CMP sérieuses proposent des configurations conformes clé en main. L'enjeu n'est pas tant technique que de volonté : décider de faire les choses correctement, puis vérifier que la réalité technique correspond à ce qu'on croit avoir paramétré.