Cet article date à l’origine de 2015. Les règles ont pas mal évolué depuis, alors je l’ai entièrement remis à jour avec ce qui s’applique concrètement en 2026 : ce que dit la CNIL aujourd’hui, à quoi doit ressembler un bandeau conforme, et comment l’installer sur WordPress.
Dois-je obligatoirement mettre le bandeau sur mon site ?
Pour résumer simplement : si votre site utilise Google Analytics, Google Ads, YouTube, ou des boutons de partage de réseaux sociaux, vous devez recueillir le consentement de vos visiteurs avant de déposer ces cookies. C’est le cas de la grande majorité des sites professionnels.
Certains traceurs sont exemptés de consentement préalable, parce qu’ils sont strictement nécessaires au fonctionnement du site :
- le panier d’achat d’un site marchand,
- l’identifiant de session,
- l’authentification,
- l’équilibrage de charge serveur,
- ou encore certaines solutions de mesure d’audience utilisées dans des conditions très strictes (données strictement agrégées, pas de croisement avec d’autres traitements).
Pour la liste complète et à jour des cas d’exemption, la référence reste la page de la CNIL sur les cookies et traceurs : ➜ cnil.fr – Cookies et traceurs, que dit la loi ?
Ce qui a changé depuis les débuts du RGPD
Le RGPD lui-même date de 2018 et n’a pas changé sur ce point, mais la doctrine de la CNIL s’est beaucoup précisée depuis, avec des conséquences concrètes sur la façon dont un bandeau doit être conçu :
- La simple poursuite de la navigation ne vaut plus consentement. La Cour de justice de l’Union européenne l’a tranché dans son arrêt Planet49 (octobre 2019), repris depuis par la CNIL : un visiteur qui continue à naviguer sans avoir cliqué sur rien n’a pas donné son accord.
- Refuser doit être aussi simple qu’accepter. Le bouton « Tout refuser » doit apparaître dès le premier niveau du bandeau, avec la même taille, la même couleur et la même visibilité que le bouton « Tout accepter ». Un bandeau qui affiche « Accepter » en gros et cache le refus dans un sous-menu est aujourd’hui l’un des motifs de sanction les plus fréquents.
- Aucune case ne doit être pré-cochée. Le consentement doit résulter d’une action positive et volontaire de l’internaute, catégorie par catégorie.
- La preuve du consentement doit être conservée, généralement via l’outil (la plateforme de gestion du consentement, ou CMP) utilisé pour afficher le bandeau.
- Le consentement doit être renouvelé au bout de 13 mois maximum.
💡 Astuce pro : depuis janvier 2026, la CNIL utilise un robot de contrôle automatisé qui vérifie en continu la conformité technique des bandeaux cookies sur les sites français, et pas seulement leur apparence. Un bandeau qui a l’air correct visuellement mais qui dépose des cookies publicitaires avant le clic de l’internaute reste détectable et sanctionnable.
À quoi doit ressembler un bandeau conforme aujourd’hui ?
Concrètement, votre bandeau doit :
- Informer clairement des finalités des cookies utilisés (mesure d’audience, publicité, réseaux sociaux…) avant que l’internaute fasse son choix.
- Proposer un choix réel et équilibré : un bouton « Tout accepter » et un bouton « Tout refuser », de même poids visuel, dès le premier niveau.
- Permettre un choix granulaire, catégorie par catégorie, pour les visiteurs qui veulent personnaliser leurs préférences.
- Ne jamais bloquer l’accès au site en cas de refus, sauf modèle spécifique de type « cookie wall » avec une alternative payante équilibrée (un cas particulier qui ne concerne pas la majorité des sites vitrines).
- Renvoyer vers une page dédiée qui explique en détail à quoi servent les cookies et comment les paramétrer.
Comment installer un bandeau conforme sur WordPress
3 approches possibles selon votre niveau technique et votre budget :
Tarteaucitron, solution open source et gratuite, très utilisée en France et recommandée par la CNIL. C’est celle que j’utilise et que je documente en détail, avec la configuration du mode Consentement de Google, dans mon tuto sur le consentement avancé V2.
Une plateforme CMP (Consent Management Platform) clé en main, souvent plus simple à administrer au quotidien, avec une offre gratuite ou payante selon la taille du site. J’ai recensé 5 plateformes gratuites de gestion du consentement dans un article dédié.
Une extension WordPress autonome sans passer par une plateforme CMP (je n’en ai pas trouvé qui me convienne au niveau du paramétrage et du fonctionnement).
➜ Votre site est sous WordPress ? Des plugins d’affichage du bandeau sont ici.
Et le mode Consentement de Google, dans tout ça ?
Si vous utilisez Google Analytics (GA4) ou Google Ads, il y a une couche supplémentaire à connaître : le mode Consentement de Google (Consent Mode v2), qui détermine comment ces outils se comportent selon que le visiteur a accepté ou refusé les cookies. Sans ce paramétrage, vous risquez de perdre une bonne partie de vos données de mesure d’audience dès qu’un visiteur refuse les cookies. J’explique comment le configurer pas à pas dans cet article dédié, qui s’appuie lui-même sur mon mémo de paramétrage GA4.
Que risque-t-on en cas de non-conformité ?
Les sanctions ne concernent pas que les grands groupes. La CNIL a par exemple infligé 1,5 million d’euros à American Express Carte France en novembre 2025 pour des cookies publicitaires déposés avant tout choix de l’internaute, et maintenus actifs après un refus explicite. Ce ne sont pas des cas isolés : la CNIL mène des campagnes de contrôle régulières sur les bandeaux cookies depuis 2021, tous secteurs confondus.
Pour un petit site professionnel, le risque le plus courant n’est pas une sanction financière immédiate (la CNIL privilégie d’abord une mise en demeure, avec un délai pour se mettre en conformité), mais bien d’être repéré lors d’un contrôle et de devoir corriger dans l’urgence.
FAQ
Le sujet évolue régulièrement : nouvelles recommandations, mises à jour de Google, ajustements réglementaires. Si vous préférez ne pas avoir à vous en occuper vous-même, je propose un forfait de maintenance qui inclut le suivi et la mise à jour de votre bandeau de consentement. Contactez-moi
Laisser un commentaire