Cookies et consentement : les règles de la CNIL pour un site web
Le bandeau de cookies est devenu un passage obligé de la navigation, et souvent un exemple de ce qu'il ne faut pas faire : boutons « refuser » cachés, cases précochées, consentement présumé au premier défilement. Les règles françaises sont pourtant claires, et la CNIL les a détaillées. Voici ce qu'elles imposent à un site, et comment s'en passer quand c'est possible.
Le cadre juridique
La CNIL rappelle que l'article 82 de la loi Informatique et Libertés transpose en droit français les règles de la directive « ePrivacy » sur les cookies et traceurs. Le principe est simple : tout accès à l'appareil de l'utilisateur, ou toute inscription d'informations sur cet appareil, suppose son consentement, sauf exceptions. Le terme « traceur » couvre les cookies au sens strict, mais aussi le stockage local du navigateur, les pixels invisibles et les techniques d'empreinte de l'appareil.
Pour préciser comment appliquer ces règles, la CNIL a adopté le 17 septembre 2020 des lignes directrices, complétées par une recommandation pratique. Elles ne créent pas d'obligation nouvelle, mais elles indiquent comment l'autorité interprète la loi, et donc ce qu'elle vérifie lors de ses contrôles.
Ce que doit être le consentement
D'après la page de la CNIL « Que dit la loi ? », le consentement doit être « libre, spécifique, éclairé, univoque », et l'utilisateur doit pouvoir le retirer à tout moment. Dans un bandeau, cela se traduit par des règles concrètes :
- Avant tout dépôt. Aucun cookie soumis au consentement n'est déposé ni lu tant que la personne n'a pas accepté. Les scripts concernés ne doivent donc pas se charger avant le choix.
- Refuser aussi simplement qu'accepter. La CNIL demande que l'on puisse accepter ou refuser « avec le même degré de simplicité ». Dans sa foire aux questions, elle donne l'exemple d'un bouton « tout refuser » au même niveau que « tout accepter ».
- Pas de consentement implicite. Poursuivre la navigation ne vaut pas accord, et l'acceptation des conditions générales d'utilisation n'est pas une façon valable de recueillir le consentement.
- Retirer aussi simplement que donner. Un lien permanent, par exemple « Gérer mes cookies » en pied de page, permet de revenir sur son choix.
- Prouver. Le site doit être en mesure de démontrer que le consentement a été recueilli.
Combien de temps garder le choix ? La CNIL recommande d'enregistrer le choix de l'internaute, consentement ou refus, pour ne pas le solliciter à chaque page ; la durée s'apprécie au cas par cas, mais elle indique qu'une conservation « pendant une durée de 6 mois constitue une bonne pratique ».
Les traceurs qui ne demandent pas de consentement
Tous les cookies ne sont pas concernés. La CNIL liste les traceurs exemptés : ceux qui conservent le choix de l'utilisateur sur les traceurs ; ceux qui servent à l'authentification, y compris pour sa sécurité ; ceux qui conservent le contenu d'un panier ou servent à facturer ; ceux qui personnalisent l'interface quand cette personnalisation est attendue ; ceux qui répartissent la charge des serveurs ou limitent l'accès gratuit à un contenu payant ; et certains traceurs de mesure d'audience.
La mesure d'audience sans consentement
La page de la CNIL consacrée aux outils de mesure d'audience pose trois conditions. La finalité doit être « strictement limitée à la seule mesure de l'audience du site », pour le compte exclusif de l'éditeur. Les traceurs doivent servir à produire des données statistiques anonymes uniquement. Les données ne doivent être ni recoupées avec d'autres traitements, ni transmises à des tiers, et les traceurs ne doivent pas permettre de suivre la navigation sur d'autres sites.
La CNIL recommande en outre d'informer les utilisateurs, de limiter la durée de vie des traceurs à environ treize mois sans prolongation automatique, et de ne pas conserver les données collectées plus de vingt-cinq mois. Elle prévient que certaines offres sortent de l'exemption, en particulier quand le fournisseur réutilise les données pour son propre compte, et invite à vérifier les éventuels transferts hors de l'Union européenne.
Vidéos, cartes et boutons intégrés
Une vidéo intégrée depuis une plateforme, une carte interactive ou un bouton de partage peut déposer des traceurs dès l'affichage de la page. La foire aux questions de la CNIL précise que, lorsque l'activation d'un tel contenu dépose des traceurs, l'éditeur du site doit recueillir le consentement préalable, soit dans le bandeau général, soit de façon contextuelle, dans un encadré qui s'affiche avant l'activation du contenu. Le refus des traceurs d'un tiers ne doit pas bloquer l'accès au reste du site.
La solution la plus respectueuse est souvent une « façade » : une image statique et un bouton, qui ne chargent le lecteur tiers qu'au clic. Le même raisonnement vaut pour les ressources techniques chargées depuis un autre domaine, comme les polices : notre article sur les polices auto-hébergées rappelle pourquoi un tribunal allemand a sanctionné un site en 2022.
Et les murs de cookies ?
Conditionner l'accès à un site à l'acceptation des cookies, le « cookie wall », n'est pas interdit par principe. La CNIL rappelle que le Conseil d'État a jugé le 19 juin 2020 qu'elle ne pouvait pas l'interdire de manière générale et absolue. Elle examine donc chaque cas, en vérifiant notamment si une alternative réelle et satisfaisante est proposée à la personne qui refuse.
Le meilleur bandeau est celui qu'on n'a pas besoin d'afficher
Un site qui n'utilise que des traceurs exemptés n'a pas besoin de bandeau de consentement. Pour un site vitrine ou un blog, c'est souvent atteignable : polices et images hébergées sur le site, pas de boutons de partage tiers, vidéos derrière une façade, mesure d'audience configurée selon les conditions de la CNIL, ou pas de mesure du tout. Il reste à informer les visiteurs dans une page de confidentialité, et à traiter avec le même soin les données personnelles collectées par les formulaires : voir notre article sur le formulaire de contact et le RGPD, ainsi que celui sur les mentions légales.
Sources
- CNIL, « Cookies et autres traceurs : que dit la loi ? » (consulté le 27 octobre 2026).
- CNIL, « Cookies : solutions pour les outils de mesure d'audience » et « Cookies et autres traceurs : FAQ » (consultés le 27 octobre 2026).
- Service Public Entreprendre, fiche F31228 sur les cookies et autres traceurs (consulté le 27 octobre 2026).
- Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, article 82, Légifrance ; Conseil d'État, 19 juin 2020.
Droit, RGPD & métierFormulaire de contact et RGPD
Quels champs demander, quoi écrire sous le formulaire, combien de temps garder les messages : un formulaire simple et conforme.
Droit, RGPD & métierLes mentions légales
Identité, adresse, immatriculation, hébergeur, directeur de la publication : la liste des mentions obligatoires et les pages qui les accompagnent.
Performance & typographieHéberger ses polices
WOFF2, @font-face, swap, préchargement : servir ses polices soi-même, plus vite et sans transmettre l'adresse IP des visiteurs.