Le bandeau cookies est-il obligatoire sur tous les sites ?

Non. Il l'est seulement si le site dépose des traceurs soumis à consentement. Un site vitrine sans publicité, avec une mesure d'audience exemptée ou aucune, peut légitimement ne pas avoir de bandeau. C'est même la solution la plus propre quand elle est possible.

Combien de temps conserver le choix de l'internaute ?

La CNIL recommande de ne pas resolliciter avant un délai de plusieurs mois, l'usage s'étant établi autour de six mois pour le refus et jusqu'à treize mois pour le consentement. L'essentiel : le même respect pour le refus que pour l'acceptation.

Un site sans bandeau mais sans cookies est-il conforme ?

S'il ne dépose réellement aucun traceur soumis à consentement, oui. Encore faut-il le vérifier : les polices, vidéos et boutons de partage chargés depuis des services tiers déposent souvent des traceurs à l'insu de l'éditeur du site.

Cookies : ce que la CNIL attend vraiment de votre site

Publié le 7 février 2020 · Mis à jour le 20 août 2026

Un cookie non essentiel ne peut être déposé qu'après un consentement libre, éclairé et univoque : refuser doit être aussi simple qu'accepter, rien ne se dépose avant le choix, et ce choix se prouve. La CNIL contrôle désormais les bandeaux de façon automatisée et sanctionne en procédure simplifiée : la taille du site ne protège plus.

Cet article a été publié une première fois en 2020. Presque tout ce qui entoure les cookies a changé depuis : les règles se sont précisées, les contrôles se sont industrialisés, et les sanctions ont changé d’échelle. Voici l’état réel du sujet, réécrit de fond en comble.

Les quatre règles qui résument tout

Rien avant le choix. Aucun traceur non essentiel ne se dépose tant que l’internaute n’a pas exprimé sa décision. Un bandeau qui informe pendant que les cookies partent déjà est une non-conformité, pas une maladresse.

Refuser aussi facilement qu’accepter. Si « Tout accepter » est un bouton et « Refuser » un lien pâle caché derrière trois clics, le consentement recueilli ne vaut rien. Le bouton de refus au même niveau que celui d’acceptation est la position constante de la CNIL depuis 2021, et c’est le manquement le plus sanctionné.

Pouvoir revenir sur son choix. Le retrait du consentement doit rester accessible à tout moment, en pratique par une icône ou un lien permanent. Et le choix, dans un sens comme dans l’autre, se conserve un temps raisonnable : redemander à chaque page pour user le refus est une pratique déloyale.

Prouver. Le responsable du site doit pouvoir démontrer qui a consenti, quand, et ce qui lui a été présenté. C’est votre outil de gestion du consentement qui tient ce registre ; encore faut-il l’avoir configuré pour.

Ce qui n’a pas besoin de consentement

Tout n’est pas soumis au bandeau. Les cookies strictement nécessaires au service demandé, panier d’achat, authentification, équilibrage de charge, en sont dispensés. La mesure d’audience peut l’être aussi, à des conditions strictes : finalité limitée à la production de statistiques anonymes pour le seul éditeur, pas de recoupement avec d’autres traitements, pas de suivi entre sites. Certains outils configurés correctement entrent dans cette exemption ; les solutions publicitaires n’y entrent jamais, quel que soit le paramétrage.

C’est le premier arbitrage utile pour un site de PME : si votre seul besoin est de savoir combien de personnes lisent vos pages, une mesure d’audience exemptée supprime le problème du consentement au lieu de le gérer.

Ce que la CNIL contrôle, et comment

Le contrôle en ligne est devenu la norme sur ce sujet : les agents constatent depuis leurs bureaux ce que votre site dépose, avant et après le choix, et la CNIL s’appuie sur des contrôles automatisés des bandeaux.

Côté sanctions, deux étages coexistent. Les géants d’abord, pour des montants records : plusieurs centaines de millions d’euros infligés en 2025 à des acteurs majeurs pour des cookies déposés sans consentement valable. Mais surtout, pour tout le monde : la procédure simplifiée, jusqu’à 20 000 euros, qui permet de sanctionner en série des sites ordinaires, TPE et PME comprises. Le raisonnement « nous sommes trop petits pour intéresser la CNIL » ne décrit plus la réalité des contrôles.

Les erreurs que nous voyons le plus en audit

Toujours les mêmes, et toutes se corrigent en quelques heures. Le bandeau qui bloque l’accès tant qu’on n’a pas accepté, sans alternative réelle. Les traceurs qui partent avant le choix parce qu’un script a été collé hors de l’outil de consentement. Le pixel des réseaux sociaux oublié dans une page de campagne. La liste des finalités qui ne correspond pas aux cookies effectivement déposés. Et le site qui affiche un bandeau parfait mais ne conserve aucune preuve des choix.

Un audit de site commence toujours par là : constater ce qui se dépose réellement, dans les mêmes conditions qu’un contrôle en ligne de la CNIL, puis comparer au bandeau. L’écart entre les deux est la mesure exacte de votre risque.

Questions fréquentes

Le bandeau cookies est-il obligatoire sur tous les sites ?: Non. Il l'est seulement si le site dépose des traceurs soumis à consentement. Un site vitrine sans publicité, avec une mesure d'audience exemptée ou aucune, peut légitimement ne pas avoir de bandeau. C'est même la solution la plus propre quand elle est possible.
Combien de temps conserver le choix de l'internaute ?: La CNIL recommande de ne pas resolliciter avant un délai de plusieurs mois, l'usage s'étant établi autour de six mois pour le refus et jusqu'à treize mois pour le consentement. L'essentiel : le même respect pour le refus que pour l'acceptation.
Un site sans bandeau mais sans cookies est-il conforme ?: S'il ne dépose réellement aucun traceur soumis à consentement, oui. Encore faut-il le vérifier : les polices, vidéos et boutons de partage chargés depuis des services tiers déposent souvent des traceurs à l'insu de l'éditeur du site.