Bandeau cookies obligatoire : dans quels cas ?
Un bandeau cookies est obligatoire dès que votre site dépose ou lit un traceur soumis au consentement : pixel publicitaire, Google Analytics en configuration standard, bouton de partage d'un réseau social. Si votre site n'utilise que des traceurs techniques et une mesure d'audience exemptée, vous pouvez vous en passer. La taille de l'entreprise et le trafic ne changent rien : seul compte ce que vos pages chargent.
La règle vient de l'article 82 de la loi Informatique et Libertés. La CNIL en a précisé l'application dans ses lignes directrices et sa recommandation du 17 septembre 2020, dont une version consolidée a paru le 16 janvier 2026. Ce guide résume ce qu'elles demandent à un site de TPE, en séparant l'obligation de la bonne pratique.
Quels traceurs demandent un consentement ?
Le mot « cookie » est trop étroit : la règle vise tout ce qui lit ou écrit une information sur l'appareil du visiteur, pixels et stockage du navigateur compris. Pour chaque traceur, posez une question : sert-il au service que le visiteur demande, ou à autre chose ?
| Traceur | Consentement ? | Raison |
|---|---|---|
| Panier d'achat, connexion à un compte | Non | Nécessaire au service demandé |
| Mémorisation du choix sur les cookies | Non | Il sert à respecter ce choix |
| Langue préférée, équilibrage de charge | Non | Fonctionnement du site |
| Mesure d'audience configurée selon les conditions de la CNIL | Non, sous conditions | Statistiques anonymes pour votre seul compte |
| Google Analytics en configuration standard | Oui | Les données servent aussi à Google |
| Pixels Meta, Google Ads, LinkedIn | Oui | Publicité et reciblage |
| Boutons de partage des réseaux sociaux | Oui | Citée par la CNIL parmi les finalités soumises au consentement |
| Vidéo YouTube ou carte Google Maps chargée à l'ouverture de la page | Oui, si elle dépose des traceurs | Le service tiers agit avant tout clic du visiteur |
| Chat en ligne, prise de rendez-vous | À vérifier outil par outil | Tout dépend de ce que le service dépose |
Pour les traceurs exemptés, vous n'avez pas besoin de bandeau, mais la CNIL recommande de les signaler dans votre politique de confidentialité. Le cas de reCAPTCHA, qui piège beaucoup de formulaires, figure dans notre guide RGPD et formulaire de contact.
Vérifier en 10 minutes si votre site en a besoin
- Ouvrez votre site en navigation privée, sans cliquer sur rien.
- Affichez les outils de développement avec F12, puis l'onglet Application sur Chrome ou Stockage sur Firefox, rubrique Cookies.
- Notez chaque cookie et son domaine. Un domaine qui n'est pas le vôtre, comme doubleclick.net ou facebook.com, signale un service tiers.
- Passez à l'onglet Réseau et rechargez la page. Vous voyez tous les services appelés, y compris ceux qui ne déposent pas de cookie visible.
- Refaites le test sur les pages avec une vidéo, une carte ou un formulaire. La page contact cache souvent une carte Google Maps.
Si vous ne trouvez que des traceurs techniques et une mesure d'audience exemptée, vous n'avez pas besoin de bandeau. Si un pixel, une vidéo ou un autre service tiers dépose des traceurs, vous avez deux options : le supprimer ou recueillir le consentement.
Ce que la CNIL exige d'un bandeau cookies
Rien ne se déclenche avant le choix
Le visiteur doit consentir par un acte positif clair. Son silence vaut refus : s'il ignore le bandeau, aucun traceur soumis au consentement ne peut se déclencher. Les cases à cocher doivent être décochées par défaut, et la mention « en poursuivant votre navigation, vous acceptez » ne vaut plus consentement.
Refuser doit être aussi simple qu'accepter
La CNIL a déjà lourdement sanctionné ce point. Vous devez offrir le même degré de simplicité pour les deux choix, et la Commission recommande fortement de placer le refus sur le même écran. Un clic pour accepter contre plusieurs pour refuser ne passe pas.
La formule la plus sûre réunit deux boutons de même niveau et de même format, « Tout accepter » et « Tout refuser ». La CNIL admet aussi un lien « Continuer sans accepter ». Si la croix de fermeture vaut refus, écrivez-le dans le bandeau.
Aucun bouton mis en avant
La recommandation demande des boutons et une police de même taille, avec une mise en évidence identique. Un « Accepter » vert face à un « Refuser » gris clair fait partie des pratiques trompeuses que la CNIL déconseille. Elle a déjà adressé des mises en demeure à des éditeurs dont la bannière rendait le refus moins facile que l'acceptation.
Dire à quoi servent les traceurs et qui les utilise
Décrivez chaque finalité dans un intitulé court (« Publicité personnalisée », « Partage sur les réseaux sociaux »), suivi d'une phrase claire. La liste des sociétés qui utilisent des traceurs doit rester accessible et à jour, par exemple sur un second niveau d'information.
Permettre de changer d'avis
Retirer son consentement doit être aussi simple que le donner. Placez un lien « Gérer mes cookies » dans le pied de page, ou une petite icône visible sur toutes les pages. Votre site doit ensuite cesser d'utiliser les traceurs concernés.
Pouvoir prouver le consentement
Vous devez pouvoir démontrer à tout moment que le consentement a été valablement recueilli. La CNIL propose plusieurs moyens : captures d'écran horodatées de chaque version du bandeau, audits, conservation des réglages de l'outil par son éditeur.
Les durées à retenir
| Élément | Durée | Statut |
|---|---|---|
| Conservation du choix, accepté ou refusé | 6 mois | Bonne pratique, à apprécier selon le site et son audience |
| Traceur de mesure d'audience exempté | 13 mois, sans prolongation à chaque visite | Recommandation de la CNIL |
| Données collectées par ce traceur | 25 mois au plus | Recommandation de la CNIL |
Pendant ces 6 mois, n'affichez pas de nouveau le bandeau à un visiteur qui a refusé : le lui réclamer à chaque page peut porter atteinte à la liberté de son choix. La recommandation ne fixe pas de durée de vie chiffrée pour les autres cookies soumis au consentement.
Choisir l'outil qui affiche le bandeau
Ces outils s'appellent des plateformes de gestion du consentement, ou CMP. Tarteaucitron.js est gratuit et open source ; Axeptio, Didomi et Cookiebot proposent des services en ligne avec une interface de réglage. Votre CMS en intègre parfois un via une extension.
Avant d'adopter un outil, testez un point : après un clic sur « Tout refuser », relancez le contrôle de l'onglet Réseau. Si le pixel Meta ou Google Analytics se déclenche quand même, le bandeau ne sert à rien. Un outil mal branché affiche une fenêtre correcte pendant que les scripts tournent derrière.
Se passer de bandeau : la solution pour beaucoup de TPE
Un site vitrine sans campagne de reciblage peut fonctionner sans bandeau, à condition de remplacer les quelques services qui en imposent un :
- Statistiques : passez à un outil exempté. Notre article pour mesurer l'audience de son site sans cookies compare les solutions.
- Vidéo : affichez une image de la vidéo, et ne chargez le lecteur qu'au clic du visiteur.
- Carte : remplacez la carte intégrée par une image et un lien vers votre fiche Google Maps.
- Partage : utilisez de simples liens plutôt que les boutons fournis par les réseaux.
- Captcha : choisissez une solution sans traceur publicitaire.
Le site que vous lisez fonctionne ainsi : ni pixel, ni cookie d'audience, ni bandeau. Si vous diffusez des publicités avec reciblage sur Google Ads ou Meta, le bandeau reste nécessaire.
Les erreurs qui reviennent
- Le bandeau décoratif. La fenêtre s'affiche, mais les scripts partent dès l'ouverture de la page.
- Le bouton unique « OK ». Sans refus possible, le consentement ne vaut rien.
- Le refus caché derrière un lien « Paramétrer », deux écrans plus loin.
- L'extension oubliée. Vous ajoutez un module WordPress ou un widget, il dépose ses cookies, et personne ne met à jour le bandeau.
- La liste de cookies copiée d'un autre site, qui décrit des outils que vous n'utilisez pas.
- Le pixel installé pour une campagne et jamais retiré une fois celle-ci terminée.
Ce que vous risquez
La CNIL a infligé fin 2021 une amende de 150 millions d'euros à Google et de 60 millions à Facebook, parce que leurs sites rendaient le refus plus difficile que l'acceptation. Elle indique que ses sanctions dans ce domaine peuvent atteindre 2 % du chiffre d'affaires.
Une TPE court un risque plus modeste : une plainte d'un visiteur, suivie d'une mise en demeure. Au quotidien, un bandeau alourdit aussi la page, et chaque visiteur qui refuse disparaît de vos statistiques.
Sur les sites que nous livrons, de la landing page (à partir de 1 200 € HT) au site vitrine (à partir de 2 500 € HT), nous partons sans traceur soumis au consentement. Nous n'ajoutons un bandeau que si votre projet en a besoin, par exemple pour des campagnes publicitaires, et nous contrôlons alors qu'il bloque les scripts avant le choix.
Vous ne savez pas ce que votre site dépose chez vos visiteurs ? Écrivez-nous : nous faisons le contrôle avec vous et nous vous disons si vous pouvez retirer votre bandeau. Nos prix figurent sur la page tarifs.