Bandeau ou bannière cookies : obligatoire ou pas ?

Une bannière cookies, ou bandeau cookies, demande l’accord du visiteur avant qu’un site dépose un traceur non essentiel. Elle est obligatoire dès que votre site en utilise un : publicité, bouton de réseau social ou outil de mesure hors des conditions de la CNIL. Avec des cookies purement techniques, vous pouvez vous en passer.

La plupart des sites basculent dans le premier cas sans le savoir. Un outil de statistiques ajouté en quelques clics suffit.

Bannière cookies obligatoire : dans quels cas ?

Elle l’est dès qu’un site lit ou dépose un traceur qui n’est pas strictement nécessaire au service demandé par le visiteur. La règle vient de l’article 82 de la loi Informatique et Libertés (nouvel onglet), qui transpose en France la directive européenne ePrivacy.

Un cookie est un petit fichier qu’un site range dans le navigateur pour se souvenir de quelque chose. La loi parle plus largement de traceur, car d’autres techniques font le même travail. Tout se joue sur une ligne de partage :

• Les traceurs nécessaires : panier d’achat, connexion au compte, sécurité, choix de la langue, répartition de la charge entre serveurs et mémorisation du choix sur les cookies. Ils sont exemptés de consentement.
• Les traceurs non essentiels : publicité, boutons de partage des réseaux sociaux, pixels de suivi des campagnes et la plupart des outils de statistiques. Pour ceux-là, il faut l’accord avant le dépôt.

Un exemple courant : Google Analytics, tel qu’il est installé sur la plupart des sites, demande le consentement. Un pixel publicitaire Google Ads ou Meta aussi. À partir du premier traceur de ce type, la bannière devient obligatoire.

Quels cookies se passent de consentement ?

Deux catégories s’en passent : les cookies techniques et une mesure d’audience bien réglée. Ce second point change tout pour un site de PME, car il permet de suivre ses visites sans bannière.

La CNIL exempte un outil de mesure d’audience s’il remplit toutes ces conditions (nouvel onglet) :

• il mesure seulement l’audience du site, pour le compte de son éditeur
• il produit uniquement des statistiques anonymes
• il ne croise pas les données avec d’autres traitements et ne les transmet pas à des tiers
• il ne suit pas le visiteur d’un site à l’autre
• son cookie dure 13 mois au plus, sans prolongation à chaque visite, et les données sont gardées 25 mois au plus

La CNIL ne valide aucun outil par son nom. Elle publie en revanche un guide de configuration de Matomo (nouvel onglet) pour cette exemption. C’est le réglage qui compte, pas la marque : le même outil peut être exempté sur un site et soumis au consentement sur un autre.

Que doit afficher un bandeau cookies conforme ?

Un bandeau cookies conforme laisse un vrai choix, aussi simple dans un sens que dans l’autre. La CNIL l’a précisé dans ses lignes directrices et sa recommandation du 17 septembre 2020 (nouvel onglet), applicables depuis fin mars 2021.

• Refuser aussi facilement qu’accepter. Par exemple deux boutons « Tout accepter » et « Tout refuser », au même niveau et au même format.
• Rien avant le clic. Continuer à naviguer ne vaut pas accord : aucun traceur non essentiel ne part tant que le visiteur n’a pas accepté.
• Une demande par finalité, sans case cochée par défaut.
• Le droit de changer d’avis, à tout moment et aussi facilement, par exemple avec un lien en pied de page.
• Un choix gardé un temps raisonnable. La CNIL juge six mois en général appropriés (nouvel onglet), pour l’accord comme pour le refus.

Un lien « Continuer sans accepter » peut remplacer le bouton « Refuser », à condition d’être aussi visible et d’agir en un clic. Un refus caché dans un second écran, en gris et en petit, ne remplit pas ces conditions.

Quelles sanctions en cas de bandeau cookies non conforme ?

La CNIL contrôle, met en demeure, puis sanctionne. Les cookies restent l’un de ses premiers motifs : dans son bilan 2025 (nouvel onglet), 21 organismes ont été sanctionnés pour des traceurs déposés sans accord ou des refus mal pris en compte.

Les montants les plus connus visent de très grands acteurs. En septembre 2025, la CNIL a infligé 325 millions d’euros à Google et 150 millions d’euros à Shein (nouvel onglet). Le motif du refus difficile est plus ancien : dans sa délibération SAN-2021-023 (nouvel onglet), elle relevait qu’un clic suffisait pour accepter, alors qu’il fallait au moins cinq actions pour refuser.

Pour une PME, le risque réaliste est ailleurs. Depuis 2022, la CNIL dispose d’une procédure de sanction simplifiée (nouvel onglet) pour les dossiers peu complexes, avec une amende de 20 000 euros au plus pour une entreprise de moins de 50 millions d’euros de chiffre d’affaires. Elle s’en sert de plus en plus : 67 de ses 83 sanctions de 2025 sont passées par là. Au premier semestre 2026, elle y a encore sanctionné des sites (nouvel onglet) qui permettaient d’accepter tous les cookies en un clic mais demandaient plusieurs clics pour les refuser.

Mesurer d’où viennent vos clients sans enfreindre le RGPD

Il existe deux niveaux de mesure, et ils n’obéissent pas aux mêmes règles.

La mesure d’audience répond à « quelles pages sont lues » et « d’où vient le trafic », en chiffres globaux. Réglée selon l’exemption de la CNIL, elle se passe de consentement. Pour un site qui démarre, elle suffit.

L’attribution va plus loin : relier une demande de devis précise à la campagne qui l’a amenée. Elle s’appuie sur les indices que porte l’adresse de la page d’arrivée :

• le gclid, l’identifiant de clic que Google Ads ajoute à vos liens
• le fbclid, son équivalent chez Meta
• les paramètres UTM que vous ajoutez vous-même à vos liens de campagne

Garder ces indices d’une visite à l’autre pour les rattacher à une personne sort du cadre de l’exemption. L’attribution demande donc le consentement.

Notre choix par défaut : une mesure exemptée dès la mise en ligne, puis l’attribution consentie le jour où vous investissez dans la publicité. Avant d’arbitrer entre Google Ads et le référencement naturel, il faut de toute façon savoir ce que votre site dépose chez vos visiteurs.

Ce que ça change quand on développe le site

Sur beaucoup de sites, la conformité arrive en rustine : un module de bannière posé après coup, un traceur branché sans réglage, et personne ne sait vraiment ce qui part avant le clic.

On fait l’inverse. La liste des traceurs se décide à la conception, la mesure exemptée est réglée avant la mise en ligne, et la bannière n’apparaît que si un traceur l’exige. Le bandeau n’est d’ailleurs pas la seule obligation d’un site professionnel : depuis le 28 juin 2025, l’accessibilité s’impose aussi aux entreprises qui vendent en ligne.

Notre guide complet de la création de site détaille les étapes, et le simulateur de prix donne un premier ordre de grandeur du budget. Si votre site existe déjà, notre refonte intègre ces réglages dès la maquette, et la création de site web fait de même si vous partez de zéro, avec un prix fixe écrit sur le devis.

Ce qu’il faut faire maintenant

• Aucun traceur non essentiel : pas de bannière. Listez d’abord ce que votre site dépose réellement.
• Des statistiques seulement : réglez votre outil selon l’exemption de la CNIL, et la bannière devient inutile.
• De la publicité ou des boutons de réseaux sociaux : bannière obligatoire, avec un refus aussi simple que l’accord.
• Une attribution par campagne : elle demande le consentement et vaut surtout quand la publicité tourne.

Réglez la question avant de lancer vos campagnes : après une mise en demeure, vous corrigez dans l’urgence.