Bandeau cookies conforme : le bouton refuser, les traceurs exemptés et ce que contrôle vraiment la CNIL

Un bandeau cookies mal conçu est l'un des rares défauts de conformité qu'un contrôleur peut constater sans mettre les pieds dans vos locaux, depuis un simple navigateur. C'est ce qui explique la série de sanctions spectaculaires prononcées ces dernières années contre des plateformes majeures, et le fait que des sites bien plus modestes reçoivent régulièrement des mises en demeure.

La règle tient pourtant en une phrase : refuser doit être aussi simple qu'accepter, et rien ne doit être déposé avant le choix, sauf ce qui est strictement nécessaire au service. Toute la difficulté est dans l'application. Voici ce qui est réellement exigé, ce que vous pouvez déposer sans rien demander, comment auditer votre propre bandeau en dix minutes, et pourquoi une fenêtre de consentement mal intégrée dégrade aussi vos performances et votre référencement.

Ce que dit réellement la règle

Deux textes se superposent. La directive ePrivacy, transposée en droit français, pose le principe : tout accès ou inscription d'informations dans le terminal d'un internaute suppose son consentement préalable, avec des exceptions limitées. Le RGPD, lui, définit la qualité de ce consentement : libre, spécifique, éclairé, univoque, et révocable aussi facilement qu'il a été donné.

La conséquence pratique est mal comprise : sur les cookies, le régulateur français agit directement, sans passer par le mécanisme européen de coopération applicable au RGPD. C'est ce qui rend les décisions rapides, et c'est aussi pourquoi les montants prononcés en la matière ont pu dépasser ceux de nombreux dossiers RGPD classiques.

Quatre principes structurent le tout :

• Pas de dépôt avant le choix. Ouvrir la page ne vaut pas acceptation ; faire défiler la page non plus.
• Symétrie du choix. Le refus doit demander le même effort que l'acceptation : même niveau, même nombre de clics, même lisibilité.
• Granularité par finalité. Publicité personnalisée, mesure d'audience, réseaux sociaux, personnalisation : chaque finalité doit pouvoir être acceptée ou refusée séparément.
• Réversibilité. Retirer son consentement doit être possible à tout moment, aussi simplement que le donner, d'où le bouton ou l'icône persistante devenue standard.

Les traceurs que vous pouvez déposer sans rien demander

Tout n'exige pas un consentement, et beaucoup de sites alourdissent inutilement leur bandeau en y intégrant des traceurs qui en sont dispensés. Sont exemptés les cookies strictement nécessaires à la fourniture du service expressément demandé par l'internaute :

• panier d'achat et identifiant de session ;
• authentification et maintien de la connexion ;
• équilibrage de charge et sécurité (limitation des tentatives de connexion, protection anti-fraude) ;
• préférence de langue ou d'affichage exprimée par l'utilisateur ;
• et, un peu paradoxalement, le cookie qui mémorise le choix fait sur le bandeau lui-même.

Un second cas mérite l'attention des éditeurs : la mesure d'audience peut être exemptée, à conditions strictes. Elle doit servir uniquement à produire des statistiques anonymes pour le compte de l'éditeur, ne pas croiser les données avec d'autres traitements, ne pas les transmettre à des tiers, se limiter à un périmètre de sites appartenant au même responsable, et respecter des durées de conservation courtes, de l'ordre de treize mois pour les traceurs, vingt-cinq mois pour les données collectées.

Anatomie d'un bandeau conforme

Le dernier point est souvent considéré comme un détail de confort : il n'en est pas un. Réafficher le bandeau à chaque navigation après un refus revient à faire pression pour obtenir un consentement, ce qui contredit son caractère libre. La pratique recommandée consiste à conserver le refus au moins six mois, la même durée que celle retenue pour redemander un consentement.

Prouver le consentement et le faire durer

Recueillir n'est que la moitié du travail : en cas de contrôle ou de plainte, c'est à l'éditeur de démontrer que le consentement a bien été obtenu dans les règles. Cela suppose de conserver, pour chaque choix, un horodatage, la version du bandeau affichée et la liste des finalités présentées à ce moment-là. Les plateformes de gestion du consentement sérieuses produisent ces journaux nativement ; encore faut-il vérifier qu'ils sont bien activés et conservés.

1. Ouvrez le site en navigation privée et, avant tout clic, inspectez les cookies déposés dans les outils de développement du navigateur. Aucun traceur publicitaire ne doit y figurer.
2. Cliquez sur « Tout refuser », puis rechargez la page et réinspectez : seuls les traceurs exemptés doivent subsister.
3. Naviguez sur trois ou quatre pages : le bandeau ne doit pas réapparaître, et le refus doit tenir après fermeture puis réouverture du navigateur.
4. Comptez les clics : un pour accepter, un pour refuser. S'il en faut davantage pour refuser, le bandeau est à revoir.
5. Cherchez le moyen de revenir sur son choix : icône flottante, lien en pied de page ou entrée dans les mentions légales, accessible depuis n'importe quelle page.
6. Vérifiez les journaux de consentement dans l'interface de votre outil : sont-ils générés, exploitables et conservés dans une durée cohérente ?

Sanctions et contrôles : ce que risque un site français

Les contrôles en matière de cookies se font en grande partie à distance, en consultant le site comme n'importe quel internaute. C'est une différence majeure avec les autres contrôles de conformité : ni préavis, ni échange préalable, ni accès aux locaux nécessaires. Une campagne peut cibler un secteur entier en quelques jours.

Année	Entreprise	Montant	Manquement retenu
2020	Google	100 M€	Traceurs publicitaires déposés sans consentement préalable
2020	Amazon	35 M€	Dépôt automatique de cookies à l'arrivée sur le site
2021	Google	150 M€	Refus plus difficile que l'acceptation
2021	Facebook	60 M€	Refus plus difficile que l'acceptation
2022	Microsoft	60 M€	Absence de bouton de refus équivalent sur son moteur de recherche
2023	Yahoo	10 M€	Consentement non recueilli et retrait rendu difficile

Ces décisions sont souvent assorties d'une injonction sous astreinte, jusqu'à 100 000 € par jour de retard dans les dossiers les plus lourds, qui pousse à la mise en conformité en quelques semaines. Pour un site de taille modeste, la trajectoire habituelle est différente : une plainte, puis une mise en demeure, souvent publique, avec un délai pour corriger. Le coût est alors moins financier que réputationnel, mais il est bien réel. Le régulateur n'hésite d'ailleurs pas à s'attaquer aux plus grandes plateformes, comme l'avait déjà montré le bras de fer autour du droit à l'oubli face à Google.

L'angle oublié : performance et référencement

Une fenêtre de consentement est, techniquement, un script tiers bloquant qui s'affiche par-dessus le contenu, souvent avant lui. Trois effets mesurables en découlent.

D'abord le plus grand élément affiché : si la fenêtre recouvre le visuel principal, c'est elle qui devient l'élément mesuré, et le délai d'affichage se dégrade d'autant. Ensuite la réactivité : le script de consentement, chargé tôt et exécuté sur le fil principal, allonge le délai de réponse aux premières interactions, le sujet exact que nous avons détaillé dans notre guide sur l'optimisation de l'INP sous les 200 millisecondes. Enfin la stabilité visuelle : un bandeau qui pousse le contenu vers le bas au lieu de se superposer génère un décalage de mise en page pénalisant.

3 signaux de performance dégradés par une fenêtre de consentement mal intégrée : affichage, réactivité, stabilité

Le mouvement de fond joue en faveur des sites bien préparés : la valeur du traceur tiers s'érode, la mesure côté serveur et les données de première main gagnent du terrain, comme le laissait présager l'annonce par Google de la fin du suivi individuel pendant la navigation. Un bandeau conforme n'est donc pas seulement une case réglementaire à cocher : c'est l'occasion de réduire la dépendance à des scripts tiers dont la rentabilité baisse, et de retrouver une mesure d'audience exhaustive plutôt que partielle.