Mon site doit-il afficher un bandeau cookies ?

« J'ai un petit site vitrine pour mon entreprise de menuiserie, fait sous WordPress il y a trois ans. Il y a Google Analytics, une vidéo YouTube et des boutons Facebook. Un client m'a dit que sans bandeau cookies, je risquais une amende de la CNIL. Est-ce que je dois vraiment en mettre un, et comment le faire correctement ? »

La situation, telle qu'on la raconte à une IA

Que dit la loi, exactement ?

L'article 82 de la loi Informatique et Libertés, qui transpose la directive européenne dite « ePrivacy », impose d'informer le visiteur et d'obtenir son consentement avant de lire ou d'écrire une information sur son appareil¹. Seules exceptions : ce qui sert uniquement à transmettre la communication, et ce qui est strictement nécessaire au service qu'il a demandé.

La règle vise tous les traceurs, pas seulement les cookies : pixels invisibles, stockage local du navigateur, identifiants de l'appareil, « empreintes » calculées à partir de ses caractéristiques². Elle s'applique à tous les sites et à toutes les applications, quelle que soit la taille de l'entreprise ou de l'association. La CNIL l'a précisée dans des lignes directrices et une recommandation du 17 septembre 2020, applicables depuis fin mars 2021³, dont une version consolidée a été publiée le 16 janvier 2026⁴.

Quels cookies se passent de consentement ?

Selon la CNIL, l'accord n'est pas nécessaire pour les traceurs qui servent à⁵ :

• conserver le choix du visiteur sur les cookies ;
• l'authentifier, y compris pour sécuriser la connexion ;
• garder un panier d'achat ou permettre la facturation ;
• personnaliser l'interface (langue, présentation) quand cela fait partie du service attendu ;
• répartir la charge entre plusieurs serveurs ;
• limiter l'accès gratuit à un échantillon de contenus payants ;
• mesurer l'audience, à certaines conditions.

Un site vitrine sans publicité, sans statistiques tierces et sans contenu intégré d'un autre service n'utilise souvent que ces traceurs-là, voire aucun : il n'a alors pas à afficher de bandeau.

Quels outils obligent à demander l'accord ?

Un seul traceur soumis au consentement suffit à rendre le bandeau nécessaire. Les cas courants :

Le reCAPTCHA, qui sert pourtant à bloquer les robots, a valu en 2023 une sanction à une société de location de scooters : il permet aussi des « opérations d'analyse » de Google, ce qui le prive de l'exemption « sécurité »⁷.

Statistiques de visite : à quelles conditions sans bandeau ?

Un outil de mesure d'audience est dispensé de consentement s'il sert uniquement à mesurer l'audience du site, pour le seul compte de l'éditeur, et ne produit que des statistiques anonymes⁸. Il ne doit ni suivre une personne sur d'autres sites, ni croiser ses données avec d'autres fichiers, ni les transmettre à des tiers. Les offres qui réutilisent les données pour leur propre compte sortent de l'exemption, sauf si cette réutilisation peut être désactivée.

La CNIL recommande aussi une durée de vie des traceurs limitée, par exemple à treize mois sans prolongation à chaque visite, et une conservation des données de vingt-cinq mois au plus⁴. Demandez à votre fournisseur s'il propose une configuration conforme à cette exemption.

Si vous affichez un bandeau, que doit-il faire ?

1. Ne rien déposer avant le choix : aucun traceur soumis au consentement avant l'accord, et toute inaction vaut refus⁴.
2. Proposer le refus sur le même écran, par exemple deux boutons « Tout accepter » et « Tout refuser » de même format. Un simple bouton « Paramétrer » face à « Tout accepter » risque, selon la CNIL, de biaiser le choix⁴.
3. Dire à quoi servent les traceurs et qui les dépose, avec la liste des sociétés concernées accessible directement².
4. Permettre de choisir finalité par finalité : statistiques, publicité, réseaux sociaux².
5. Garder le choix : six mois, pour l'accord comme pour le refus, est une bonne pratique selon la CNIL⁴.
6. Permettre de changer d'avis aussi simplement, par exemple avec un lien « Gérer mes cookies » en bas de chaque page².
7. Pouvoir prouver le consentement : captures d'écran datées de chaque version du bandeau, configuration de l'outil conservée⁵.

Évitez aussi les présentations trompeuses, comme un « Accepter » très visible face à un refus discret⁴.

Comment vérifier ce que dépose votre site ?

1. Ouvrez votre site dans une fenêtre de navigation privée, sur ordinateur, sans toucher au bandeau.
2. Ouvrez les outils de développement (touche F12), onglet « Application » sous Chrome et Edge, « Stockage » sous Firefox.
3. Regardez les cookies et le stockage local : seuls des éléments strictement nécessaires devraient y figurer. L'onglet « Réseau » montre les services tiers appelés.
4. Cliquez sur « Tout refuser », rechargez la page et vérifiez qu'aucun nouveau traceur n'apparaît, y compris sur les pages avec vidéo, carte ou captcha.

Refaites ce test après chaque ajout d'extension ou de service : un traceur peut arriver avec eux.

Que risque un site qui se trompe ?

Pour les dossiers simples, la CNIL dispose d'une procédure de sanction simplifiée : jusqu'à 20 000 € d'amende pour une entreprise dont le chiffre d'affaires est inférieur à 50 millions d'euros, et une injonction avec astreinte⁹. Le 6 juillet 2026, elle annonçait 23 sanctions de ce type depuis janvier, pour 133 750 € au total, dont plusieurs pour des bandeaux incomplets, des cookies déposés avant toute action ou un refus moins simple que l'acceptation ; 19 des 23 partaient d'une plainte¹⁰.

Les gros dossiers suivent la procédure ordinaire : le 22 octobre 2026, la CNIL a infligé 7 millions d'euros d'amendes à deux sociétés du groupe Fnac Darty pour un traceur d'application mobile qui collectait l'historique de navigation sans consentement¹¹.

La réforme européenne va-t-elle supprimer les bandeaux ?

Pas à court terme. Le 19 novembre 2025, la Commission européenne a proposé, dans son « omnibus numérique », de faire apparaître les bandeaux moins souvent, de permettre de répondre en un clic et d'enregistrer ses préférences dans le navigateur¹². Les États membres ont arrêté leur position de négociation le 21 octobre 2026¹³, mais pas le Parlement européen, dont les commissions n'ont pas encore statué¹⁴. Le texte peut encore beaucoup changer : au 8 novembre 2026, ce sont l'article 82 et les règles de la CNIL qui s'appliquent.

Les limites : ce qui dépend de votre cas

Un même outil peut être exempté ou non selon sa configuration : seul un inventaire de votre site le dit. Un site qui vit de la publicité ou une plainte reçue justifient l'avis d'un avocat ou d'un délégué à la protection des données. Et le bandeau ne règle que les traceurs : vos formulaires et vos fichiers restent soumis au RGPD.

Et chez Prestalgo ?

L'audit RGPD de Prestalgo vérifie notamment ce que votre site dépose avant tout consentement et si le refus y est aussi simple que l'acceptation. Le rapport classe les écarts par priorité, avec la correction de chacun, et nous pouvons ensuite faire les corrections techniques, dont le bandeau cookies. L'audit commence à 500 € HT, à un prix fixé par écrit avant le début du travail : voir la page Tarifs.

Questions fréquentes

Alexandre Gougeon, fondateur de Prestalgo, développeur full stack depuis 2015. Prestalgo fait tourner et maintient les applications de SAUVLife, Youngs Job et Groume.