Bandeau cookies CNIL 2026 : le guide pour s'en passer

En septembre 2025, la CNIL a infligé 325 millions d'euros d'amende à Google et 150 millions à Shein — dans les deux cas pour des cookies déposés sans consentement valable. Au total : 487 millions d'euros de sanctions sur l'année, un record, dont l'essentiel tient à la gestion des cookies. Vous n'êtes ni Google ni Shein, mais la règle est exactement la même pour le site d'un artisan ou d'une PME. Et la CNIL dispose depuis 2022 d'une procédure simplifiée, pensée précisément pour sanctionner rapidement les manquements courants des structures plus modestes (amendes jusqu'à 20 000 €). La bonne nouvelle : se mettre en règle est à la portée de tout le monde — et dans bien des cas, la solution la plus propre consiste à ne pas avoir de bandeau du tout.

Cet article est informatif : il ne constitue pas un conseil juridique. Règles constatées à la mi-2026 — les textes de référence à jour sont sur cnil.fr.

Ce que la loi impose réellement

Le cadre repose sur deux textes : l'article 82 de la loi Informatique et Libertés (transposition de la directive ePrivacy) et le RGPD pour la définition du consentement. Le principe tient en une phrase : aucun traceur non strictement nécessaire ne doit se déposer avant que le visiteur ait dit oui.

Ce consentement doit être libre, spécifique, éclairé et donné par une action positive — pas de case pré-cochée, et continuer à faire défiler la page ne vaut pas accord. Vous devez aussi pouvoir en apporter la preuve. Côté durées, la CNIL recommande de conserver le choix du visiteur (acceptation ou refus) environ 6 mois avant de le solliciter à nouveau, et de limiter la durée de vie des traceurs à 13 mois.

Quels cookies demandent un consentement ?

Tout ne passe pas par le bandeau. Le critère n'est pas technique mais fonctionnel : à quoi sert le traceur ?

Première étape avant tout choix d'outil : l'inventaire. Ouvrez les outils de développement de votre navigateur (onglet « Application » puis « Cookies » dans Chrome) en navigation privée, et regardez ce que votre site dépose réellement avant tout clic. Le résultat surprend souvent — surtout sur WordPress, où chaque extension peut embarquer ses propres traceurs.

Que doit contenir un bandeau cookies conforme ?

Si votre site utilise des traceurs soumis à consentement, le bandeau cookies doit respecter cinq règles, toutes issues des lignes directrices de la CNIL :

1. Refuser doit être aussi simple qu'accepter : un bouton « Tout refuser » ou « Continuer sans accepter » au même niveau que « Tout accepter ». C'est le manquement qui a valu leurs amendes à Google et Facebook dès 2021.
2. Les finalités doivent être précises : « publicité personnalisée », « mesure d'audience », « contenus de réseaux sociaux » — pas un vague « améliorer votre expérience ».
3. Rien ne se dépose avant le consentement. Un bandeau qui s'affiche pendant que les scripts partent déjà en arrière-plan est un bandeau décoratif — c'est exactement ce qui a coûté 150 millions d'euros à Shein.
4. Le retrait doit être aussi facile que l'accord : un lien « Gérer mes cookies » accessible en permanence, généralement en pied de page.
5. Le refus ne doit pas bloquer l'accès au site dans le cas général.

Nouveauté depuis janvier 2026 : la CNIL a consolidé sa recommandation et encadre le consentement multi-appareils. Si vos visiteurs se connectent à un compte, ils doivent savoir dès le premier écran que leur choix s'appliquera à tous leurs appareils.

Quelle solution de gestion du consentement choisir ?

Une CMP (Consent Management Platform) gère l'affichage du bandeau, le blocage des scripts avant accord et la preuve du consentement. Le marché est fourni ; les acteurs les plus courants pour une PME française :

Transparence : c'est vanilla-cookieconsent (open source) qu'on utilise sur lelinter.fr — notre site charge Google Analytics, le bandeau est donc obligatoire nous concernant. Pour le voir en action, rechargez cette page en navigation privée ; le détail de notre gestion des cookies est dans notre politique de confidentialité.

Un critère souvent oublié : si vous faites de la publicité Google ou utilisez Google Analytics, le Consent Mode v2 est obligatoire depuis mars 2024 dans l'Espace économique européen. Et depuis mi-2025, Google conditionne aussi le suivi des conversions Google Ads à sa mise en place : sans lui, vos campagnes tournent à l'aveugle. Choisissez donc une CMP certifiée par Google — vérifiez la liste officielle avant de vous engager, la plupart des outils cités ci-dessus en font partie.

Autre raison de ne pas remettre ça à plus tard : on a longtemps entendu que le sujet allait se régler tout seul, Google promettant depuis 2020 la fin des cookies tiers dans Chrome. C'est terminé — en avril 2025, l'entreprise a officiellement renoncé à les supprimer et relégué Privacy Sandbox au rang de simple option, loin de la révolution annoncée. Les cookies tiers resteront donc dans le navigateur qui domine le marché : la conformité de votre site n'est pas un chantier transitoire, c'est un état permanent à maintenir.

Peut-on vraiment se passer de bandeau cookies ?

Question à se poser avant de choisir un bandeau : en avez-vous vraiment besoin ? Un site vitrine bien conçu n'a souvent aucun traceur soumis à consentement. Dans ce cas, pas de bandeau à afficher — et c'est parfaitement légal.

• Pour les statistiques, la CNIL prévoit une exemption de consentement pour la mesure d'audience : finalité strictement limitée à des statistiques anonymes pour votre compte exclusif, adresse IP tronquée, aucun recoupement avec d'autres données ni transmission à des tiers, durées limitées (13 mois pour le traceur, 25 mois pour les données). Matomo correctement configuré coche toutes ces cases ; des outils sans cookies comme Plausible ou Umami visent la même logique, à condition de respecter les mêmes limites de finalité.
• Pour les vidéos, utilisez le domaine youtube-nocookie.com ou une façade de clic : une simple image d'aperçu, et le lecteur — avec ses traceurs — ne se charge qu'au clic du visiteur, qui vaut alors action positive.
• Pour le reste, supprimez. Boutons de partage, widgets, pixels installés « au cas où » : chaque script tiers retiré est un risque juridique en moins et des kilo-octets en moins à charger. On a détaillé ce que ces surcharges coûtent réellement dans un site lent, des coûts cachés.

C'est la configuration qu'on livre par défaut sur les sites vitrines : zéro bandeau, statistiques exemptées, pages plus rapides. Le visiteur arrive sur votre contenu au lieu d'arriver sur une pop-up.

Quelles erreurs coûtent cher sur son bandeau cookies ?

Comme pour les erreurs classiques d'un site vitrine, les manquements se répètent d'un site à l'autre :

• Le bandeau décoratif : les scripts se déclenchent avant le clic. C'est le manquement le plus sanctionné — et le plus simple à vérifier soi-même en navigation privée.
• Le refus caché : un « Tout accepter » bien visible, et le refus enfoui derrière un lien « Paramétrer ». Non conforme depuis 2021.
• Le consentement redemandé à chaque visite pour user le visiteur jusqu'à l'acceptation : la CNIL y voit une atteinte à la liberté du choix.
• Le bandeau recopié d'un autre site qui liste des finalités sans rapport avec vos traceurs réels : l'information doit correspondre à ce que votre site fait vraiment.
• L'extension WordPress oubliée qui dépose ses cookies à votre insu : refaites l'inventaire après chaque ajout d'extension.

En résumé : la checklist

1. Inventoriez les traceurs réellement déposés par votre site (navigation privée + outils de développement).
2. Supprimez tout ce qui ne sert pas votre activité.
3. S'il reste des traceurs soumis à consentement : CMP conforme, refus au premier niveau, blocage effectif avant accord.
4. Publicité Google ou GA4 : CMP certifiée Google avec Consent Mode v2.
5. Pour éviter le bandeau : mesure d'audience exemptée (Matomo configuré CNIL) et façades de clic pour les vidéos.
6. Documentez : politique de confidentialité à jour, preuve des consentements conservée.

FAQ : Questions Courantes

La CNIL va-t-elle vraiment contrôler mon petit site ?

Généralement non, directement. Mais depuis 2022, elle dispose d'une procédure simplifiée pour les petits sites : si quelqu'un fait une plainte (un concurrent peut-être, ou simplement un visiteur conscient), un audit automatisé passe, et si ça mène les cookies sans consentement, l'amende peut être jusqu'à 20 000 euros. Ce n'est pas Google, mais ce n'est pas rien.

Google Analytics depuis 10 ans, dois-je arrêter ?

Non, vous pouvez le garder. Mais il faut soit un bandeau conforme avec consentement Google Consent Mode v2, soit une alternative exemptée (Matomo configuré selon les directives CNIL). La plupart des sites ne choisissent pas vraiment — ils croient simplement que GA4 est obligatoire. Il ne l'est pas, mais si vous le gardez, il doit être conforme.

Je n'ai qu'un Google Analytics, ai-je besoin d'un bandeau ?

Non, mais seulement si vous configurez Matomo ou une alternative exemptée à la place. GA4 en configuration standard demande un consentement, donc oui, bandeau obligatoire. Si vous ne vendez rien et n'avez vraiment besoin d'aucune donnée personnalisée, vous pouvez supprimer tous les traceurs — zéro bandeau, zéro risque.

Tarteaucitron vs Complianz vs Axeptio : lequel choisir ?

Tarteaucitron si votre budget est zéro et que vous êtes à l'aise technique. Complianz si vous êtes sur WordPress et que vous voulez du simple. Axeptio ou Cookiebot si vous avez un budget (30-100 €/mois) et que vous voulez un éditeur français ou certifié Google sans vous prendre la tête. Le critère clé : lequel des trois s'intègre le plus vite à votre stack existant.

Combien de temps pour mettre à jour un site non conforme ?

Dépend l'ampleur. Un site sans traceurs (zéro bandeau requis) : 30 minutes. Un WordPress avec Analytics : installer Complianz, configurer Google Consent Mode v2, tester en privé, c'est 2 heures. Un site complexe avec plusieurs pixels : 4 à 6 heures de travail. Pour une PME c'est un jour, pas une semaine.

Un doute sur ce que votre site dépose réellement dans le navigateur de vos visiteurs ? Venez en parler : on fait l'inventaire ensemble, et on vous dit honnêtement si un simple réglage suffit — ou si votre bandeau actuel vous expose.