Bandeau cookies conforme CNIL : les regles a respecter en 2026

Le bandeau cookies est devenu un incontournable, mais beaucoup sont non conformes — et la CNIL sanctionne regulierement des sites, y compris de grands acteurs, pour des bandeaux trompeurs. Le probleme n'est presque jamais l'absence de bandeau : c'est un bandeau mal concu qui piege l'internaute au lieu de recueillir un vrai consentement. Voici les regles precises a respecter, et les pieges qui coutent cher.

La regle cardinale : refuser aussi simple qu'accepter

C'est le point que la CNIL verifie en premier, et celui qui declenche le plus de sanctions. Si accepter tous les cookies se fait en un clic, alors refuser doit aussi se faire en un clic, au meme niveau et avec la meme visibilite. Un bouton « Tout accepter » bien visible face a un « Refuser » cache derriere plusieurs menus n'est pas conforme : c'est un consentement extorque, pas libre.

• Un bouton « Tout refuser » aussi accessible et visible que « Tout accepter », des le premier ecran.
• Pas de design trompeur (dark pattern) qui rend le refus penible ou peu lisible.
• Continuer la navigation ne vaut PAS consentement : le silence ne peut pas etre interprete comme un accord.

Aucun depot avant le choix

Tant que l'internaute n'a pas donne son accord, aucun cookie non essentiel ne doit etre depose, et aucun tag de mesure ou de publicite ne doit se declencher. C'est la faute technique la plus frequente : le bandeau s'affiche joliment, mais en coulisses GA4, le Pixel Meta et d'autres scripts se sont deja executes. Le bandeau devient alors un simple decor sans effet reel.

• Seuls les cookies strictement necessaires au fonctionnement du site sont autorises sans consentement.
• Les tags analytics, publicitaires et de reseaux sociaux restent bloques tant qu'il n'y a pas d'accord.
• Le blocage doit etre reel cote code, pas seulement visuel dans le bandeau.

Un consentement libre, eclaire et granulaire

Le consentement doit etre une action positive et informee. L'internaute doit comprendre a quoi il consent et pouvoir choisir finalite par finalite, sans etre force d'accepter en bloc pour acceder au site.

• Aucune case pre-cochee : l'inaction ne vaut pas acceptation.
• Un choix par finalite (mesure d'audience, publicite, reseaux sociaux) et pas seulement un « tout ou rien ».
• Une information claire et accessible sur chaque categorie de cookies et leur duree.
• La possibilite de retirer son consentement aussi facilement qu'il a ete donne.

La CMP : indispensable mais a bien configurer

Une CMP (Consent Management Platform) comme Axeptio, Didomi ou une solution equivalente gere l'affichage du bandeau, le recueil et la conservation des choix. Mais installer une CMP ne rend pas automatiquement conforme : mal configuree, elle laisse passer des tags avant consentement ou masque le bouton de refus. L'outil ne remplace pas un parametrage rigoureux.

Les erreurs qui font sanctionner

• « Tout accepter » en un clic mais « Refuser » cache en plusieurs etapes : la sanction la plus frequente.
• Des tags qui se declenchent avant que l'internaute ait fait son choix.
• Des cases pre-cochees ou un bandeau qui interprete la poursuite de navigation comme un accord.
• Une CMP installee mais mal configuree, qui donne une fausse impression de conformite.
• Aucune trace conservee des consentements, impossible a prouver en cas de controle.

Un bandeau cookies conforme n'est pas un obstacle a la mesure : bien concu, avec un Consent Mode et un parametrage propre, il permet de continuer a piloter son marketing tout en respectant la loi. Le vrai risque n'est pas de perdre quelques donnees, c'est la sanction et la perte de confiance qu'entraine un bandeau trompeur.