Cookies de votre site : une décision de dirigeant RGPD.

Ouvrez votre site sur un téléphone, en navigation privée. La première chose qui s'affiche, avant même votre page d'accueil, c'est souvent un bandeau. « Nous utilisons des cookies. » Un bouton bien visible pour accepter, un lien plus discret pour le reste. Vous cliquez pour le faire disparaître, comme presque tout le monde, et vous passez à autre chose.

Ce bandeau, la plupart des dirigeants le rangent dans la catégorie des réglages techniques que le prestataire a posés une fois. Il est pourtant la partie visible d'une décision que personne d'autre que vous ne peut vraiment prendre : qu'est-ce que votre site collecte sur les gens qui le visitent, et pour le compte de qui.

Ce que le bandeau dit en votre nom

En France, le dépôt d'un traceur sur l'appareil d'un visiteur est encadré par l'article 82 de la loi Informatique et Libertés. Tout ce qui n'est pas strictement nécessaire au fonctionnement du site, mesure publicitaire, boutons de partage ou statistiques confiées à un tiers, exige le consentement préalable de la personne. Continuer à naviguer ne vaut pas accord.

La CNIL a ajouté une exigence que beaucoup de bandeaux ignorent encore : refuser doit être aussi simple qu'accepter. S'il existe un bouton « tout accepter », il doit exister à côté un bouton « tout refuser », au même niveau, en un seul geste. Un refus caché derrière trois écrans de paramètres pendant que l'acceptation tient en un clic est une pratique trompeuse.

Pourquoi c'est devenu un sujet d'argent

Longtemps, ces règles sont restées théoriques pour une petite structure. Depuis 2022, la CNIL dispose d'une procédure dite simplifiée : un seul membre statue, l'amende est plafonnée à 20 000 euros et la décision n'est pas rendue publique.

Dans un communiqué du 6 juillet 2026, la Commission indique avoir prononcé 23 sanctions de ce type depuis janvier 2026, dont 19 déclenchées par des plaintes, pour un montant cumulé de 133 750 euros. Les cookies figurent parmi les principaux motifs.

Le risque ne s'annonce pas, il se découvre le jour où une plainte arrive. Et une plainte, sur un bandeau mal fichu, n'importe quel visiteur agacé peut la déposer en quelques minutes depuis le site de la CNIL.

Le levier que presque personne n'actionne

Le bandeau n'existe pas pour lui-même. Il est là parce que votre site charge des traceurs qui ne lui sont pas nécessaires. Retirez la cause, et la contrainte s'en va avec elle.

La vraie question n'est donc pas « comment rendre mon bandeau conforme », mais « de quoi ai-je réellement besoin ». Beaucoup de sites vitrines traînent des traceurs dont le dirigeant ignore jusqu'à l'existence : un pixel publicitaire installé pour une campagne arrêtée, une carte interactive ou un lecteur vidéo. Chacun de ces éléments fait contacter une autre entreprise par le navigateur du visiteur, qui y laisse au passage son adresse IP. C'est un mécanisme décrit dans les ressources tierces qui transmettent l'adresse IP de vos visiteurs.

La CNIL admet que certains outils de mesure de fréquentation peuvent se passer de consentement, à condition de servir uniquement à mesurer l'audience du site pour le seul compte de l'éditeur, de produire des statistiques anonymes, sans recoupement, partage ni suivi inter-sites.

Un site qui mesure son audience proprement et n'embarque aucun traceur publicitaire peut, dans bien des cas, se passer de bandeau. La conformité la plus tranquille est celle qu'on n'a pas besoin d'afficher.

Trois questions à poser avant de déléguer

Vous n'avez pas à devenir juriste ni technicien. Vous avez à décider, et pour décider il suffit de poser trois questions.

• Qu'est-ce que mon site charge exactement, et pour le compte de qui ?
• Sur mon bandeau, refuser tient-il en un seul clic, au même niveau qu'accepter ?
• Ces traceurs me servent-ils vraiment à quelque chose, ou sont-ils là par défaut ?

Ce que cet article ne règle pas

Je décris un cadre, pas votre cas précis, et je ne suis pas juriste. L'exemption accordée à la mesure d'audience obéit à des conditions techniques à vérifier outil par outil. Les cookies ne sont qu'une couche de vos obligations, distincte du reste du RGPD et des mentions que votre site est tenu d'afficher.

Le fond tient en une phrase. Ce que votre site raconte de vos visiteurs à des entreprises que vous n'avez jamais choisies, c'est une décision, et elle vous revient. La reprendre en main commence par un inventaire, et un devis part toujours d'un relevé de ce genre.

Sources

• Bannières cookies trompeuses : la CNIL met en demeure des éditeurs de sites web, CNIL. Source primaire : refuser doit être aussi simple qu'accepter.
• La procédure de sanction simplifiée, CNIL. Source primaire : en vigueur depuis 2022, amende plafonnée à 20 000 euros et décision non rendue publique.
• 23 nouvelles sanctions simplifiées, CNIL, 6 juillet 2026. Source primaire : 23 sanctions depuis janvier 2026, dont 19 sur plainte, pour 133 750 euros.
• Cookies : solutions pour les outils de mesure d'audience, CNIL, 4 juillet 2025. Source primaire : conditions d'exemption de consentement.
• Mesurer la fréquentation de vos sites web et de vos applications, CNIL. Source primaire : droit d'opposition, troncature de l'IP et durée de vie limitée à treize mois.

Questions fréquentes

Un site vitrine doit-il afficher un bandeau cookies ?

Seulement s'il dépose des traceurs non essentiels à son fonctionnement, comme un pixel publicitaire ou des statistiques confiées à un tiers. Un site qui n'embarque aucun traceur de ce type, et dont la mesure d'audience reste dans le cadre d'exemption prévu par la CNIL, peut se passer de bandeau.

Que risque une petite entreprise dont le bandeau cookies n'est pas conforme ?

Depuis 2022, la CNIL peut sanctionner via une procédure simplifiée, avec une amende plafonnée à 20 000 euros et une décision non rendue publique. Dans son communiqué du 6 juillet 2026, elle fait état de 23 sanctions de ce type depuis janvier 2026, dont 19 sur plainte, les cookies figurant parmi les principaux motifs.

La mesure d'audience nécessite-t-elle toujours un consentement ?

Non. La CNIL admet une exemption à condition que l'outil serve uniquement à mesurer l'audience du site pour le seul compte de l'éditeur, produise des statistiques anonymes, ne recoupe pas les données ni ne les partage, et ne suive pas la personne d'un site à l'autre.