Cookie Confirm
fr

Cookies et RGPD : les règles de la CNIL

Ce que l’article 82 de la loi Informatique et Libertés et la CNIL exigent de votre site : quels cookies demandent un consentement, comment présenter le refus et ce que la CNIL sanctionne.

Vérifié le 13 octobre 2026

En bref

  • Les cookies publicitaires et la plupart des outils de statistiques exigent un consentement préalable.
  • Refuser doit être aussi simple qu’accepter : un bouton « Tout refuser » au même niveau que « Tout accepter ».
  • Poursuivre la navigation ne vaut pas consentement.
  • La CNIL recommande de conserver le choix de l’internaute pendant 6 mois.
  • La CNIL sanctionne activement, y compris par des amendes de plusieurs centaines de millions d’euros.

Le cadre légal : l’article 82 et le RGPD

En France, les cookies sont régis par l’article 82 de la loi Informatique et Libertés du 6 janvier 1978, qui transpose l’article 5(3) de la directive européenne « ePrivacy ». Il impose deux choses à l’éditeur d’un site :

  • informer l’internaute, de manière claire et complète, de la finalité de toute lecture ou écriture d’informations sur son terminal et des moyens de s’y opposer ;
  • obtenir son consentement avant cette lecture ou écriture.

Deux exceptions seulement : le traceur a pour finalité exclusive de permettre la communication électronique, ou il est strictement nécessaire à un service demandé expressément par l’utilisateur.

La règle ne vise pas que les cookies HTTP. Selon la CNIL, elle couvre aussi le local storage, le fingerprinting (calcul d’empreinte du terminal), les identifiants publicitaires des systèmes d’exploitation et les identifiants matériels, que les données soient personnelles ou non. La CNIL emploie le terme « traceurs » pour l’ensemble.

Le RGPD intervient de deux façons : il définit ce qu’est un consentement valable (libre, spécifique, éclairé, univoque) et il s’applique aux données personnelles collectées via ces traceurs.

Les textes de la CNIL

La CNIL a adopté le 17 septembre 2020 deux textes qui restent la référence :

  • des lignes directrices (délibération n° 2020-091), qui interprètent l’article 82 ;
  • une recommandation (délibération n° 2020-092), qui propose des modalités pratiques, non contraignantes, pour s’y conformer.

Les sites disposaient d’un délai jusqu’au 31 mars 2021 pour se mettre en conformité. Depuis, la CNIL contrôle et sanctionne.

Quels traceurs sont exemptés de consentement ?

Les lignes directrices citent notamment comme exemptés les traceurs qui :

Traceur Consentement requis ?
Conservent le choix de l’internaute sur les cookies Non
Servent à l’authentification, y compris sa sécurité Non
Gardent en mémoire un panier d’achat ou servent à la facturation Non
Personnalisent l’interface (langue, présentation) lorsque c’est attendu Non
Équilibrent la charge des serveurs Non
Limitent l’accès gratuit à un échantillon de contenu payant Non
Mesurent l’audience, sous conditions strictes Non, si les conditions sont remplies
Publicité ciblée, pixels de réseaux sociaux, retargeting Oui
Outil de statistiques qui réutilise les données pour son propre compte Oui

Un même traceur utilisé pour plusieurs finalités, dont une non exemptée, exige un consentement. Pour la mesure d’audience, les conditions sont détaillées dans notre guide Google Analytics et RGPD.

Comment recueillir un consentement valable

Accepter et refuser avec la même facilité

C’est le point central de la recommandation : refuser doit être aussi simple qu’accepter. La CNIL recommande deux boutons « Tout accepter » et « Tout refuser » au même niveau et sous le même format, dès le premier écran. Un lien « Continuer sans accepter » ou la fermeture de la fenêtre peuvent aussi valoir refus, s’ils sont clairement présentés. Le Conseil d’État a confirmé le 19 juin 2026 que l’exemple de bannière avec « Continuer sans accepter » figurant dans la recommandation n’est pas trompeur.

Pas de consentement implicite

La simple poursuite de la navigation, le défilement de la page ou des cases précochées ne valent pas consentement. Toute inaction doit être interprétée comme un refus.

Une information claire

Avant de consentir, l’internaute doit connaître les finalités (chacune avec un intitulé court), les conséquences de son choix et l’identité de tous les responsables qui utilisent des traceurs, via une liste exhaustive et à jour, accessible à tout moment.

Conserver le choix et permettre le retrait

La CNIL considère que conserver le choix, consentement comme refus, pendant 6 mois est une bonne pratique. Retirer son consentement doit être aussi simple que le donner, par exemple via un lien ou une icône « Gérer mes cookies » visible sur toutes les pages.

Pouvoir prouver le consentement

Vous devez pouvoir démontrer à tout moment que le consentement a été valablement recueilli, par exemple en conservant les versions successives de votre bannière et l’enregistrement des choix.

Ce que la CNIL sanctionne

La CNIL mène depuis 2019 un plan d’action sur les cookies. Parmi ses décisions les plus marquantes :

  • Décembre 2020 : 100 millions d’euros contre Google (60 M€ pour Google LLC, 40 M€ pour Google Ireland) et 35 millions d’euros contre Amazon Europe Core, notamment pour des cookies déposés sans consentement.
  • Décembre 2021 : 150 millions d’euros contre Google et 60 millions d’euros contre Facebook, parce que refuser les cookies était plus compliqué que les accepter.
  • Septembre 2025 : 325 millions d’euros contre Google (cookies et publicités dans Gmail) et 150 millions d’euros contre Shein, pour le dépôt de cookies sans consentement.

En 2025, la CNIL indique avoir sanctionné 21 organismes pour des manquements liés aux traceurs, pas seulement des géants du numérique. Les manquements les plus fréquents : cookies déposés avant tout choix, information insuffisante et refus ou retrait non respectés.

Mettre votre site en conformité

  1. Inventoriez vos traceurs avec un scanner : il détecte aussi ceux des vidéos intégrées et des extensions.
  2. Classez-les par finalité et identifiez ceux qui sont exemptés.
  3. Installez une bannière avec « Tout accepter » et « Tout refuser » au même niveau.
  4. Bloquez les traceurs soumis au consentement tant que l’internaute n’a pas accepté.
  5. Utilisez Google Consent Mode v2 si vous avez Google Ads ou Google Analytics.
  6. Publiez une politique de cookies à jour, avec la liste des sociétés qui déposent des traceurs.
  7. Conservez la preuve des consentements et proposez un lien de retrait sur toutes les pages.

Cookie Confirm couvre ces étapes : scan automatique chaque mois, blocage des scripts jusqu’au consentement, Consent Mode v2, politique de cookies générée et tenue à jour, journal des consentements conservé 12 mois. Pour 7,95 € par mois et par site, avec un service d’installation gratuit si vous préférez ne pas vous en occuper.

Sources

Questions fréquentes

Une bannière cookies est-elle obligatoire en France ?

Seulement si votre site utilise des traceurs soumis au consentement, comme des cookies publicitaires, des pixels de réseaux sociaux ou un outil de statistiques qui ne remplit pas les conditions d’exemption de la CNIL. Si vous n’utilisez que des traceurs exemptés (panier, authentification, choix de langue, mesure d’audience strictement configurée), aucune bannière n’est requise.

Puis-je fermer la bannière avec une croix pour refuser ?

La CNIL admet que le refus puisse résulter d’autres actions qu’un bouton, par exemple la fermeture de la fenêtre ou un lien « Continuer sans accepter », à condition que ce soit clairement indiqué à l’internaute. Dans ce cas, aucun traceur soumis au consentement ne doit être déposé.

Combien de temps dois-je conserver le choix d’un visiteur ?

La CNIL considère que conserver le choix, qu’il s’agisse d’un consentement ou d’un refus, pendant 6 mois constitue une bonne pratique. Ce n’est pas une durée fixée par la loi : elle s’apprécie au cas par cas. Vous ne devez en tout cas pas redemander le consentement à chaque page.

Les règles vont-elles changer avec le « Digital Omnibus » européen ?

La Commission européenne a proposé fin 2025 de modifier les règles sur les cookies dans le cadre du « Digital Omnibus ». Tant que ce texte n’est pas adopté et entré en application, l’article 82 de la loi Informatique et Libertés et la doctrine de la CNIL restent la référence.

Cookie Confirm respecte-t-il les règles de la CNIL ?

Cookie Confirm affiche « Tout accepter » et « Tout refuser » côte à côte, bloque les scripts tant que l’internaute n’a pas consenti, génère votre politique de cookies à partir d’un scan mensuel et conserve chaque consentement pendant 12 mois, exportable en cas de contrôle.

Ce guide est une information générale et non un conseil juridique. Nous le vérifions régulièrement, mais les lois et les recommandations évoluent. Un doute sur votre situation ? Consultez un juriste.

Continuer la lecture

Plus de guides

Tous les guides →

Les 7 premiers jours entièrement gratuits

Créez un compte gratuit et voyez si Cookie Confirm vous convient. En ligne en 5 minutes.

  • Aucune carte bancaire requise
  • Ensuite 7,95 € par mois
  • Installation plug-and-play
Démarrer mon essai gratuit

4,9/5 5 000+ sites