Beaucoup de sites pensent avoir réglé la question cookies parce qu’un bandeau demande d’accepter, mais la réglementation française va plus loin en imposant un consentement réel, granulaire et révocable avant tout dépôt de traceur, une exigence confirmée par les lignes directrices de la CNIL ajustées en 2020. Le simple affichage d’un bouton ne suffit pas. Les mises en demeure tombent sur des détails souvent négligés, notamment le refus simple et la preuve du consentement.
Une obligation légale qui ne date pas d’hier
L’article 82 de la loi Informatique et Libertés transpose en droit français l’article 5.3 de la directive 2002/58/CE et pose une règle simple : nul ne peut écrire ou lire des traceurs sur le terminal d’un internaute sans son consentement préalable, sauf exception comme les cookies strictement nécessaires. Beaucoup confondent ce texte avec le RGPD, mais ces régimes se complètent. Le RGPD a renforcé depuis 2018 les conditions de validité du consentement : libre, spécifique, éclairé et univoque.
Le RGPD et l’article 82 se complètent d’une manière que peu de sites comprennent vraiment : l’un fixe les conditions générales du consentement, l’autre encadre précisément l’accès au terminal, deux logiques distinctes mais articulées. Une personne qui valide l’option d’acceptation globale sans avoir été informée des finalités ne donne pas un consentement éclairé. De même, une case pré-cochée invalide le recueil. La CNIL n’invente rien sur ce point. Elle applique des textes existants depuis plusieurs années.
Ce que la CNIL a ajusté en 2020
En 2019, la CNIL a adopté des lignes directrices. Après une décision du Conseil d’État en juin 2020, elle a retravaillé sa copie. Elle a ajusté son référentiel en septembre 2020, puis adopté des lignes directrices modificatives et une recommandation encadrant le recueil du consentement, la granularité des choix et la conservation des preuves. Le site avocat-cybersecurite.fr propose un décryptage de ces textes.
Concrètement, cela signifie que la simple mention « en poursuivant votre navigation, vous acceptez » est insuffisante. Il faut une action positive, un clic ou un geste, qui manifeste la volonté de valider un choix précis, libre de toute pression, comme le souligne la recommandation du 29 septembre. Beaucoup de sites gardent encore cette formule héritée d’une époque plus permissive. Depuis 2020, le curseur a bougé, et les contrôles exigent des bandeaux clairs et des choix révocables à tout moment.
Les défaillances que les contrôles relèvent souvent
Quand on observe des bandeaux cookies sur des sites français, on retrouve des erreurs récurrentes qui portent moins sur l’absence de bandeau que sur la manière dont le consentement est demandé, ce qui ressort clairement des procédures publiées par la CNIL. Voici les principaux manquements.
- Un refus simple, accessible dès l’affichage initial, sans passer par un lien discret vers des réglages.
- Des traceurs publicitaires ou statistiques qui se chargent avant le moindre clic de l’internaute.
- Un bouton « tout refuser » qui disparaît sur mobile alors qu’il figure sur ordinateur.
- Une preuve horodatée qui rattache chaque consentement à une configuration précise.
- Un bandeau qui ne mentionne pas la liste exacte des partenaires publicitaires.
Ces défaillances ne sont pas théoriques : elles apparaissent dans des décisions que la CNIL publie régulièrement, souvent avec des détails précis. Chacune se corrige avec un travail de paramétrage. Les équipes techniques comme les responsables éditoriaux ont leur part à jouer, car une simple modification du code peut suffire à bloquer des traceurs avant le consentement. Le plus souvent, il s’agit de reprendre la logique du recueil.
Le refus doit être aussi simple que l’acceptation
La CNIL attend un refus aussi accessible que l’acceptation, sans manœuvre dilatoire, car un déséquilibre fausse la liberté du consentement. Un bouton coloré d’acceptation globale et un lien discret pour tout refuser ne passe plus. Sur mobile comme sur ordinateur, le refus doit apparaître au même niveau, avec une visibilité comparable. Corriger ce point est rapide et réduit le risque de sanction. Ce point est pourtant rarement pris au sérieux.
La symétrie entre accepter et refuser n’est pas qu’esthétique. Quand le bouton de refus est gris, plus petit, ou relégué derrière un lien « paramétrer » sur toute taille d’écran, la CNIL considère que le consentement n’est pas libre, car l’utilisateur pressé finit par accepter par commodité. Cette fatigue du clic invalide en pratique ce qu’il a validé. Corriger ce point demande peu de développement, mais produit un effet immédiat sur la conformité.
La preuve du consentement, le vrai angle mort
Récolter un clic d’acceptation globale ne sert à rien sans pouvoir démontrer qui a consenti, quand, et à quelle version précise du bandeau. La CNIL exige des preuves horodatées, rattachées à chaque configuration. Il faut conserver un registre des choix exprimés, date et heure, bandeau affiché, et liste des traceurs activés. Cela suppose une coordination entre service juridique, développeurs et solution de recueil du consentement.
Certains prestataires vendent une conformité automatique, mais la démonstration reste à la charge du responsable du site. Vous devez pouvoir fournir, à la demande de la CNIL, le détail d’un consentement donné il y a plusieurs mois. Cette exigence découle du principe de responsabilité du RGPD. Un paramétrage par défaut laisse souvent des traceurs se charger trop tôt ou sans preuve exploitable.
La conformité ne tient pas dans un bandeau
Voir la conformité cookies comme un bandeau, c’est se tromper sur ce que la CNIL vérifie. Refus, chronologie du chargement des traceurs, solidité des preuves : ces trois points déterminent l’issue d’un contrôle. Une simple négligence sur l’un d’eux peut entraîner une mise en demeure. Corriger ces aspects réduit nettement le risque de sanction. La difficulté vient de la rigueur à documenter ce que l’on recueille. Votre site charge-t-il des traceurs avant le moindre clic ?
