Bandeau cookies RGPD : le guide pour un site conforme à la CNIL en 2026

Un bandeau cookies est obligatoire sur votre site dès qu'il dépose ou lit des traceurs qui ne sont pas strictement nécessaires à son fonctionnement, comme un pixel Meta, une balise Google Ads ou Google Analytics en configuration standard. Ce bandeau doit recueillir le consentement de l'internaute avant tout dépôt, et lui permettre de refuser aussi facilement qu'il accepte. La règle vient de l'article 82 de la loi Informatique et Libertés, qui transpose la directive européenne ePrivacy, et ses modalités pratiques sont fixées par les lignes directrices et la recommandation de la CNIL du 17 septembre 2020, dont une version consolidée a été publiée le 16 janvier 2026.

Nous installons et auditons des bandeaux sur des sites WordPress et des comptes Google Ads d'entreprises du Nord. Les défauts que nous relevons le plus concernent des sites qui ont déjà un bandeau : balises déclenchées avant le clic de l'internaute, ou bouton de refus relégué dans un second écran.

Quand le bandeau cookies est-il obligatoire ?

Le bandeau cookies est obligatoire pour tout site accessible depuis la France qui dépose ou lit un traceur soumis à consentement sur l'appareil du visiteur. Un traceur, au sens de la CNIL, désigne tout dispositif qui stocke ou lit une information sur le terminal : cookie, mais aussi pixel invisible, identifiant publicitaire mobile ou empreinte du navigateur (fingerprinting).

Le texte de référence est l'article 82 de la loi n° 78-17 du 6 janvier 1978, dite Informatique et Libertés. Il transpose l'article 5.3 de la directive 2002/58/CE, dite ePrivacy, modifiée en 2009. Il impose deux choses : informer l'utilisateur de la finalité des traceurs et des moyens de s'y opposer, puis obtenir son consentement avant tout accès à son terminal. Le RGPD, lui, définit le consentement valable : libre, spécifique, éclairé et univoque, exprimé par un acte positif clair. Depuis la fin du délai d'adaptation accordé par la CNIL, le 31 mars 2021, poursuivre sa navigation ne vaut plus consentement.

Un site vitrine sans outil publicitaire, sans contenu tiers intégré et sans Google Analytics standard peut se passer de bandeau. Presque tous les sites d'entreprise en ont pourtant besoin, car une vidéo YouTube, une carte Google Maps ou un pixel Meta suffit à basculer. Une boulangerie lilloise qui affiche son plan d'accès via Google Maps et suit ses campagnes locales dépose déjà des traceurs tiers.

Les cookies exemptés de consentement

Un cookie est exempté de consentement lorsqu'il a pour finalité exclusive de permettre la communication électronique ou qu'il est strictement nécessaire au service expressément demandé par l'utilisateur. Ces cookies peuvent être déposés sans bandeau, mais doivent être mentionnés dans votre politique de confidentialité.

La CNIL en donne une liste d'exemples dans ses lignes directrices : les traceurs qui conservent le choix exprimé sur le dépôt de cookies, ceux destinés à l'authentification ou à la sécurité, ceux qui mémorisent le panier d'un site marchand ou servent à la facturation, ceux qui personnalisent l'interface (langue, présentation) lorsque l'utilisateur l'a demandé, ceux d'équilibrage de charge, ceux qui limitent l'accès gratuit à un contenu payant et certains traceurs de mesure d'audience.

La mesure d'audience exemptée, sous conditions

La mesure d'audience peut échapper au consentement si elle respecte toutes les conditions fixées par la recommandation de la CNIL. Le traceur doit servir uniquement à mesurer l'audience du site, pour le compte exclusif de l'éditeur, et produire des statistiques anonymes. Il ne doit ni permettre le suivi de la navigation sur d'autres sites, ni conduire au recoupement des données avec d'autres traitements. Sa durée de vie est limitée, la CNIL citant treize mois sans prolongation automatique à chaque visite, et les données collectées sont conservées vingt-cinq mois au plus. Les visiteurs doivent en être informés, par exemple dans la politique de confidentialité.

La CNIL précise que certaines offres sortent de ce périmètre lorsque le fournisseur réutilise les données pour son propre compte. C'est le cas de Google Analytics 4 dans la configuration que nous rencontrons dans les comptes que nous gérons : relié à Google Ads, partageant des données avec Google, utilisé pour construire des audiences de remarketing. Il passe donc par le bandeau. Certaines solutions, comme Matomo correctement configuré, peuvent en revanche être paramétrées pour entrer dans l'exemption. Notre article sur les indicateurs GA4 à suivre en priorité rappelle quelles données vous perdez quand un visiteur refuse.

Tableau : quels cookies demandent un consentement ?

Les outils d'enregistrement de session méritent une attention particulière. Microsoft impose depuis le 31 octobre 2025 un signal de consentement pour les visites venues de l'Espace économique européen, du Royaume-Uni et de la Suisse, et la CNIL a mené jusqu'au 25 février 2026 une consultation publique sur ces outils de « session replay ». Notre guide de Microsoft Clarity détaille le branchement de ce signal.

Les règles de la CNIL pour un bandeau cookies conforme

Un bandeau cookies conforme à la CNIL informe clairement sur les finalités et les responsables des traceurs, ne dépose rien avant le choix de l'internaute, propose de refuser aussi simplement que d'accepter et permet de changer d'avis à tout moment. Ces exigences figurent dans la recommandation de la CNIL, dont la version consolidée du 16 janvier 2026 intègre aussi un volet sur le consentement recueilli sur plusieurs appareils (délibération n° 2025-131 du 18 décembre 2025).

Informer avant de demander

Le premier écran du bandeau présente les finalités dans des termes compréhensibles (« mesurer l'audience », « afficher des publicités personnalisées »), avec un accès direct à une description détaillée et à la liste à jour des sociétés qui déposent des traceurs (les « partenaires »). Un bandeau qui se contente de « Nous utilisons des cookies pour améliorer votre expérience » est insuffisant : c'est précisément le défaut d'information sanctionné dans plusieurs décisions de 2025.

Refuser aussi facilement qu'accepter

La recommandation cite comme moyen simple et clair des boutons de formulation équivalente, « Tout accepter » et « Tout refuser », présentés au même niveau, dans le même format, avec la même taille de police et la même mise en évidence. Dans son bilan du 6 juillet 2026 sur les sanctions simplifiées, la CNIL l'écrit sans détour : si un site permet d'accepter tous les cookies en un clic, il doit permettre de tous les refuser en un clic. Un lien « Continuer sans accepter » est admis, à condition qu'il soit lisible et que l'internaute comprenne qu'il refuse. La même logique s'applique à la croix de fermeture : si fermer le bandeau vaut refus, la CNIL demande que ce soit clairement indiqué sur le bandeau.

Pour le choix finalité par finalité, la CNIL suggère un troisième bouton du type « Personnaliser mes choix », placé au même niveau que les deux autres. Les cases ne doivent jamais être précochées.

Conserver le choix, et le rendre modifiable

La CNIL considère que conserver le choix de l'internaute, consentement comme refus, pendant six mois constitue une bonne pratique. Un bandeau qui réapparaît à chaque page après un refus pousse à accepter par lassitude. Le retrait doit être aussi simple que l'accord : un lien « Gérer les cookies » dans le pied de page, à côté des mentions légales de votre site, permet de rouvrir le panneau à tout moment. Le retrait doit arrêter réellement la lecture des cookies déjà déposés, et pas seulement l'exploitation des données.

Pouvoir prouver le consentement

L'éditeur doit être capable de démontrer que le consentement a été recueilli valablement. La CNIL cite notamment la conservation horodatée des versions du code et des captures d'écran du bandeau, ou l'historique des configurations de la plateforme de consentement, que les CMP du marché tiennent à condition de l'activer.

Cookie wall : peut-on bloquer l'accès en cas de refus ?

Un cookie wall, ou mur de traceurs, conditionne l'accès au site à l'acceptation des cookies. Il n'est pas interdit par principe, mais sa légalité s'apprécie au cas par cas. Le Conseil d'État a jugé, le 19 juin 2020, que la CNIL ne pouvait pas l'interdire de manière générale dans des lignes directrices. La CNIL a publié le 16 mai 2022 des premiers critères d'évaluation, dont le principal est l'existence d'une alternative réelle et équitable pour l'internaute qui refuse, par exemple un accès au même contenu contre un paiement raisonnable.

Pour un site vitrine, une boutique en ligne ou un cabinet d'expertise comptable, le cookie wall crée un risque juridique sans contrepartie : il concerne surtout les éditeurs de presse.

Bandeau cookies non conforme : les sanctions CNIL récentes

Les cookies sont l'un des premiers motifs de sanction de la CNIL. Selon son bilan 2025, vingt et un organismes ont été sanctionnés cette année-là pour des manquements aux règles sur les traceurs, par la formation restreinte ou en procédure simplifiée. La CNIL peut prononcer une amende allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial pour les manquements les plus graves, assortie d'une injonction sous astreinte. Sa procédure simplifiée, plafonnée à 20 000 euros, vise des structures de toutes tailles.

La liste publique des sanctions de la CNIL montre que les petites amendes visent des acteurs ordinaires : une société de vente par catalogue, un magasin de chaussures, un éditeur de magazine. Dix-neuf des vingt-trois procédures de ce bilan sont parties de plaintes, ce qui signifie qu'un internaute, un concurrent ou une association suffit à déclencher un contrôle.

Consent Mode v2 : ce que Google impose aux annonceurs

Le mode Consentement (Consent Mode) est un mécanisme de Google qui transmet à ses balises (Google Ads, GA4, Floodlight, Conversion Linker) le choix exprimé par l'internaute dans votre bandeau. Il complète le bandeau en relayant le choix de l'internaute vers Google.

Google a ajouté en novembre 2023 deux paramètres aux deux existants, d'où le nom de « v2 ». Selon l'aide Google Ads, quatre signaux circulent désormais :

• ad_storage : autorise ou non les cookies publicitaires ;
• analytics_storage : autorise ou non les cookies de mesure d'audience ;
• ad_user_data : autorise ou non l'envoi à Google de données utilisateur à des fins publicitaires, nécessaire à la mesure des conversions et aux conversions améliorées ;
• ad_personalization : autorise ou non la publicité personnalisée, dont le remarketing.

Depuis début mars 2024, Google applique sa politique relative au consentement des utilisateurs de l'Union européenne : un annonceur qui ne transmet pas ces signaux voit ses audiences privées des utilisateurs de l'Espace économique européen, et perd une partie de sa mesure. Pour une entreprise française qui fait du remarketing ou optimise ses enchères sur les conversions, c'est devenu une condition de fonctionnement, au même titre que le pixel Meta bien installé côté Facebook et Instagram.

Mode de base ou mode avancé

Google propose deux implémentations. En mode de base, les balises Google restent bloquées tant que l'internaute n'a pas interagi avec le bandeau : rien ne part vers Google avant le choix, et rien du tout en cas de refus. En mode avancé, les balises se chargent dès l'arrivée sur la page avec un consentement refusé par défaut ; en cas de refus, elles envoient des « pings » sans cookie (signaux techniques indiquant l'état du consentement et certains événements), que Google utilise pour modéliser les conversions perdues.

Le mode avancé récupère davantage de données, mais il implique un échange avec les serveurs de Google malgré le refus, et la CNIL ne s'est pas prononcée spécifiquement sur ce mode. Nous configurons le mode de base par défaut, et réservons le mode avancé aux annonceurs qui l'ont validé avec leur délégué à la protection des données ou leur conseil.

Choisir sa plateforme de gestion du consentement (CMP)

Une CMP (Consent Management Platform, plateforme de gestion du consentement) est l'outil qui affiche le bandeau, enregistre les choix, bloque les traceurs tant que le consentement manque et transmet les signaux aux outils publicitaires. Pour un annonceur Google, le premier critère est simple : la CMP doit figurer dans le programme de partenaires CMP de Google, qui recense les plateformes intégrées au Consent Mode.

Cette liste a été vérifiée sur l'annuaire du programme de partenaires CMP de Google le 16 octobre 2026. Tarteaucitron sait transmettre les signaux du Consent Mode, mais demande une configuration manuelle plus exigeante et n'apporte pas la garantie d'une intégration certifiée. Vérifiez ensuite le blocage automatique des scripts avant consentement, le registre des preuves, le prix selon votre trafic et le poids du script, qui pèse sur les indicateurs de vitesse détaillés dans notre guide pour améliorer la vitesse de votre site.

Installer un bandeau cookies sur WordPress

Sur WordPress, un bandeau cookies s'installe par une extension de CMP ou par Google Tag Manager, et la méthode la plus fiable combine les deux : la CMP affiche le bandeau, GTM conditionne chaque balise au consentement. Voici la marche que nous suivons sur les sites de nos clients.

1. Inventorier les traceurs. Ouvrez le site en navigation privée, outils de développement du navigateur ouverts (onglet Application, rubrique Cookies), et notez chaque cookie et chaque service tiers.
2. Retirer les scripts codés en dur. Les balises collées dans le header par un ancien prestataire ou une extension échappent à la CMP. Elles doivent passer dans GTM ou être bloquées par la CMP.
3. Installer la CMP via son extension ou son script, en le chargeant avant GTM, puis paramétrer textes, finalités et boutons (« Tout accepter », « Tout refuser », « Personnaliser » au même niveau).
4. Brancher le Consent Mode v2 : activer l'intégration Google dans la CMP, ou utiliser son modèle dans la galerie de GTM. Le guide Google Tag Manager pas à pas explique les déclencheurs et le mode aperçu dont vous aurez besoin.
5. Conditionner les balises non Google (Meta, LinkedIn, Clarity, Hotjar) aux bonnes catégories de consentement dans GTM.
6. Ajouter le lien « Gérer les cookies » dans le pied de page et mettre à jour la politique de confidentialité.
7. Tester les trois parcours : aucun clic, refus, acceptation, en vérifiant les cookies et les requêtes réseau à chaque fois.

Pensez aussi à l'usage du bandeau au clavier et au lecteur d'écran : un panneau impossible à fermer sans souris bloque une partie de vos visiteurs et entre en conflit avec les obligations d'accessibilité numérique. Si vous refaites votre site, intégrez la CMP dès la conception : c'est l'une des briques que notre équipe création de site web livre configurée et testée.

Les erreurs les plus fréquentes sur les bandeaux cookies

Les erreurs de bandeau cookies tiennent surtout à l'écart entre ce que le bandeau affiche et ce que le site fait réellement. Celles que nous relevons le plus lors de nos audits :

• Des balises qui se déclenchent avant le choix. Le bandeau s'affiche, mais le pixel Meta ou la balise Google Ads est déjà parti, parce qu'il est codé dans le thème ou déclenché dans GTM sur « All Pages » sans condition de consentement.
• Un refus caché. Seul « Accepter » apparaît au premier niveau, le refus est derrière « Paramétrer » ou sous forme de lien gris minuscule. C'est le motif le plus cité par la CNIL.
• Des cases précochées dans le panneau de personnalisation.
• Un refus qui n'est pas mémorisé, et un bandeau qui revient à chaque visite.
• Des intégrations oubliées : vidéo YouTube, carte Google Maps, widget d'avis ou chat qui déposent leurs cookies hors du contrôle de la CMP.
• Un Consent Mode mal branché : signaux envoyés après les balises, ou les quatre paramètres pas tous transmis, ce qui fait chuter les conversions remontées dans Google Ads.

Un bandeau conforme le jour de son installation ne le reste pas : chaque nouvelle balise ou extension doit être vérifiée. C'est un contrôle que nous intégrons à nos contrats de webmastering, et notre article sur le coût de la maintenance d'un site détaille ce qu'un suivi régulier doit couvrir.

Comment vérifier que votre bandeau cookies fonctionne

Vérifier un bandeau cookies consiste à contrôler, dans le navigateur, qu'aucun traceur soumis à consentement n'est déposé ni appelé avant l'acceptation et après un refus. Le test prend dix minutes et ne demande aucun outil payant.

1. Ouvrez une fenêtre de navigation privée, puis les outils de développement (F12), onglets Application et Réseau.
2. Chargez la page d'accueil sans cliquer sur le bandeau. Dans Application, seuls les cookies techniques et celui de la CMP doivent apparaître. Dans Réseau, filtrez sur « facebook », « google-analytics », « googleadservices » ou « doubleclick » : aucun appel ne doit contenir de cookie publicitaire.
3. Cliquez sur « Tout refuser », naviguez sur deux ou trois pages et refaites le contrôle.
4. Rouvrez le panneau via le lien du pied de page, acceptez, et vérifiez que les balises se déclenchent bien.
5. Dans Google Tag Assistant, contrôlez l'état des quatre paramètres du Consent Mode au chargement et après chaque choix.

Après la mise en conformité, attendez-vous à une baisse des sessions dans GA4 et des conversions observées dans Google Ads, puisque les visiteurs qui refusent sortent des statistiques. Une mesure propre de vos campagnes, avec des paramètres UTM cohérents et un Consent Mode branché, limite cette perte. Notre équipe data et tracking réalise ce diagnostic sur GTM, GA4 et Google Ads.