Bandeau cookies : ce que demande la CNIL

La CNIL demande que le dépôt et la lecture d'un cookie soumis à consentement attendent le choix de l'internaute. Ce choix doit être aussi simple à refuser qu'à accepter. Les règles ci-dessous viennent de la page « Que dit la loi » sur les cookies, lue sur le site de la CNIL le 15/11/2026.

Ce que dit la CNIL

Refus aussi simple qu'acceptation. La CNIL écrit que « l'utilisateur doit pouvoir accepter ou refuser le dépôt et/ou la lecture des cookies avec le même degré de simplicité ». Un bandeau qui propose « Tout accepter » en gros bouton et « Paramétrer » en petit lien ne respecte pas ce principe.

Action positive et information préalable. Le consentement doit se manifester par une action positive de la personne, après avoir été informée. Tant qu'il n'est pas donné, aucun cookie soumis à consentement ne peut être déposé ni lu. L'information doit être visible, mise en évidence et complète. Une information à deux niveaux est possible.

Les conditions d'utilisation ne suffisent pas. L'acceptation de conditions générales d'utilisation ne constitue pas un recueil valable du consentement.

Retirer son choix. Il doit être aussi simple de retirer son consentement que de le donner, et ce à tout moment.

Chaque site compte. La CNIL recommande que ce choix soit fait sur chacun des sites ou applications concernés par le suivi de navigation.

Les cookies qui peuvent être exemptés

La page liste des traceurs qui ne demandent pas de consentement :

• ceux qui conservent le choix exprimé par l'internaute ;
• ceux liés à l'authentification, y compris la sécurité de ce mécanisme ;
• ceux qui conservent le contenu d'un panier d'achat ou servent à la facturation ;
• ceux de personnalisation de l'interface, lorsqu'elle est un élément attendu du service ;
• ceux d'équilibrage de charge, et ceux qui limitent l'accès gratuit d'un site payant ;
• certains traceurs de mesure d'audience, « dès lors qu'ils respectent certaines conditions ».

La page ne détaille pas ces conditions de mesure d'audience. Ne supposez pas qu'un outil de statistiques est exempté : vérifiez ses réglages et les conditions de la CNIL.

Ce que gèrent les outils, et ce que les pages lues ne disent pas

Les pages lues des outils de création de site ne décrivent pas de bandeau cookies. La page de présentation de Hostinger et la page de présentation de WordPress.com ont été lues pour leurs fonctions IA ; elles ne mentionnent pas le consentement aux cookies dans les extraits lus. Cela ne veut pas dire que le bandeau est absent. Cela veut dire qu'il faut le vérifier dans l'éditeur de chaque outil, avant de publier.

Une fois le site en ligne, voici ce qu'il faut contrôler :

1. Le bandeau apparaît-il dès la première visite, avant tout dépôt de cookie non exempté ?
2. Le bouton de refus est-il au même niveau que le bouton d'acceptation ?
3. Les outils de mesure ou de publicité ne se chargent-ils qu'après le choix ?
4. Peut-on changer son choix à tout moment, par un lien toujours visible ?
5. Le texte du bandeau dit-il clairement quels cookies sont posés et pourquoi ?

Un site qui ajoute des outils tiers, comme une mesure d'audience ou un chatbot, doit refaire ce contrôle à chaque ajout. Un autre site du réseau décrit le cas des refus de cookies dans un outil de mesure : refus des cookies et données manquantes.

Les erreurs fréquentes

• Un bandeau qui bloque le site tant qu'on n'a pas accepté, sans option de refus clairement visible.
• Des cookies posés dès l'arrivée sur le site, avant tout choix.
• Une mention « en poursuivant votre navigation, vous acceptez » : la CNIL ne retient pas ce mécanisme comme un consentement valable.
• Un choix qu'on ne peut pas modifier après coup.

Ces points ne sont pas un avis juridique. Pour un site à fort trafic, ou un site qui suit les visiteurs, un professionnel du droit peut vérifier la configuration. Pour les mentions à faire figurer par ailleurs, voir Mentions légales d'un site web.