Bandeau cookies : ce que dit la CNIL

Cet article s'appuie sur les questions-réponses de la CNIL sur les cookies, lues le 15 octobre 2026 dans leur copie de web.archive.org du 1er octobre 2026, le site de la CNIL étant alors en maintenance, sur ses lignes directrices (délibération n° 2020-091, lues le 15 octobre 2026) et sa recommandation (délibération n° 2020-092), toutes deux du 17 septembre 2020. Il explique la règle générale ; pour un cas particulier, c'est la CNIL ou un juriste qui tranche.

La règle de base

Le texte applicable est l'article 82 de la loi Informatique et Libertés. Il vise tout ce qui lit ou écrit une information dans l'appareil du visiteur : les cookies, mais aussi tout autre traceur. La CNIL rappelle qu'il s'applique même quand les informations lues ne sont pas des données personnelles.

Le principe : un traceur qui n'est pas strictement nécessaire au service demandé par le visiteur ne se dépose qu'après son consentement. Les lignes directrices font la différence entre les deux textes : elles rappellent le droit, la recommandation propose des façons concrètes de s'y conformer sans être obligatoire.

Ce que doit faire le bandeau

D'après les questions-réponses de la CNIL :

• Le consentement est un acte positif clair, par exemple un clic sur « Tout accepter ». Continuer à naviguer sans cliquer ne vaut plus acceptation : la CNIL l'interprète comme un refus.
• Refuser doit être aussi facile qu'accepter. Un bouton « Tout refuser » au même niveau et avec le même aspect que « Tout accepter » est le moyen que la CNIL cite en exemple. À défaut, une autre solution aussi simple est admise, à condition que le visiteur en soit clairement informé.
• Le refus ne se cache pas au second écran. La CNIL recommande fortement que refuser soit possible sur le même écran que l'acceptation : un clic pour accepter contre deux pour refuser biaise le choix.
• Le design ne trompe pas. Pas de bouton d'acceptation mis en avant au point de faire croire que le consentement est obligatoire.
• Les finalités sont annoncées avant le choix, chacune avec un intitulé court, et la liste des sociétés qui déposent des traceurs est accessible dès le premier écran, par un lien.
• Le visiteur peut retirer son consentement aussi simplement qu'il l'a donné, par exemple par un lien « Gérer mes cookies » accessible sur toutes les pages, ou une icône permanente.

Le choix du visiteur, acceptation comme refus, doit être retenu pour qu'il n'ait pas à le refaire à chaque page. La CNIL juge le délai au cas par cas et cite six mois comme une bonne pratique en général.

Les traceurs exemptés de consentement

Les lignes directrices citent, en l'état des pratiques connues, plusieurs traceurs qui peuvent se passer de consentement parce qu'ils sont nécessaires au service :

Un traceur perd l'exemption s'il sert aussi à une autre finalité soumise au consentement.

La mesure d'audience

Un outil de statistiques peut se passer de consentement si ses traceurs, d'après la CNIL :

• servent seulement à mesurer l'audience du site, pour le compte de son seul éditeur ;
• produisent uniquement des statistiques anonymes ;
• ne permettent pas de suivre le visiteur d'un site ou d'une application à l'autre ;
• ne sont ni recoupés avec d'autres traitements ni transmis à des tiers.

La page de la CNIL sur la mesure d'audience ajoute une durée de vie des traceurs limitée, citant treize mois, sans prolongation automatique à chaque visite, et une conservation des informations de vingt-cinq mois au plus. Un outil qui réutilise les données pour son propre compte sort de l'exemption, sauf s'il se règle pour ne plus le faire. Même exempté, il reste soumis au RGPD : le visiteur doit être informé et pouvoir s'y opposer.

Vidéos, cartes et boutons de partage

Une vidéo intégrée, une carte ou un bouton de réseau social déposent souvent les traceurs de leur fournisseur, publicitaires compris. Le consentement est alors requis, soit dans le bandeau, soit au moment où le visiteur active le contenu, dans une fenêtre qui le lui demande. Refuser ne doit pas bloquer l'accès au reste du site.

Vérifier son site

1. Ouvrez votre site dans une fenêtre de navigation privée, sans rien accepter.
2. Ouvrez les outils de développement du navigateur (touche F12), onglet « Application » dans Chrome et Edge ou « Stockage » dans Firefox, puis la rubrique Cookies.
3. Notez chaque cookie et son domaine. Un cookie d'un domaine tiers déposé avant tout clic est le signe d'un outil chargé trop tôt.
4. Cliquez sur « Tout refuser », rechargez la page et vérifiez que ces cookies ne reviennent pas.
5. Vérifiez que le lien qui permet de changer d'avis est présent sur toutes les pages.

Sur WordPress, la plupart des sites passent par une extension de gestion du consentement. Choisissez-en une qui bloque les scripts tiers tant que le visiteur n'a pas accepté, et non une qui se contente d'afficher un message.

Chez Hubspace

C'est l'éditeur du site, vous ou votre prestataire, qui décide des traceurs déposés et qui répond du bandeau. Webalizer, l'outil de statistiques de Plesk, lit les journaux du serveur : il ne dépose rien dans le navigateur des visiteurs. Les autres mentions obligatoires d'un site sont dans Les mentions légales d'un site, et les obligations d'un hébergeur au regard du RGPD dans RGPD et hébergement.

Questions fréquentes