Introduction
Presque tous les sites web déposent des traceurs, et les cookies figurent depuis 2020 parmi les priorités de contrôle de la CNIL. Les sanctions prononcées sur ce seul sujet se comptent en dizaines de millions d'euros pour les grands acteurs, et les mises en demeure touchent aussi des sites plus modestes. Comprendre la réglementation cookies et consentement est donc indispensable pour toute entreprise présente en ligne.
Ce guide vous explique les obligations légales précises, les sanctions encourues, les bonnes pratiques pour implémenter un système de consentement conforme, et les autres obligations RGPD qu'un site web doit respecter au-delà des cookies.
Qu'est-ce que les cookies et pourquoi le consentement est-il obligatoire ?
Définition juridique des cookies
L'article 82 de la loi Informatique et Libertés, qui transpose la directive ePrivacy, encadre toute opération de lecture ou d'écriture d'informations dans le terminal d'un utilisateur. La CNIL parle de « traceurs » : la règle ne vise pas que les cookies, elle englobe :
- Cookies HTTP traditionnels
- Local storage et session storage
- Pixels de tracking
- Fingerprinting
- Balises web (web beacons)
Fondement légal du consentement
Le consentement pour les cookies repose sur deux textes complémentaires :
- Directive ePrivacy (2002/58/CE, modifiée en 2009) : impose le consentement préalable
- RGPD (2016/679) : définit les critères de validité du consentement
Le consentement doit être libre, spécifique, éclairé et univoque selon l'article 4 du RGPD, dans les conditions fixées par son article 7.
Exceptions au consentement
Certains cookies sont exemptés de consentement selon les lignes directrices et la recommandation de la CNIL de 2020 :
- Cookies techniques strictement nécessaires : authentification, sécurité, panier d'achat
- Cookies de préférence utilisateur : choix de langue, paramètres d'accessibilité
- Cookies de mesure d'audience sous conditions strictes : données anonymisées, pas de recoupement, finalité limitée
Classification des cookies : obligations par catégorie
Cookies strictement nécessaires
Aucun consentement requis pour :
- Session ID et authentification
- Cookies de sécurité (protection CSRF)
- Cookies de load balancing
- Panier d'achat e-commerce
Durée : limitée à ce qu'exige le service (souvent la seule session).
Cookies de performance et analytics
Consentement obligatoire sauf si :
- Configuration anonyme stricte (IP anonymisée)
- Pas de recoupement avec d'autres données
- Durée de vie des traceurs limitée à 13 mois, données conservées 25 mois au maximum
- Finalité limitée à l'amélioration du service
Un outil configuré selon ces critères (Matomo est l'exemple le plus courant) évite la bannière pour la seule mesure d'audience. Google Analytics 4, en revanche, ne peut pas bénéficier de l'exemption : Google réutilise les données pour son propre compte, le consentement est donc requis. La question des transferts vers les États-Unis, qui avait valu des mises en demeure à plusieurs sites en 2022, est encadrée depuis juillet 2023 par le Data Privacy Framework, dont la solidité juridique reste débattue.
Cookies publicitaires et de tracking
Consentement obligatoire systématiquement :
- Réseaux publicitaires (Google Ads, Facebook Pixel)
- Cookies de remarketing
- Profilage comportemental
- Partage avec tiers à des fins commerciales
Durée : proportionnée à la finalité. La CNIL considère comme une bonne pratique de conserver le choix de l'utilisateur (acceptation comme refus) pendant six mois avant de le lui redemander.
Obligations légales précises en 2026
Recueil du consentement conforme
Le consentement doit respecter 6 critères cumulatifs :
- Libre : pas de contrainte, chantage ou influence indue
- Spécifique : granularité par finalité et par fournisseur
- Éclairé : information complète et accessible
- Univoque : action positive claire (opt-in)
- Révocable : facilité équivalente pour retirer le consentement
- Démontrable : traçabilité et conservation des preuves
Information obligatoire à fournir
Avant le dépôt de cookies, vous devez informer sur :
- Identité du responsable de traitement
- Finalités précises de chaque catégorie de cookies
- Durée de conservation ou critères de détermination
- Destinataires des données collectées
- Existence de transferts hors UE et garanties
- Droits de la personne et modalités d'exercice
- Contact du délégué à la protection des données si applicable
Gestion du refus et du retrait
Le refus doit être :
- Aussi simple que l'acceptation (même nombre de clics)
- Respecté immédiatement sans rechargement nécessaire
- Conservé pour éviter les sollicitations répétées
- Granulaire : possibilité de refuser par catégorie
Sanctions et risques juridiques
Sanctions CNIL en 2026
La CNIL dispose de plusieurs leviers :
- Amende administrative : proportionnée au chiffre d'affaires, avec des plafonds qui atteignent 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial pour les manquements les plus graves
- Injonction de mise en conformité : sous astreinte jusqu'à 100 000€/jour
- Suspension temporaire des traitements non conformes
- Publication de la sanction (naming and shaming)
Sanctions marquantes
Quelques décisions de la CNIL sur les cookies :
- Google et Amazon (décembre 2020) : 100 et 35 millions d'euros pour des cookies publicitaires déposés sans consentement préalable
- Google (décembre 2021) : 150 millions d'euros, parce qu'il était plus difficile de refuser les cookies que de les accepter sur google.fr et youtube.com
- Facebook (décembre 2021) : 60 millions d'euros, pour le même motif
- Criteo (juin 2023) : 40 millions d'euros, notamment pour ne pas avoir vérifié que les internautes avaient consenti à ses traceurs publicitaires
Responsabilité solidaire
Attention : en cas d'utilisation de solutions tierces (Google Analytics, pixels publicitaires), vous restez responsable de la conformité même si l'outil est fourni par un tiers.
Mise en œuvre technique conforme
Architecture technique recommandée
Pour une conformité optimale, implémentez :
- Cookie banner granulaire : choix par catégorie
- Pas de cookie wall sans alternative équitable : le Conseil d'État a refusé en 2020 son interdiction de principe, mais la CNIL l'apprécie au cas par cas
- Gestion dynamique : blocage effectif avant consentement
- Centre de préférences : modification facile des choix
- Logs de consentement : horodatage, IP, choix détaillés
Solutions techniques conformes
Solutions courantes (la CNIL ne certifie aucune CMP : la conformité dépend de la configuration) :
- OneTrust : gestion complète enterprise
- Cookiebot : solution répandue chez les PME
- Axeptio : solution française RGPD-native
- Développement sur-mesure : contrôle total et personnalisation
Sur les sites que nous développons, le blocage des scripts avant consentement est traité dès la conception, avec une CMP du marché ou une gestion sur mesure selon le besoin.
Code d'implémentation type
Pour le développement technique, voici les principes essentiels :
// Blocage préventif avant consentement
function blockTrackingScripts() {
// Empêcher le chargement de scripts tiers
// jusqu'à obtention du consentement
}
// Gestion granulaire du consentement
function handleConsent(categories) {
categories.forEach(category => {
if (category.accepted) {
loadCategoryScripts(category.name);
}
});
}
Bonnes pratiques pour la conformité
Stratégie Privacy by Design
Intégrez la protection des données dès la conception :
- Minimisation : collectez uniquement les données nécessaires
- Pseudonymisation : évitez les identifiants directs
- Chiffrement : protégez les données stockées
- Durée limitée : purge automatique selon les durées légales
Audit de conformité régulier
Planifiez des audits trimestriels portant sur :
- Inventaire exhaustif des cookies actifs
- Vérification des durées de conservation
- Test du processus de consentement
- Contrôle des transferts de données
- Validation des mentions d'information
Documentation et traçabilité
Constituez un dossier de conformité comprenant :
- Registre des traitements mis à jour
- Analyse d'impact (AIPD) si nécessaire
- Contrats de sous-traitance avec les fournisseurs
- Procédures de gestion des droits
- Logs techniques de consentement
Évolutions réglementaires 2026
Digital Services Act (DSA)
Le DSA, applicable depuis février 2024, renforce les obligations pour les plateformes en ligne :
- Transparence accrue sur les systèmes de recommandation
- Audit externe obligatoire pour les très grandes plateformes
- Mécanismes de signalement renforcés
Après l'abandon du règlement ePrivacy
Le projet de règlement ePrivacy, en discussion depuis 2017, a été abandonné par la Commission européenne en 2025. La réforme des règles cookies est désormais discutée dans le cadre de l'« omnibus numérique », avec des pistes comme l'expression du consentement via les paramètres du navigateur et des exemptions élargies. Tant qu'aucun texte n'est adopté, l'article 82 et les lignes directrices de la CNIL s'appliquent.
Jurisprudence en évolution
Tendances de fond :
- Durcissement sur les dark patterns (manipulation du consentement)
- Responsabilisation accrue des éditeurs de sites
- Sanctions exemplaires pour les récidivistes
Au-delà des cookies : les autres obligations RGPD d'un site web
La bannière cookies n'est qu'une partie de la conformité d'un site. Cinq autres points reviennent à chaque audit.
- Formulaires : ne demandez que les champs utiles à la finalité (principe de minimisation). Répondre à une demande de contact ne nécessite pas de case de consentement, mais l'accord pour recevoir de la prospection doit rester une case facultative, non pré-cochée et distincte.
- Politique de confidentialité : elle détaille, pour chaque traitement, la finalité, la base légale, les destinataires, la durée de conservation, les transferts hors UE et la manière d'exercer ses droits (articles 13 et 14 du RGPD).
- Mentions légales : distinctes de la politique de confidentialité, elles sont imposées par la LCEN (identité de l'éditeur, directeur de la publication, hébergeur).
- Sous-traitants : hébergeur, outil d'emailing, chat ou CRM traitent des données pour votre compte. Un contrat conforme à l'article 28 du RGPD doit exister avec chacun ; chez les grands éditeurs, il prend la forme d'un DPA à accepter dans la console.
- Droits des personnes : une demande d'accès, de rectification ou d'effacement appelle une réponse sous un mois, prolongeable de deux mois pour les demandes complexes. Certaines données restent conservées malgré une demande d'effacement, comme les factures, soumises à une obligation comptable de dix ans.
Recommandations pratiques par secteur
Sites e-commerce
Priorisez :
- Cookies panier exemptés de consentement
- Analytics anonymisés pour l'UX
- Remarketing conditionné au consentement marketing
- Pixels de conversion avec consentement granulaire
Sites institutionnels
Focus sur :
- Mesure d'audience anonyme
- Cookies de préférence utilisateur (accessibilité)
- Absence totale de tracking publicitaire
- Documentation exemplaire
Applications SaaS B2B
Attention particulière à :
- Cookies de session sécurisés
- Analytics produit avec base légale appropriée
- Consentement des utilisateurs finaux si applicable
- Transferts internationaux encadrés
Conclusion
La conformité cookies et consentement en 2026 exige une approche rigoureuse combinant expertise juridique et implémentation technique solide. Les entreprises qui négligent ces obligations s'exposent à des sanctions financières majeures et à une perte de confiance client.
Les points clés à retenir :
- Consentement granulaire obligatoire pour tous cookies non essentiels
- Documentation et traçabilité indispensables pour démontrer la conformité
- Veille juridique continue face à l'évolution rapide de la réglementation
- Implémentation technique rigoureuse pour respecter les choix utilisateur
- Audit régulier pour maintenir la conformité dans le temps
Chez Aetherio, nous intégrons ces contraintes dès la conception des sites et applications que nous développons, pour respecter le cadre légal sans dégrader l'expérience utilisateur.
⚖️ Important : Ce guide fournit une information générale sur la réglementation. Pour des cas complexes ou des enjeux juridiques spécifiques, consultez un avocat spécialisé en droit du numérique.
Lectures complémentaires :