Le bandeau cookies
Un bandeau cookies (ou bandeau de consentement) sert à recueillir l’accord des visiteurs avant le dépôt des traceurs non essentiels : publicité, réseaux sociaux, certaines mesures d’audience. Les règles de la CNIL sont précises : aucun traceur non essentiel ne peut être déposé avant le consentement ; refuser doit être aussi simple qu’accepter, avec un bouton « Tout refuser » au même niveau et de même apparence que « Tout accepter » ; poursuivre la navigation vaut refus ; les finalités doivent être présentées dès le premier niveau ; conserver le choix pendant six mois est considéré comme une bonne pratique. Les outils de mesure d’audience strictement configurés (statistiques anonymes, pour le seul compte de l’éditeur, traceurs d’environ 13 mois, données gardées 25 mois au plus) peuvent être exemptés de consentement. Les sanctions sont réelles : en septembre 2025, la CNIL a infligé 150 millions d’euros d’amende à une filiale du groupe SHEIN, notamment pour des cookies déposés avant tout choix et un bouton de refus inefficace.
Mis à jour le 23 octobre 2026
Le bandeau cookies est souvent installé en dix minutes, avec une extension et des réglages par défaut, puis oublié. C’est pourtant l’un des points les plus contrôlés par la CNIL, et l’un des plus visibles pour vos visiteurs : un bandeau qui pousse à accepter, qui cache le refus ou qui revient à chaque page donne une mauvaise image de l’entreprise dès la première seconde.
Cette page explique ce que doit contenir un bandeau conforme, comment vérifier qu’il fonctionne vraiment, et quels outils peuvent s’en passer. Elle complète la page consacrée au RGPD site internet, qui présente l’ensemble des obligations liées aux données collectées par un site.
Par Alexandre Montenon, consultant en marketing digital depuis 2011
À quoi sert le bandeau cookies
Les cookies et autres traceurs (pixels, identifiants, stockage local) permettent de reconnaître un visiteur d’une page à l’autre ou d’un site à l’autre. Certains sont indispensables au fonctionnement du site : panier, connexion à un compte, mémorisation du choix de consentement lui-même, sécurité. Ceux-là n’ont pas besoin d’accord. Les autres (publicité ciblée, boutons de partage des réseaux sociaux qui suivent la navigation, mesure d’audience non exemptée, vidéos intégrées qui déposent des traceurs) ne peuvent être utilisés qu’avec le consentement préalable du visiteur. Le bandeau est l’outil qui recueille, enregistre et applique ce choix.
Les règles fixées par la CNIL
| Règle | Ce qui est conforme | Ce qui ne l’est pas |
|---|---|---|
| Consentement préalable | Aucun traceur non essentiel avant le clic | Pixels publicitaires chargés dès l’arrivée sur la page |
| Refus aussi simple | « Tout refuser » et « Tout accepter » côte à côte, même taille, même style | Refus caché derrière « Paramétrer » ou un lien discret |
| Navigation | Continuer à naviguer sans choisir vaut refus | « En poursuivant, vous acceptez les cookies » |
| Information | Finalités nommées dès le premier écran, liste des partenaires accessible | « Nous utilisons des cookies pour améliorer votre expérience » |
| Retrait | Lien permanent pour modifier son choix, aussi simple que de consentir | Aucun moyen de revenir sur son accord |
| Durée | Choix conservé environ six mois, puis redemandé | Bandeau affiché à chaque page ou choix conservé indéfiniment |
Les outils de mesure d’audience exemptés
Tous les outils de statistiques n’exigent pas un consentement. La CNIL admet une exemption pour les traceurs servant uniquement à mesurer l’audience pour le compte exclusif de l’éditeur et produisant des statistiques anonymes, sans croisement avec d’autres traitements ni suivi d’un site à l’autre, et recommande une durée de vie des traceurs d’environ 13 mois et une conservation des données de 25 mois au plus. Elle précise aussi qu’un fournisseur peut indiquer qu’une configuration permet de se passer de consentement, mais pas se dire « certifié » ou « validé » par la CNIL.
En pratique, certains outils de mesure peuvent être configurés pour entrer dans ce cadre, d’autres non, notamment ceux qui réutilisent les données pour leurs propres besoins ou les transfèrent hors de l’Union européenne. Si votre outil ne peut pas démontrer l’exemption, il doit passer par le bandeau.
Les sanctions récentes
La CNIL contrôle régulièrement les bandeaux de consentement, y compris sur des sites de taille moyenne. Le 1er septembre 2025, elle a infligé une amende de 150 millions d’euros à une filiale du groupe SHEIN, à qui elle reprochait des traceurs publicitaires déposés dès l’arrivée sur le site avant toute interaction avec le bandeau, de nouveaux traceurs déposés ou lus après un clic sur « Tout refuser », et une information incomplète sur les finalités et les tiers. Les montants des grandes plateformes ne concernent pas une PME, mais les manquements reprochés sont exactement ceux que l’on retrouve sur de nombreux petits sites.
Vérifier que son bandeau fonctionne vraiment
Un bandeau peut sembler conforme à l’écran et ne pas l’être dans les faits. Voici un test simple, à faire dans une fenêtre de navigation privée :
- Arrivez sur le site sans rien cliquer et ouvrez les outils de développement du navigateur (onglet Réseau ou Application). Aucun traceur publicitaire ou de réseau social ne doit apparaître.
- Cliquez sur « Tout refuser », naviguez sur plusieurs pages : toujours aucun traceur non essentiel.
- Rouvrez le gestionnaire de consentement par le lien prévu : le choix doit être retrouvé, et modifiable.
- Acceptez, puis retirez votre accord : les traceurs doivent cesser d’être déposés.
- Vérifiez les contenus intégrés : vidéos, cartes, boutons de partage, formulaires tiers déposent souvent leurs propres traceurs.
Les pixels publicitaires sont le cas le plus fréquent de dépôt prématuré : la page sur le pixel Facebook explique comment le relier au consentement.
Refaites ce test après chaque ajout d’extension, de vidéo intégrée ou de nouvel outil marketing. La plupart des bandeaux deviennent non conformes non pas à l’installation, mais six mois plus tard, quand quelqu’un ajoute un script de suivi directement dans le thème, en dehors du gestionnaire de consentement.
Écrire un bandeau clair
Le texte du bandeau est aussi un texte d’interface : il doit être compris en quelques secondes. Nommez les finalités simplement (« Mesurer la fréquentation », « Vous montrer des publicités adaptées », « Partager sur les réseaux sociaux »), proposez trois boutons clairs (« Tout accepter », « Tout refuser », « Choisir »), et donnez accès à la liste des partenaires. Évitez les formules floues et les couleurs qui mettent en avant un seul choix. Un bandeau honnête, sobre et rapide à fermer est moins gênant pour les visiteurs qu’un bandeau qui cherche à arracher un accord.
Consentement et mesure des résultats marketing
Un bandeau conforme réduit mécaniquement la part des visiteurs suivis par les outils publicitaires et certaines statistiques : une partie des visiteurs refuse, et c’est leur droit. Il faut l’intégrer dans la lecture des chiffres plutôt que de chercher à forcer l’accord. Concrètement : comparez les tendances plutôt que les valeurs absolues, croisez les statistiques avec les données de votre outil de gestion des contacts et avec la question « comment nous avez-vous connus ? », et privilégiez, quand c’est possible, une mesure d’audience configurée pour être exemptée. Les plateformes publicitaires proposent aussi des modes de mesure qui tiennent compte du consentement ; leur configuration doit rester cohérente avec le choix exprimé par le visiteur.
Choisir un outil de gestion du consentement
Les extensions et plateformes de gestion du consentement se valent rarement sur un point essentiel : leur capacité à bloquer réellement les scripts avant le choix. Vérifiez avant de choisir que l’outil bloque les traceurs par défaut, qu’il propose un refus au même niveau que l’acceptation, qu’il conserve une preuve des choix, qu’il gère la durée de conservation, qu’il s’intègre aux outils de mesure et de publicité que vous utilisez, et qu’il n’alourdit pas trop le chargement des pages.
Les erreurs fréquentes
Des traceurs chargés avant le choix. Le script est inséré dans le thème, hors du gestionnaire.
Un refus caché. Seul « Accepter » est visible au premier niveau.
« En poursuivant votre navigation… » Cette formule n’est plus admise.
Un bandeau qui bloque l’accès sans alternative. La CNIL apprécie au cas par cas la licéité de ces « murs de cookies ».
Des finalités vagues. « Améliorer votre expérience » ne dit rien.
Aucun moyen de changer d’avis. Le lien de gestion des cookies doit rester accessible.
Exemple fictif : un site de vente de vins en ligne
Pour illustrer, un cas inventé. Un caviste en ligne découvre, en testant son site en navigation privée, que son pixel publicitaire et le bouton d’une vidéo intégrée déposent des traceurs avant tout clic, et que son bandeau n’affiche que « Accepter » et « Paramétrer ». Il ajoute un bouton « Tout refuser » de même apparence, déplace les scripts publicitaires dans son outil de gestion du consentement, configure sa mesure d’audience pour bénéficier de l’exemption, fixe la conservation du choix à six mois et refait le test après chaque ajout d’outil. Les éléments de cet exemple sont inventés pour l’illustration.
- Un bandeau cookies recueille le consentement avant tout traceur non essentiel.
- Refuser doit être aussi simple qu’accepter, et poursuivre la navigation vaut refus.
- Les finalités se présentent dès le premier écran ; le choix se conserve environ six mois.
- Une mesure d’audience strictement configurée peut être exemptée de consentement.
- Testez régulièrement en navigation privée : les dépôts avant consentement sont la première cause de sanction.
Questions fréquentes sur le bandeau cookies
Le bandeau cookies est-il obligatoire ?
Il est nécessaire dès que le site utilise des traceurs non essentiels (publicité, réseaux sociaux, mesure d’audience non exemptée). Un site qui n’utilise que des traceurs indispensables ou exemptés peut s’en passer, en informant les visiteurs.
Faut-il un bouton « Tout refuser » ?
La CNIL recommande un bouton « tout refuser » au même niveau et de même apparence que « tout accepter » : refuser doit être aussi simple qu’accepter.
Combien de temps conserver le choix du visiteur ?
La CNIL considère qu’une conservation pendant six mois constitue une bonne pratique, à apprécier au cas par cas.
Google Analytics nécessite-t-il un consentement ?
Un outil de mesure n’est exempté que s’il remplit strictement les conditions de la CNIL (statistiques anonymes, pour le seul compte de l’éditeur, sans réutilisation par le fournisseur). À défaut de pouvoir le démontrer, il doit passer par le consentement.
Quels risques en cas de bandeau non conforme ?
Des mises en demeure et des amendes de la CNIL, qui a sanctionné plusieurs sites pour des traceurs déposés avant le consentement ou un refus inefficace, dont 150 millions d’euros contre une filiale du groupe SHEIN en septembre 2025.
Vous avez une question, un projet ? Parlons-en ensemble.
On discute ?