Bandeau cookies conforme CNIL : ce qui vous expose à une amende

De toutes les obligations issues du RGPD et de la directive ePrivacy, le bandeau cookies est celle qui se voit. C'est aussi celle que la CNIL contrôle sans avoir besoin d'entrer dans votre entreprise : il lui suffit d'ouvrir votre site.

C'est ce qui en fait le sujet le plus mal calibré chez les PME. Les unes n'ont aucun bandeau et pensent être trop petites pour être vues. Les autres ont installé une extension gratuite en trois clics, se croient couvertes, et affichent en réalité un bandeau non conforme depuis quatre ans.

Voici ce qui est réellement exigé, et les cinq configurations qui ne passent pas.

La règle en trois phrases

Rien avant le choix. Aucun traceur non strictement nécessaire ne doit être déposé ou lu avant que l'utilisateur ait donné son consentement. Ni analytics, ni pixel publicitaire, ni police de caractères chargée depuis un serveur tiers, ni vidéo intégrée.

Refuser aussi facilement qu'accepter. Le refus doit être disponible dès le premier écran, avec le même nombre de clics et une présentation équivalente.

Un choix révocable. L'utilisateur doit pouvoir revenir sur son consentement à tout moment, par un moyen accessible depuis n'importe quelle page.

Tout le reste découle de ces trois phrases.

Les cinq configurations qui ne passent pas

1. « En poursuivant votre navigation, vous acceptez… »

Le consentement doit être un acte positif. Le fait de continuer à naviguer, de faire défiler la page ou de cliquer n'importe où n'en est pas un. Cette formulation est non conforme depuis 2020 et on la trouve pourtant encore sur un grand nombre de sites de PME — généralement parce que le bandeau a été installé une fois et jamais revu.

2. Le bouton « Tout accepter » seul au premier écran

C'est le cas le plus fréquent, et de très loin. Un bandeau propose un bouton coloré « Tout accepter », et à côté un lien gris « Paramétrer » ou « En savoir plus » qui ouvre un second écran où se trouve enfin le refus.

C'est exactement ce que la CNIL a sanctionné à plusieurs reprises, y compris chez de très grands acteurs, sur le fondement suivant : rendre le refus plus coûteux en clics que l'acceptation vicie le consentement. Il faut un bouton « Tout refuser » au même niveau que « Tout accepter », dès le premier écran.

3. Les cases pré-cochées

Dans le panneau de paramétrage, les finalités autres que strictement nécessaires ne doivent pas être activées par défaut. Une case pré-cochée que l'utilisateur devrait décocher n'est pas un consentement — c'est une absence de refus, ce qui n'est pas la même chose.

4. Le dépôt de traceurs avant le clic

Le piège technique. Beaucoup d'extensions affichent correctement le bandeau mais chargent quand même les scripts en arrière-plan, parce que le code de suivi a été collé directement dans le thème plutôt que piloté par l'outil de consentement.

C'est vérifiable en deux minutes, sans compétence particulière : ouvrez votre site en navigation privée, ouvrez les outils de développement du navigateur (F12), onglet « Application » puis « Cookies », et regardez ce qui est déjà déposé avant de toucher au bandeau. S'il y a autre chose qu'un cookie de session ou de consentement, vous avez un problème.

Attention particulière aux polices Google chargées depuis leurs serveurs, aux vidéos YouTube intégrées, aux cartes Google Maps et aux boutons de réseaux sociaux : tous déposent des traceurs au chargement de la page.

5. Le mur de cookies sans alternative

Bloquer l'accès au site tant que l'utilisateur n'a pas accepté n'est pas interdit en soi, mais c'est très encadré, et sur un site vitrine de PME cela n'a aucune justification. À éviter purement et simplement.

La solution que je recommande à la plupart des sites vitrines

Voici l'option que presque personne ne propose, parce qu'elle ne vend rien : se passer de bandeau.

La CNIL prévoit une exemption de consentement pour les cookies de mesure d'audience strictement limités à la production de statistiques anonymes, à condition qu'ils servent uniquement à mesurer l'audience du site, qu'ils ne permettent pas de suivre l'internaute sur d'autres sites, que les données ne soient pas recoupées avec d'autres traitements ni transmises à des tiers, et que la durée de vie du traceur reste limitée.

Concrètement, cela signifie une mesure d'audience configurée en conséquence, ou l'un des outils européens conçus pour cette exemption. Pour un site vitrine de PME qui veut simplement savoir combien de visiteurs consultent sa page tarifs, c'est amplement suffisant.

Le bénéfice est double. Vous êtes conforme sans discussion possible, et vous supprimez le bandeau — qui coûte, selon les mesures publiées par plusieurs éditeurs, entre 10 et 40 % de vos données d'audience à cause des refus, en plus de dégrader l'expérience d'arrivée.

Si en revanche vous faites de la publicité en ligne avec du reciblage, ou de l'analyse comportementale fine, vous avez besoin d'un vrai consentement et donc d'un vrai bandeau. La question à trancher est donc simple : est-ce que j'ai réellement besoin de ces traceurs ? Pour beaucoup de sites vitrines, la réponse honnête est non : les traceurs ont été installés « au cas où », et personne ne consulte les données. Sur les 41 sites de transporteurs que j'ai relevés en Grand Est, sept affichaient un bandeau de consentement sans qu'aucun traceur ne le réclame.

Ce que vous risquez, concrètement

La CNIL procède par mise en demeure avant de sanctionner, sauf manquement grave. Le scénario typique pour une PME est donc : contrôle en ligne, mise en demeure avec un délai de mise en conformité, puis sanction seulement en cas d'inaction.

Le risque financier immédiat est donc faible si vous réagissez. Mais deux effets sont plus concrets à court terme.

D'abord, une mise en demeure de la CNIL peut être rendue publique. Pour une entreprise qui travaille avec des donneurs d'ordre industriels, c'est un incident réputationnel disproportionné par rapport à la faute.

Ensuite, les questionnaires fournisseurs. De plus en plus de grands comptes vérifient la conformité de leurs prestataires, et le bandeau cookies est ce qu'un acheteur peut contrôler lui-même en trente secondes. C'est le même mécanisme que pour les autres obligations RGPD : la vraie sanction vient du marché avant de venir du régulateur.

L'audit en dix minutes

À faire vous-même, aujourd'hui :

1. Ouvrez votre site en navigation privée.
2. Sans rien cliquer, ouvrez les outils de développement (F12) et vérifiez les cookies déjà déposés.
3. Regardez le bandeau : y a-t-il un bouton refuser au premier écran, aussi visible que le bouton accepter ?
4. Cliquez sur « Paramétrer » : les cases sont-elles décochées par défaut ?
5. Cliquez sur « Tout refuser », rechargez, et vérifiez qu'aucun traceur n'a été déposé.
6. Cherchez le moyen de modifier votre choix depuis une page intérieure. Existe-t-il ?

Si un seul de ces six points échoue, votre bandeau ne vous protège pas — il vous expose, en signalant que vous connaissez l'obligation sans la respecter.

La correction, elle, prend rarement plus d'une demi-journée. Et dans un cas sur deux, elle consiste surtout à supprimer des traceurs dont personne n'exploitait les données.