Cookies et RGPD : bandeau et consentement conformes

Le bandeau cookies est devenu le symbole visible de la conformité d'un site, et l'un des points les plus contrôlés par la CNIL. Beaucoup de sites affichent une bannière, mais peu la posent correctement : cases pré-cochées, bouton pour refuser caché, dépôt de traceurs avant tout choix. Ces erreurs sont fréquentes et exposent à des sanctions, alors qu'elles se corrigent sans difficulté technique majeure.

Cet article clarifie les règles applicables aux cookies : quels traceurs exigent un consentement, à quoi ressemble un bandeau réellement conforme, et quelles erreurs éviter. L'objectif est de vous permettre de mettre votre site en règle tout en respectant vos visiteurs, sans nuire à votre activité.

Définition : un cookie est un petit fichier déposé sur le terminal d'un internaute pour stocker ou lire des informations. Les cookies non strictement nécessaires au fonctionnement du site (mesure d'audience étendue, publicité, réseaux sociaux) exigent le consentement préalable de l'utilisateur.

Points clés

• Tous les cookies n'exigent pas de consentement : les cookies strictement nécessaires en sont dispensés.
• Refuser doit être aussi simple qu'accepter, dès le premier écran.
• Aucun cookie soumis à consentement ne doit être déposé avant le choix de l'utilisateur.
• Le consentement doit être libre, éclairé, spécifique et pouvoir être retiré à tout moment.
• Un bandeau non conforme fait partie des manquements régulièrement contrôlés par la CNIL.

Quels cookies exigent un consentement ?

Tous les cookies ne se valent pas au regard de la loi. Les cookies strictement nécessaires au fonctionnement du site, comme ceux qui gardent en mémoire le contenu d'un panier ou sécurisent une connexion, ne demandent pas de consentement. En revanche, les traceurs publicitaires, les cookies de réseaux sociaux et la mesure d'audience étendue exigent l'accord préalable de l'utilisateur.

La distinction se joue sur la finalité. Un cookie qui sert uniquement à faire fonctionner le service peut être déposé sans autorisation ; un cookie qui suit l'internaute à des fins commerciales ou publicitaires, non. Cette logique de finalité et de base légale est celle qui gouverne tout le RGPD, comme le rappelle notre article RGPD, c'est quoi, et elle rejoint les règles applicables à la prospection commerciale.

Bon à savoir : la mesure d'audience peut être exemptée de consentement si elle est strictement limitée à la production de statistiques anonymes, sans suivi de l'internaute entre les sites ni recoupement. Au-delà, le consentement redevient obligatoire.

À quoi ressemble un bandeau conforme ?

Un bandeau conforme respecte quelques principes simples. Dès le premier écran, l'utilisateur doit pouvoir refuser aussi facilement qu'accepter : un bouton « Tout refuser » aussi visible que le bouton « Tout accepter ». Aucun traceur soumis à consentement ne doit être déposé tant que l'utilisateur n'a pas fait son choix. Et l'information doit être claire sur les finalités des cookies utilisés.

Le consentement doit aussi pouvoir être retiré aussi simplement qu'il a été donné, via un lien accessible en permanence. Ces exigences ne relèvent pas du détail : elles conditionnent la validité juridique de votre bandeau. Les intégrer proprement fait partie d'une mise en conformité RGPD d'ensemble, au même titre que les mentions d'information de votre site.

Conseil : testez votre propre site comme un visiteur. Si refuser demande plus de clics qu'accepter, ou si des cookies se déposent avant votre choix, votre bandeau n'est pas conforme. Pour un diagnostic clair, envoyez-nous l'adresse de votre site.

Les erreurs qui exposent aux sanctions

Certaines erreurs reviennent constamment. La case pré-cochée, qui présume le consentement alors qu'il doit être un acte positif. Le dépôt de traceurs dès l'arrivée sur la page, avant tout choix. Le bouton « Refuser » absent, grisé ou caché derrière plusieurs menus. Ou encore le bandeau qui réapparaît à chaque page pour épuiser l'utilisateur jusqu'à l'acceptation.

Ces pratiques ne sont pas de simples maladresses : elles font partie des manquements que la CNIL vérifie lors de ses contrôles en ligne et qui donnent lieu à des rappels à l'ordre. Un site qui vend ou collecte des données a tout intérêt à s'y conformer, d'autant que la correction est le plus souvent rapide. Pour les boutiques en particulier, ces règles se combinent avec les autres obligations décrites dans notre article sur le RGPD e-commerce.

FAQ

Tous les cookies nécessitent-ils un consentement ?

Non. Les cookies strictement nécessaires au fonctionnement du site (panier, session, sécurité) en sont dispensés. Les traceurs publicitaires, de réseaux sociaux et la mesure d'audience étendue exigent, eux, le consentement préalable de l'utilisateur.

Le bouton « Tout refuser » est-il obligatoire ?

Refuser doit être aussi simple qu'accepter. En pratique, cela se traduit par un bouton de refus aussi accessible et visible que le bouton d'acceptation, dès le premier écran. Un refus qui demande plus d'efforts que l'acceptation n'est pas conforme.

Peut-on déposer des cookies avant le choix de l'utilisateur ?

Non, pas les cookies soumis à consentement. Ils ne peuvent être déposés qu'après un choix positif de l'utilisateur. Seuls les cookies strictement nécessaires, ou une mesure d'audience strictement anonyme et exemptée, peuvent l'être en amont.

La mesure d'audience nécessite-t-elle un consentement ?

Cela dépend de sa configuration. Une mesure d'audience strictement limitée à des statistiques anonymes, sans suivi entre sites ni recoupement, peut être exemptée. Dès qu'elle permet de suivre l'internaute plus finement, le consentement redevient obligatoire.

Que risque un site avec un bandeau non conforme ?

Un bandeau non conforme fait partie des manquements régulièrement relevés lors des contrôles en ligne de la CNIL et peut donner lieu à une mise en demeure, voire à une sanction. Au-delà du risque, un bandeau abusif dégrade aussi la confiance des visiteurs.

Comment retirer son consentement aux cookies ?

Le retrait doit être aussi simple que le consentement initial, via un lien ou un module accessible en permanence sur le site. Un utilisateur doit pouvoir revenir sur son choix à tout moment, sans démarche disproportionnée.

Conclusion

La conformité des cookies tient à quelques règles claires : distinguer les traceurs qui exigent un consentement, permettre de refuser aussi facilement que d'accepter, ne rien déposer avant le choix et rendre le retrait simple. Bien appliquées, elles mettent votre site en règle sans compliquer l'expérience de vos visiteurs.

Pour vérifier si votre bandeau et vos traceurs sont conformes, envoyez-nous l'adresse de votre site. Pour aller plus loin, découvrez notre offre de mise en conformité RGPD ou parcourez le blog.

Pour approfondir, consultez la page de la CNIL sur les cookies et traceurs et le texte du RGPD sur EUR-Lex.

L'équipe mydari

Tous les articles