Cookies et RGPD : les règles à respecter pour son site

Un site qui dépose des cookies sur l'ordinateur ou le téléphone de ses visiteurs doit, dans la plupart des cas, leur demander leur accord avant de le faire. La règle s'applique à une entreprise, une association ou une collectivité, quelle que soit sa taille. En pratique, cet accord est recueilli par le bandeau cookie qui s'affiche à la première visite.

Le texte qui s'applique : l'article 82 de la loi Informatique et Libertés

La règle sur les cookies ne vient pas d'abord du RGPD. Elle figure à l'article 82 de la loi Informatique et Libertés, qui transpose en droit français l'article 5, paragraphe 3, de la directive européenne « vie privée et communications électroniques » de 2002, dite directive ePrivacy.

Avant de lire ou d'enregistrer une information dans l'appareil d'un internaute, cet article impose deux choses :

l'informer de façon claire et complète du but de l'opération et des moyens dont il dispose pour s'y opposer ;
obtenir son consentement.

Le RGPD sert à définir ce consentement : « toute manifestation de volonté, libre, spécifique, éclairée et univoque » (article 4). Il doit résulter d'une déclaration ou d'un acte positif clair, comme un clic sur un bouton. La CNIL applique l'article 82 à la lumière de cette définition.

La règle couvre tous les traceurs, pas seulement les cookies, sur un site comme dans une application mobile.

Quels cookies demandent un consentement ?

L'article 82 prévoit deux exceptions : les traceurs qui servent exclusivement à permettre la communication électronique, et ceux qui sont strictement nécessaires à un service en ligne demandé expressément par l'utilisateur. Les lignes directrices de la CNIL en donnent des exemples.

Consentement obligatoire Les cookies publicitaires, les traceurs qui suivent la navigation pour proposer des recommandations, et les outils de mesure d'audience qui ne remplissent pas les conditions de dispense.

Pas de consentement Les cookies qui mémorisent le choix fait sur le bandeau, le panier d'achat, la connexion à un compte et sa sécurité, le choix de la langue, l'équilibrage de charge des serveurs, et certains outils de mesure d'audience.

Les cookies dispensés de consentement restent soumis à l'obligation d'information : les visiteurs doivent pouvoir savoir qu'ils existent et à quoi ils servent, par exemple dans la politique de confidentialité.

Le cas de la mesure d'audience

Un outil de statistiques de fréquentation peut se passer de consentement, mais seulement s'il respecte toutes les conditions fixées par la CNIL :

il sert uniquement à mesurer l'audience du site ou de l'application, pour le compte exclusif de l'éditeur ;
il ne produit que des statistiques anonymes ;
les données ne sont pas croisées avec d'autres traitements, et les données non anonymes ne sont pas transmises à des tiers ;
il ne suit pas la navigation d'une personne d'un site à l'autre.

La CNIL recommande en outre de limiter la durée de vie du cookie, par exemple à 13 mois, sans la prolonger automatiquement à chaque nouvelle visite, et de ne pas conserver les données collectées plus de 25 mois.

Un outil gratuit n'est pas forcément exempté. Selon la CNIL, certaines offres sortent de la dispense parce que leur fournisseur réutilise les données pour son propre compte. Certaines peuvent être configurées pour désactiver cette réutilisation. Pour plusieurs outils, la CNIL met en ligne des guides de configuration du mode exempté.

Les règles du bandeau cookie

La CNIL a précisé les règles dans deux textes adoptés le 17 septembre 2020 : des lignes directrices (délibération n° 2020-091), qui expliquent ce que dit la loi, et une recommandation (délibération n° 2020-092), qui propose des façons concrètes de s'y conformer.

Refuser aussi facilement qu'accepter

Le refus doit être proposé sur le même écran et avec la même facilité que l'acceptation. La CNIL recommande des boutons de même format, par exemple « Tout accepter » et « Tout refuser ».

Pas d'accord implicite

Continuer à naviguer ou faire défiler la page ne vaut pas consentement. Les cases pré-cochées non plus. Si fermer le bandeau vaut refus, le site doit l'indiquer clairement.

Changer d'avis à tout moment

Retirer son consentement doit être aussi simple que le donner, par exemple avec un lien « Gérer mes cookies » accessible en permanence. Le retrait doit réellement arrêter les traceurs.

Deux autres points comptent :

Mémoriser le choix. Le site doit retenir la décision du visiteur, qu'il ait accepté ou refusé, pour ne pas la lui redemander à chaque page. La CNIL considère qu'une durée de 6 mois est en général une bonne pratique.
Pouvoir prouver le consentement. Le site doit être en mesure de démontrer à tout moment que le consentement a été valablement recueilli. La CNIL cite comme moyens possibles des captures d'écran horodatées, des empreintes horodatées du code du bandeau, des audits ou les informations conservées par l'outil de gestion du consentement.

6 moispour conserver le choix du visiteur : la bonne pratique selon la CNIL

13 moisdurée de vie conseillée d'un cookie de mesure d'audience exempté

25 moisdurée maximale de conservation des données d'audience recommandée

La plupart des sites utilisent un outil de gestion du consentement pour afficher le bandeau, bloquer les cookies tant que le visiteur n'a pas choisi et garder la trace des choix. Notre comparatif des outils de gestion des cookies présente les principales solutions.

Google Consent Mode v2, en clair

Le Consent Mode n'est pas un bandeau. C'est un mécanisme qui transmet le choix du visiteur aux outils Google du site, comme Google Analytics ou Google Ads, pour qu'ils adaptent leur fonctionnement. Il utilise notamment les paramètres ad_storage (cookies publicitaires), analytics_storage (cookies de statistiques), ad_user_data (envoi de données à Google pour la publicité) et ad_personalization (publicité personnalisée). Pour le trafic de l'Espace économique européen, Google exige ces signaux pour continuer à utiliser ses outils de mesure, de publicité personnalisée et de remarketing.

Deux installations sont possibles :

le mode de base : les outils Google ne se chargent pas tant que le visiteur n'a pas répondu au bandeau. En cas de refus, aucune donnée n'est envoyée à Google ;
le mode avancé : les outils Google se chargent dès l'arrivée sur le site. Tant que le consentement n'est pas donné, ils envoient à Google des mesures sans cookies.

Le Consent Mode ne remplace pas le bandeau. Google l'écrit dans sa documentation : c'est au site de recueillir le consentement, avec un bandeau ou un outil de gestion du consentement. Le Consent Mode se contente de transmettre la réponse. Si vous envisagez le mode avancé, qui envoie des données avant tout accord, faites valider ce choix par votre DPO au regard de l'article 82.

Ce que sanctionne la CNIL

Pour les cookies, la CNIL n'a pas à passer par le guichet unique européen du RGPD : elle sanctionne directement, y compris des sociétés établies dans un autre pays de l'Union.

31 décembre 2021Google est sanctionné de 150 millions d'euros (90 millions pour Google LLC, 60 millions pour Google Ireland) et Facebook Ireland de 60 millions d'euros. Sur google.fr, youtube.com et facebook.com, refuser les cookies demandait plusieurs clics, alors qu'un seul suffisait pour les accepter.
19 décembre 2022Microsoft Ireland Operations est sanctionné de 60 millions d'euros, notamment parce que le moteur de recherche Bing ne permettait pas de refuser les cookies aussi facilement que de les accepter.
1er septembre 2025Shein (sa filiale Infinite Styles Services) est sanctionné de 150 millions d'euros : des cookies publicitaires étaient déposés dès l'arrivée sur le site, avant toute réponse au bandeau, et de nouveaux cookies l'étaient encore après un refus. Le même jour, Google reçoit 325 millions d'euros d'amende, en partie pour avoir déposé des cookies publicitaires à la création d'un compte sans information suffisante.
22 octobre 2026Fnac Darty Participations et Services (6 millions) et Fnac Direct (1 million) sont sanctionnés pour un traceur de leur application mobile, déposé sans consentement, qui collectait l'historique de navigation. La CNIL y ajoute une astreinte de 10 000 euros par jour de retard.

10 M€ ou 2 %

Le plafond des amendes que la CNIL peut prononcer pour un manquement aux règles sur les cookies : 10 millions d'euros ou, pour une entreprise, 2 % du chiffre d'affaires annuel mondial si ce montant est plus élevé (article 20 de la loi Informatique et Libertés).

Vérifier son site : la checklist

Faites l'inventaire.Listez tous les cookies et traceurs, y compris ceux des modules tiers : vidéos, cartes, réseaux sociaux, publicité.
Rien avant le choix.Ouvrez le site dans une fenêtre de navigation privée : aucun cookie soumis à consentement ne doit apparaître avant un clic sur le bandeau.
Un vrai bouton « Tout refuser ».Il doit être sur le premier écran, au même niveau et du même format que « Tout accepter ».
Le refus est respecté.Après un refus, vérifiez qu'aucun nouveau cookie publicitaire n'est déposé et que les anciens ne sont plus lus.
Une information complète.Le bandeau indique les finalités, et le second niveau précise l'identité des sociétés tierces qui déposent des cookies.
Un lien pour changer d'avis.Un lien « Gérer mes cookies » est accessible depuis toutes les pages, par exemple en pied de page.
La mesure d'audience est vérifiée.Soit l'outil remplit les conditions de dispense, soit il passe par le bandeau.
Les choix sont conservés et prouvables.Le choix est mémorisé, autour de 6 mois, et vous pouvez démontrer comment le consentement a été recueilli.
L'application mobile aussi.Si vous en avez une, les mêmes règles s'appliquent à ses traceurs.

En résumé

Les cookies relèvent de l'article 82 de la loi Informatique et Libertés, issu de la directive ePrivacy. Le RGPD définit le consentement.
Seuls les cookies strictement nécessaires et certains outils de mesure d'audience peuvent se passer de consentement.
Le bandeau doit permettre de refuser aussi facilement qu'accepter, et continuer à naviguer ne vaut pas accord.
Google Consent Mode ne remplace pas le bandeau : il transmet le choix du visiteur aux outils Google.

Pour choisir un outil de bandeau, consultez notre comparatif des outils de gestion des cookies. Pour faire contrôler l'ensemble de votre conformité, voyez notre page sur l'audit RGPD, ou comparez les prestataires dans le classement des DPO externes.

Sources, consultées le 6 novembre 2026 : loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, articles 20 et 82 (texte reproduit sur cnil.fr, « La loi Informatique et Libertés ») ; CNIL, délibération n° 2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives à l'article 82 (« cookies et autres traceurs ») ; CNIL, délibération n° 2020-092 du 17 septembre 2020 portant adoption d'une recommandation sur les modalités pratiques de mise en conformité en cas de recours aux « cookies et autres traceurs » ; CNIL, « Cookies : solutions pour les outils de mesure d'audience » (mise à jour du 4 juillet 2025) ; CNIL, « Conformité RGPD : comment recueillir le consentement des personnes ? » ; CNIL, délibérations SAN-2021-023 (Google LLC et Google Ireland Limited) et SAN-2021-024 (Facebook Ireland Limited) du 31 décembre 2021 ; CNIL, lettre d'information de décembre 2022 (Microsoft Ireland Operations Limited) ; CNIL, « Cookies déposés sans consentement : la CNIL sanctionne SHEIN d'une amende de 150 millions d'euros » (3 septembre 2025) ; CNIL, « Clôture de l'injonction prononcée à l'encontre de GOOGLE » (14 octobre 2026) ; CNIL, « Cookies et application mobile : sanctions de 7 millions d'euros » à l'encontre de FNAC DARTY PARTICIPATIONS ET SERVICES et FNAC DIRECT (29 octobre 2026) ; Google for Developers, « Consent mode overview » ; Aide Google Ads, « Updates to consent mode for traffic in European Economic Area (EEA) ».