Bandeau cookies conforme à la CNIL : règles, exemples et erreurs fréquentes
Le bandeau cookies est l’élément RGPD le plus visible d’un site et l’un des plus sanctionnés. La règle tient en une phrase : aucun traceur non nécessaire ne doit être déposé sans un consentement libre, éclairé et préalable, et refuser doit être aussi simple qu’accepter. Ce guide détaille ce que cela implique concrètement.
Le cadre : RGPD, loi Informatique et Libertés et CNIL
Les cookies relèvent de l’article 82 de la loi Informatique et Libertés, qui transpose la directive « ePrivacy ». Le RGPD fixe, lui, la définition du consentement. La CNIL a précisé l’ensemble dans ses lignes directrices et sa recommandation sur les cookies et autres traceurs, qui servent de référence lors de ses contrôles. Le sujet est aussi traité dans notre page cookies et traceurs.
Le terme « cookies » couvre en pratique tous les traceurs : cookies HTTP, stockage local du navigateur, pixels, identifiants publicitaires, empreinte du terminal (fingerprinting).
Quand le bandeau est obligatoire
Le consentement n’est pas exigé pour les traceurs strictement nécessaires au service demandé par l’utilisateur ou à la transmission de la communication. Sont généralement exemptés :
- le panier d’achat et l’authentification ;
- la mémorisation du choix exprimé sur les cookies ;
- la sécurité et la répartition de charge ;
- certaines mesures d’audience strictement limitées (statistiques anonymes, sans recoupement ni transmission à des fins propres de l’éditeur de l’outil).
Tout le reste exige un consentement préalable : régies publicitaires, pixels Meta ou LinkedIn, Google Analytics dans sa configuration standard (voir notre guide Google Analytics et RGPD), boutons de partage qui déposent des traceurs, vidéos YouTube intégrées en mode standard, etc.
Ce que doit contenir un bandeau conforme
Au premier niveau
- une information claire sur les finalités (mesure d’audience, publicité, contenus tiers…) ;
- un bouton pour accepter et un moyen aussi simple de refuser ;
- un accès à un choix plus fin, finalité par finalité ;
- un lien vers la liste des destinataires, c’est-à-dire les sociétés tierces qui déposent des traceurs.
Au second niveau
- des cases ou interrupteurs par finalité, désactivés par défaut ;
- la durée de conservation des traceurs et du choix ;
- un lien vers la politique cookies.
Après le choix
Le visiteur doit pouvoir revenir sur sa décision à tout moment, par exemple via un lien « Gérer les cookies » en pied de page ou une icône persistante. Retirer son consentement doit être aussi facile que de l’avoir donné.
Les erreurs les plus fréquentes
- Traceurs déposés avant le choix. Le bandeau s’affiche, mais les scripts publicitaires ou d’audience sont déjà chargés. C’est le défaut le plus courant, et il est vérifiable en quelques secondes avec les outils du navigateur.
- Refus caché. « Tout accepter » en bouton coloré, refus relégué dans un second écran ou un lien discret. Cette asymétrie a été sanctionnée à plusieurs reprises.
- Refus non respecté. Le visiteur refuse, mais des traceurs continuent d’être déposés ou lus.
- Information incomplète. Finalités vagues (« améliorer votre expérience »), destinataires non identifiés.
- Cases pré-cochées au second niveau.
- Bandeau qui ne propose pas de retour : aucun moyen de modifier son choix une fois le bandeau fermé.
Vérifier son bandeau en cinq minutes
- Ouvrez le site dans une fenêtre de navigation privée.
- Avant de cliquer, ouvrez les outils de développement (F12), onglet « Application » ou « Stockage », puis « Cookies » : seuls des cookies techniques devraient apparaître.
- Onglet « Réseau » : aucune requête vers des domaines publicitaires ou d’audience non exemptée ne devrait partir.
- Cliquez sur « Tout refuser », rechargez la page et refaites la vérification.
- Cherchez le lien permettant de modifier son choix en bas de page.
Si l’un de ces points échoue, la correction relève généralement de la configuration de l’outil de gestion du consentement (CMP) ou du gestionnaire de balises. Un audit du site permet d’établir la liste exacte des traceurs et de vérifier le comportement réel après refus. Pour corriger, voir la mise en conformité du site.
Questions fréquentes
Le bandeau cookies est-il obligatoire ?
Il est obligatoire dès que le site dépose ou lit des traceurs qui ne sont pas strictement nécessaires : publicité, réseaux sociaux, mesure d’audience non exemptée, vidéos ou cartes tierces qui déposent des cookies. Un site qui n’utilise que des traceurs exemptés n’a pas besoin de bandeau, mais doit tout de même informer les visiteurs.
Peut-on se contenter d’un bouton « Accepter » et d’un lien « Paramétrer » ?
Non. La CNIL attend que refuser soit aussi simple qu’accepter. Si le bandeau propose « Tout accepter » au premier niveau, il doit proposer un moyen équivalent de tout refuser au même niveau, par exemple un bouton « Tout refuser » ou « Continuer sans accepter ».
Combien de temps conserver le choix du visiteur ?
La CNIL recommande de conserver le choix, qu’il s’agisse d’un accord ou d’un refus, pendant une durée raisonnable, en indiquant une durée de l’ordre de six mois comme bonne pratique avant de reposer la question. Les traceurs eux-mêmes ne devraient pas dépasser 13 mois.
Continuer à naviguer vaut-il consentement ?
Non. Depuis le RGPD, la poursuite de la navigation, le défilement de la page ou la fermeture du bandeau ne valent pas consentement. Le consentement doit résulter d’un acte positif clair.
Faire vérifier votre site
Un audit du site public relève les écarts visibles (cookies, formulaires, pages juridiques, outils tiers, sécurité apparente) et les classe par priorité, avec les corrections à appliquer.