Bandeau cookies conforme CNIL en 2026 : les règles, les pièges et les amendes

Le 16 octobre 2025, une boutique de vente à distance a écopé de 3 000 € d’amende pour ses cookies. Vous ne saurez jamais laquelle : en procédure simplifiée, la CNIL ne publie pas le nom des entreprises sanctionnées. Six semaines plus tôt, le 1er septembre 2025, SHEIN écopait de 150 millions d’euros pour des traceurs déposés avant le moindre clic et un bouton « Tout refuser » qui n’empêchait pas le dépôt de nouveaux traceurs. Entre ces deux extrêmes, les règles sont les mêmes, et elles tiennent en quelques lignes.

Le bandeau cookies est-il obligatoire ?

Le bandeau en lui-même n’est pas obligatoire : ce qui l’est, c’est le consentement préalable de l’internaute avant tout dépôt ou lecture d’un traceur non exempté. Dès que votre site utilise de la publicité, un pixel de réseau social ou Google Analytics en configuration standard, il vous faut donc un mécanisme de consentement, et le bandeau est la forme la plus courante.

La règle vient de l’article 5, paragraphe 3, de la directive 2002/58/CE dite « ePrivacy », transposé en France à l’article 82 de la loi Informatique et Libertés :

Trois points à retenir de ce texte. Il vise tout « traceur », pas seulement les cookies : pixels, stockage local du navigateur, empreinte de l’appareil, identifiants publicitaires sont couverts, comme le rappelle la CNIL. Il s’applique que les données soient personnelles ou non (FAQ de la CNIL, question 8). Et après un refus ou un retrait, l’éditeur doit faire cesser toute lecture ou écriture depuis son site, y compris celles des partenaires dont il a intégré les balises (question 29).

La CNIL a précisé la façon d’appliquer cet article dans deux textes adoptés le 17 septembre 2020 : les lignes directrices (délibération n° 2020-091), qui rappellent le droit, et la recommandation (délibération n° 2020-092), guide pratique non contraignant, dont la version consolidée a été publiée le 16 janvier 2026 après une modification sur le consentement multi-terminaux (délibération n° 2025-131 du 18 décembre 2025).

Quels cookies sont exemptés de consentement ?

Sont exemptés les traceurs strictement nécessaires au service demandé par l’internaute : panier, authentification, mémorisation du choix sur les cookies, équilibrage de charge, personnalisation attendue de l’interface et, sous conditions strictes, mesure d’audience. Tout le reste (publicité, reciblage, partage social, vidéos intégrées, outils qui réutilisent les données) exige un consentement préalable.

La liste vient de la page de mise en conformité de la CNIL et de sa FAQ cookies, mise à jour le 29 avril 2026.

Le diagramme ci-dessous résume le raisonnement à tenir, traceur par traceur.

flowchart TD
  A["Un traceur lit ou écrit sur l’appareil du visiteur"] --> B{"Panier, connexion, choix cookies, sécurité ?"}
  B -->|Oui| X["Exempté : information recommandée"]
  B -->|Non| C{"Sert à mesurer l’audience ?"}
  C -->|Non| Y["Consentement préalable obligatoire"]
  C -->|Oui| D{"Pour vous seul, statistiques anonymes, sans suivi multisite ?"}
  D -->|Non| Y
  D -->|Oui| E{"Fournisseur sans réutilisation pour son compte ?"}
  E -->|Oui| Z["Exempté : informer et permettre l’opposition"]
  E -->|Non| Y

Google Analytics est-il exempté de consentement ?

Non, pas dans sa configuration standard : la CNIL cite nommément Google Analytics parmi les offres qui sortent de l’exemption, parce que le fournisseur réutilise les données pour son propre compte. Seul un outil de mesure d’audience configuré pour remplir toutes les conditions de l’exemption peut se passer du consentement.

Ces conditions, détaillées sur la page de la CNIL consacrée à la mesure d’audience (publiée le 4 juillet 2025) : une finalité limitée à la mesure d’audience du site pour le compte exclusif de l’éditeur, des statistiques anonymes uniquement, aucun recoupement avec d’autres traitements, aucune transmission de données non anonymes à des tiers, aucun suivi de la navigation sur d’autres sites ou applications. La CNIL recommande en plus une durée de vie des traceurs de treize mois sans prolongation automatique et une conservation des données de vingt-cinq mois au plus.

Sur Google Analytics, sa page « Mesurer la fréquentation de vos sites web » rappelle que sa formation restreinte a jugé, dans la décision SAN-2020-008 du 18 novembre 2020, que ces cookies « ne sont pas strictement nécessaires à la fourniture du service ».

La CNIL ne publie plus de liste d’outils exemptés : elle l’a remplacée par un outil d’auto-évaluation destiné aux fournisseurs (FAQ, question 12) et vérifiera, en cas de contrôle, la configuration réelle, la responsabilité de l’éditeur comme du fournisseur pouvant être engagée. Concrètement, si vous ne pouvez pas démontrer que votre outil coche toutes les cases, placez-le derrière le consentement.

Que doit contenir un bandeau cookies conforme à la CNIL ?

Un bandeau conforme informe des finalités et des sociétés concernées, recueille un acte positif clair, permet de refuser aussi facilement que d’accepter dès le premier écran, et laisse retirer son choix à tout moment. Avant tout clic, aucun traceur soumis au consentement ne doit être déposé.

Les exigences, tirées des lignes directrices, de la recommandation et de la FAQ de la CNIL :

• Rien avant le choix. Les cookies publicitaires déposés « dès leur arrivée sur le site » sont le premier grief des décisions SHEIN et vanityfair.fr.
• Les finalités au premier niveau, formulées simplement (« Publicité personnalisée », « Mesure d’audience »), avec un lien vers la liste à jour des sociétés qui déposent des traceurs.
• Un acte positif clair. La poursuite de la navigation n’est pas un consentement : la CNIL l’interprète comme un refus (FAQ, question 19). Fermer le bandeau ne vaut pas non plus acceptation.
• Refuser aussi facilement qu’accepter. Un bouton « Tout refuser », au premier niveau et du même aspect que « Tout accepter », est attendu, ou à défaut un moyen de refuser aussi simple (question 37). Un refus réservé au second niveau, derrière « Paramétrer », ne convient pas (question 38).
• Pas de design trompeur : bouton de refus grisé, plus petit, ou formulation qui laisse croire que le consentement est obligatoire.
• Un choix par finalité, au moins sur un second niveau : publicité, mesure d’audience, réseaux sociaux.
• Un retrait à tout moment, par un lien « Gérer mes cookies » en pied de page ou une icône permanente. Le retrait doit être effectif : après un refus, plus aucune lecture ni écriture des traceurs concernés, y compris ceux des tiers (question 29).

Le lien « Continuer sans accepter » reste possible. Le 19 juin 2026, le Conseil d’État (n° 501417) a rejeté la demande d’une association qui voulait faire retirer de la recommandation l’exemple d’un bandeau doté de ce lien en haut à droite : il a jugé que le refus y était accessible sur le même écran et avec la même facilité.

Votre bandeau ne vit pas seul : la politique de confidentialité et la politique de cookies doivent décrire les mêmes traceurs, les mêmes finalités et les mêmes durées.

Combien de temps conserver le choix de l’internaute ?

La CNIL considère qu’une durée de six mois, pour le consentement comme pour le refus, est en général appropriée. C’est une bonne pratique, pas un délai légal : la durée s’apprécie au cas par cas, mais redemander à chaque visite après un refus pèse sur la liberté du choix.

La page de mise en conformité et la FAQ (question 21) de la CNIL retiennent toutes deux ces six mois. Ne confondez pas cette durée avec celle des cookies de mesure d’audience exemptés (treize mois) ni avec la conservation des données qu’ils collectent (vingt-cinq mois).

Comment prouver le consentement aux cookies ?

Celui qui se prévaut du consentement doit pouvoir le prouver, à tout moment. La CNIL propose plusieurs moyens non exclusifs : captures d’écran horodatées de chaque version du bandeau, dépôt horodaté du code, audits par un tiers, historique des configurations conservé par l’éditeur de la plateforme de consentement.

Ces modalités figurent sur la page « Cookies et traceurs : que dit la loi ? ». Concrètement, pour une boutique Shopify ou WooCommerce : une capture datée du bandeau à chaque changement, l’export de la configuration de votre outil de consentement, et un journal des consentements si votre outil le fournit.

Un cookie wall est-il autorisé ?

Pas interdit par principe, mais très encadré : depuis la décision du Conseil d’État du 19 juin 2020, la CNIL apprécie au cas par cas si le visiteur qui refuse dispose d’une alternative réelle et équitable. Pour un site marchand, bloquer l’accès au catalogue tant que l’on n’a pas accepté la publicité est très difficile à justifier.

Les critères publiés par la CNIL le 16 mai 2022 : une alternative réelle et équitable pour accéder au contenu sans traceurs, proposée par l’éditeur lui-même ou, à défaut, dont il démontre l’existence chez un autre éditeur ; si cette alternative est payante, un tarif raisonnable que l’éditeur doit pouvoir justifier ; un mur limité aux seules finalités qui rémunèrent le service (la publicité ciblée, pas la personnalisation éditoriale) ; et, pour qui choisit l’accès payant, aucun traceur soumis au consentement.

Google Consent Mode suffit-il à être conforme ?

Non : Consent Mode ne recueille aucun consentement, il transmet aux balises Google le choix exprimé dans votre bandeau. Il vous faut donc toujours un bandeau conforme, et le mode « avancé », qui envoie des requêtes à Google avant tout choix, appelle la prudence.

D’après la documentation de Google, c’est à l’éditeur d’obtenir le consentement, par un bandeau ou une plateforme de gestion du consentement. En mode « de base », les balises Google restent bloquées jusqu’à l’interaction avec le bandeau, et rien n’est envoyé en cas de refus. En mode « avancé », les balises se chargent dès l’ouverture de la page et, tant que le consentement est refusé, envoient à Google des requêtes « sans cookies » (horodatage, navigateur, page de provenance, état du consentement).

Ni la FAQ cookies de la CNIL ni ses lignes directrices ne mentionnent Consent Mode. Mais l’article 82 vise tout accès à des informations de l’appareil, pas seulement les cookies, et les lignes directrices 2/2023 du Comité européen de la protection des données appliquent la règle au suivi par pixel ou par URL. Faute de position officielle sur ces requêtes, le mode de base est le choix le plus sûr.

Quelles amendes pour un bandeau cookies non conforme ?

Le plafond légal pour un manquement à l’article 82 est de 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Les dossiers sans difficulté particulière passent par la procédure simplifiée, plafonnée à 20 000 € pour la plupart des entreprises et sans publication du nom, et la CNIL l’utilise régulièrement pour les cookies.

Le plafond figure à l’article 20 de la loi Informatique et Libertés, qui prévoit aussi une astreinte jusqu’à 100 000 € par jour de retard. Le plafond de la procédure simplifiée passe à 100 000 € quand le chiffre d’affaires mondial dépasse 50 millions d’euros. Le bilan 2025 de la CNIL compte 21 organismes sanctionnés pour des manquements aux règles sur les traceurs : dépôt sans consentement, information insuffisante, refus ou retrait non pris en compte. Au 6 juillet 2026, la CNIL avait prononcé 23 sanctions simplifiées depuis janvier, pour 133 750 € au total ; parmi les griefs liés aux cookies, elle cite des bandeaux où accepter prenait un clic, alors que refuser imposait de passer par « Personnaliser » puis par un écran de réglages.

Ce que montrent ces décisions : la vente en ligne revient dans la majorité des lignes, et les décisions détaillées retiennent toujours les mêmes erreurs (traceurs avant le choix, information floue, refus non respecté). Notre guide des sanctions CNIL détaille la procédure, du contrôle en ligne à la décision.

Pixels de suivi dans les e-mails : que change la recommandation CNIL de 2026 ?

Depuis la recommandation n° 2026-042, publiée au Journal officiel le 14 avril 2026, le pixel invisible qui mesure l’ouverture de vos e-mails est traité comme un cookie : consentement en principe, sauf usage strictement limité à la mesure de la délivrabilité d’un courriel lié à un service demandé par le destinataire. Le délai de trois mois accordé pour les fichiers existants a expiré, en principe, le 14 juillet 2026.

La délibération n° 2026-042 a été adoptée le 12 mars 2026, sur le fondement du même article 82. D’après la page de présentation de la CNIL et ses questions-réponses du 22 juillet 2026 :

• Exemption délivrabilité : possible pour un courriel lié à un service demandé (confirmation d’achat, renouvellement d’abonnement, alerte de sécurité) ou une newsletter demandée expressément, si le pixel sert seulement à repérer les destinataires qui n’ouvrent plus vos messages pour les retirer de vos listes. En principe, seule la date de dernière ouverture est nécessaire. La relance de panier abandonné, promotionnelle, n’en bénéficie pas.
• Consentement requis dès que le pixel sert à autre chose : heure d’ouverture, personnalisation des envois. Collecter l’adresse IP pour l’anonymiser ensuite ne suffit pas à rester dans l’exemption. Une prospection envoyée à un client sur le fondement des « produits ou services analogues » n’est pas un service demandé : son pixel n’est pas exempté.
• Statistiques globales : un taux d’ouverture agrégé reste possible sans consentement à partir de données collectées par un pixel exempté, puis anonymisées.
• Fichiers antérieurs : pour les adresses collectées avant le 14 avril 2026, il fallait informer clairement les destinataires et leur permettre de s’opposer dans les trois mois suivant la publication, soit vers le 14 juillet 2026, délai que la CNIL admet de prolonger « de manière raisonnable » si le volume d’envoi le justifie et que c’est documenté. Sans cette information, il faut désormais recueillir le consentement ou cesser d’utiliser les pixels concernés.

Pour une boutique qui envoie ses campagnes via un outil d’e-mailing, vérifiez si le suivi des ouvertures est activé par défaut, et ajoutez cette finalité à votre recueil de consentement.

Le Digital Omnibus va-t-il supprimer les bandeaux cookies ?

Pas aujourd’hui : la proposition de la Commission européenne du 19 novembre 2025 est toujours en discussion, et au 7 octobre 2026 l’article 82 et les règles de la CNIL s’appliquent sans changement. Même adoptée telle quelle, elle maintiendrait le principe du consentement.

La proposition COM(2025) 837 déplacerait la règle dans un nouvel article 88 bis du RGPD. Elle ajouterait des exemptions, dont la mesure d’audience agrégée réalisée par l’éditeur pour son propre usage, imposerait un refus « au moyen d’un bouton à simple clic », interdirait de redemander le consentement pendant au moins six mois après un refus, et prévoirait des signaux de choix automatisés lisibles par machine (article 88 ter). Selon la fiche de procédure du Parlement européen, le texte est en attente d’une décision en commission. Aucun calendrier d’application n’est fixé : ne démontez pas votre bandeau.

Comment vérifier son bandeau cookies en dix minutes ?

Ouvrez votre site en navigation privée, sans rien cliquer, et regardez quels cookies sont déjà là : c’est précisément ce que la CNIL a relevé lors de ses contrôles de shein.com et de vanityfair.fr. Puis refusez tout, rechargez, et vérifiez qu’aucun traceur publicitaire n’apparaît.

Pour le premier point, le détecteur de cookies gratuit lit votre page d’accueil telle que le serveur l’envoie : il repère les traceurs et bandeaux de consentement connus, signale ceux qui se chargent sans attendre le choix du visiteur et les cookies déposés dès le premier chargement. Il ne remplace pas un test dans un vrai navigateur, car les scripts peuvent en charger d’autres une fois exécutés.

Le bandeau n’est qu’une pièce de votre site : vérifiez aussi vos mentions légales, votre registre des traitements si vous exploitez des données clients, ou faites le point en quelques questions avec le quiz de conformité.