La plupart des sites que j’audite ont un bandeau cookies — mais peu sont réellement conformes. Un bouton « Refuser » plus difficile à trouver que le « Accepter », des cookies de mesure d’audience déposés avant tout consentement, une case pré-cochée : ce sont exactement les points que la CNIL sanctionne le plus souvent, et l’impact ne se limite pas au risque juridique — un tracking mal géré fausse aussi vos données analytics et vos décisions marketing.
Sommaire
Sommaire
- Ce que la CNIL impose réellement
- Quels cookies nécessitent un consentement
- Les erreurs qui exposent le plus à une sanction
- Choisir et configurer une CMP
- L’impact sur vos données et votre référencement
- Ce que je mets en place
Ce que la CNIL impose réellement
Les lignes directrices de la CNIL sur les cookies reposent sur un principe simple : le consentement doit être aussi facile à refuser qu’à accepter. Concrètement, cela veut dire un bouton « Refuser » visible au même niveau que le bouton « Accepter », sans case pré-cochée, sans dark pattern qui pousse à cliquer sur l’acceptation, et aucun cookie non essentiel déposé avant que l’utilisateur ait fait son choix. Un bandeau qui bloque la navigation tant que l’utilisateur n’a pas cliqué « Accepter » — sans option de refus équivalente — est non conforme.
Quels cookies nécessitent un consentement
- Exemptés de consentement — cookies strictement nécessaires au fonctionnement (panier, session de connexion, préférence de langue)
- Soumis à consentement — mesure d’audience non exemptée (Google Analytics dans sa configuration standard), pixels publicitaires, cookies de réseaux sociaux, outils de reciblage
- Cas particulier — certains outils de mesure d’audience peuvent être exemptés s’ils respectent des critères stricts de la CNIL (données anonymisées, pas de croisement avec d’autres traitements) — à vérifier au cas par cas, ce n’est pas le comportement par défaut de la plupart des outils
Les erreurs qui exposent le plus à une sanction
- Cookies analytics déposés au chargement de la page, avant tout clic sur le bandeau
- Bouton « Refuser » absent ou caché derrière un lien « Paramétrer » à plusieurs clics
- Refus non mémorisé — le bandeau réapparaît à chaque page, ce qui pousse l’utilisateur à finir par accepter
- Absence de moyen de retirer son consentement aussi facilement qu’il a été donné, une fois le choix initial fait
Choisir et configurer une CMP
Une CMP (Consent Management Platform) gère l’affichage du bandeau, le recueil et la mémorisation du consentement, et surtout le blocage technique des scripts tant que le consentement n’est pas donné — c’est ce dernier point qui fait souvent défaut sur les installations bricolées, où le bandeau s’affiche mais les scripts de tracking se chargent quand même en arrière-plan. Une CMP mal configurée n’est pas plus conforme qu’une absence de CMP : la conformité se joue autant dans le paramétrage que dans l’outil choisi.
L’impact sur vos données et votre référencement
Un taux de refus élevé ou un blocage mal calibré des scripts de mesure d’audience fausse vos données Analytics — trafic sous-estimé, sources de conversion incomplètes, décisions prises sur des chiffres partiels. C’est un point à garder en tête quand on structure son contenu ou sa stratégie de mots-clés, comme évoqué dans le cocon sémantique expliqué : une mesure d’audience fiable est la base de toute décision SEO argumentée.
Ce que je mets en place
J’audite le comportement réel du bandeau — pas seulement sa présence — en vérifiant qu’aucun script non essentiel ne se charge avant le consentement, que le refus est aussi accessible que l’acceptation, et que le choix est mémorisé correctement. C’est un sujet qui rejoint plus largement les obligations RGPD d’un site, détaillées dans RGPD et sécurité : ce qu’un site web doit respecter en 2026 — la sécurité des données et le consentement au tracking sont deux volets distincts d’une même conformité.