Le bandeau cookies : comment s'en passer légalement

Une part des sites vitrines n'a aucun besoin légal de bandeau. Les conditions exactes de l'exemption CNIL, les durées à respecter, et ce qui est réellement sanctionné.

Le bandeau cookies est devenu un réflexe : on ouvre un site, on installe une solution de consentement, on passe à autre chose. Pourtant, une part importante des sites vitrines n'en a aucun besoin légal, et l'installer par précaution dégrade la performance, l'accessibilité et le taux de conversion pour rien.

La règle est plus simple qu'elle n'en a l'air. Le consentement est exigé pour les traceurs qui ne sont pas strictement nécessaires au service. Certains traceurs de mesure d'audience échappent à cette exigence, à des conditions précises que la CNIL a publiées. Le vrai travail consiste à savoir de quel côté vous êtes.

Ce que la loi impose, et ce qu'elle n'impose pas

Trois exigences structurent un consentement valable.

Refuser doit être aussi simple qu'accepter. Un bouton « Tout accepter » sans bouton « Tout refuser » de niveau équivalent est le manquement le plus sanctionné. Il ne s'agit pas de symétrie graphique parfaite, mais de nombre de clics : si accepter coûte un clic et refuser trois, le consentement n'est pas libre.

Le consentement se donne par finalité. Publicité, personnalisation, mesure, réseaux sociaux : chaque finalité doit être compréhensible et acceptable séparément.

Le consentement doit pouvoir être prouvé. Cela suppose de conserver une trace horodatée du choix, et de pouvoir la produire.

En revanche, la loi n'impose nulle part un bandeau. Elle impose un consentement préalable pour certains traceurs. Un site qui ne dépose aucun traceur soumis à consentement n'a rien à demander, et n'a donc rien à afficher.

C'est mesurable, et c'est même l'une des causes les plus fréquentes d'un mauvais INP.

L'exemption de mesure d'audience, condition par condition

La CNIL admet que certains traceurs de mesure d'audience soient déposés sans consentement. Les conditions sont cumulatives, et elles sont exigeantes.

- La finalité est strictement limitée à la mesure d'audience du site ou de l'application : mesure de performance, ergonomie, analyse des contenus. - Les traceurs servent le compte exclusif de l'éditeur du site. - Les données produites sont des statistiques anonymes. - Aucun recoupement avec d'autres traitements, aucune transmission de données non anonymisées à des tiers. - Aucun suivi de la navigation d'une personne sur plusieurs sites ou applications au moyen d'un identifiant partagé.

S'y ajoutent deux durées, à respecter strictement : treize mois au maximum pour la durée de vie du traceur, sans renouvellement automatique à chaque visite, et vingt-cinq mois au maximum pour la conservation des données collectées. La CNIL demande en outre un réexamen périodique de la nécessité de ces durées.

Les conditions complètes figurent sur la page Cookies : solutions pour les outils de mesure d'audience de la CNIL.

Le point que presque tout le monde rate

La CNIL ne certifie aucun outil. Elle met à disposition un outil d'auto-évaluation destiné aux éditeurs de solutions, et précise qu'aucune solution ne peut se présenter comme « certifiée CNIL » ou « validée CNIL ». Ce que vous pouvez et devez faire, en tant qu'éditeur de site, c'est demander à votre fournisseur la documentation qui atteste que sa configuration respecte chacun des critères.

Cela élimine mécaniquement une famille entière d'outils : ceux qui transmettent les données à un tiers pour l'usage propre de ce tiers ne servent pas le compte exclusif de l'éditeur, et ne peuvent pas entrer dans l'exemption, quelle que soit l'option cochée dans leur interface.

Ce que la CNIL a réellement sanctionné

Le 1er septembre 2025, la CNIL a prononcé deux amendes qui disent bien où se situe le risque. 150 millions d'euros pour la filiale irlandaise du groupe SHEIN, pour des traceurs, notamment publicitaires, déposés dès l'arrivée sur le site, avant toute interaction avec le bandeau, et pour des interfaces de gestion incomplètes sur l'information relative à la finalité publicitaire. Et 325 millions d'euros à l'encontre de Google, pour des publicités insérées entre les courriels et des cookies déposés à la création de compte sans consentement valable.

Aucune de ces deux décisions ne porte sur l'absence de bandeau. Toutes deux portent sur des traceurs déposés avant le consentement, ou sur un consentement mal recueilli. C'est la même leçon dans les deux cas : un bandeau qui s'affiche pendant que les scripts se chargent déjà ne protège de rien.

Le bandeau n'est que la partie visible

Trois obligations accompagnent le consentement et sont beaucoup moins souvent tenues.

Le blocage effectif avant consentement. C'est le point technique décisif. Tant que le visiteur n'a rien choisi, aucun script soumis à consentement ne doit s'exécuter. Beaucoup de sites affichent un bandeau parfaitement rédigé pendant que les scripts concernés se sont déjà chargés dans l'en-tête de la page. Le bandeau est alors purement décoratif.

Une politique de confidentialité qui décrit la réalité. Elle doit nommer les traceurs effectivement déposés, leur finalité, leur durée et leur destinataire. Un modèle générique récupéré en ligne décrit un autre site que le vôtre. Comme pour l'accessibilité, c'est la réalité technique qui fait foi, pas le document.

Un moyen de revenir sur son choix. Le consentement se retire aussi facilement qu'il se donne, ce qui suppose un lien permanent accessible depuis toutes les pages, en général dans le pied de page.

Questions fréquentes

Un site vitrine sans publicité a-t-il besoin d'un bandeau ?

Rarement. S'il ne dépose que des traceurs strictement nécessaires et une mesure d'audience remplissant les conditions d'exemption, non. L'ajout d'une carte interactive, d'une vidéo intégrée ou d'un pixel publicitaire change la réponse.

Les vidéos et cartes intégrées comptent-elles ?

Oui, et c'est le cas de figure le plus fréquent. Un lecteur vidéo ou une carte chargée depuis un service tiers dépose ses propres traceurs dès l'affichage de la page. La parade habituelle consiste à ne charger le composant qu'après un clic explicite du visiteur.

Combien de temps garder le choix du visiteur ?

La CNIL recommande de ne pas resolliciter avant six mois. Redemander le consentement à chaque visite parce que le refus n'a pas été mémorisé est en soi un manquement.

Faut-il un bandeau si l'on n'a aucune mesure d'audience ?

Non, et c'est un choix défendable pour un site de quelques pages : pas de traceur, pas de bandeau, pas de script tiers. On perd la mesure, on gagne en vitesse et en simplicité juridique.

Ce que nous en faisons

Nous commençons par inventorier ce qu'un site dépose réellement, page par page, avant et après consentement. La liste est presque toujours plus longue que ce que le client imaginait, et une bonne partie de ce qu'elle contient ne sert à personne.

Ensuite seulement vient la question de l'outil. Un site qui n'a besoin de rien n'affiche rien : c'est plus rapide, plus lisible, et plus solide juridiquement qu'un bandeau mal configuré. Si vous ne savez pas ce que dépose votre site, demandez-nous l'inventaire.