Cookies, RGPD et consentement
Ce qu’un site doit vraiment afficher

Une bannière cookies ne prouve pas la conformité

Beaucoup de sites affichent aujourd’hui une bannière cookies. Pourtant, cela ne signifie pas forcément que le site est conforme.

Une bannière peut être présente mais mal configurée. Elle peut proposer un bouton “Tout accepter” plus visible que le refus, déposer des traceurs avant le choix de l’utilisateur, oublier les scripts chargés via Google Tag Manager, ne pas permettre de revenir facilement sur son choix, ou présenter des catégories trop vagues.

Pour un dirigeant de PME, le sujet n’est pas de devenir spécialiste du RGPD. Le sujet est de comprendre ce qui doit être vérifié : quels traceurs sont présents, pourquoi ils sont là, qui les dépose, à quel moment, avec quelle information, avec quel consentement, et avec quelle preuve.

Cookie, traceur, pixel, script : de quoi parle-t-on ?

Le mot “cookie” est souvent utilisé pour désigner des réalités différentes. La CNIL précise que les termes “cookie” ou “traceur” recouvrent notamment les cookies HTTP, les pixels invisibles, les identifiants générés par un logiciel ou un système d’exploitation, ainsi que certaines techniques comme le fingerprinting.[1]

Le risque est de croire que seuls les cookies visibles dans le navigateur comptent. En réalité, un site peut intégrer des traceurs via le thème, un plugin WordPress, Google Tag Manager, un formulaire, un outil de chat, une vidéo intégrée, un module de réservation, une carte interactive ou un outil publicitaire.

Tous les cookies ne nécessitent pas un consentement

La règle n’est pas : “tout cookie est interdit sans consentement”. Certains traceurs sont nécessaires au fonctionnement du service.

La CNIL indique que le consentement préalable est requis pour les cookies qui ne sont pas strictement nécessaires à la fourniture d’un service demandé par l’utilisateur ou qui n’ont pas pour finalité exclusive de permettre ou faciliter une communication électronique. Elle cite notamment les cookies publicitaires et certains cookies de réseaux sociaux comme nécessitant une information et un consentement préalables.[1]

Ce qu’un site doit vraiment afficher

Un site ne doit pas seulement afficher une bannière. Il doit fournir une information claire et permettre un choix réel.

La CNIL précise que l’information doit être visible, mise en évidence, complète, rédigée en termes simples et compréhensibles, et permettre aux internautes d’être informés des finalités des cookies ainsi que de l’identité des responsables des traitements.[1]

La bannière n’est donc qu’un point d’entrée. La conformité dépend aussi de ce qui se passe derrière : blocage préalable, gestion des choix, preuve, documentation et maintenance.

Accepter et refuser : le même niveau de simplicité

La CNIL indique que l’utilisateur doit pouvoir accepter ou refuser le dépôt et la lecture des cookies avec le même degré de simplicité. Elle précise aussi que le consentement doit pouvoir être retiré simplement et à tout moment.[1]

Quels traceurs bloquer avant consentement ?

Tant que l’utilisateur n’a pas donné son consentement, les cookies soumis au consentement ne peuvent pas être déposés ou lus sur son terminal. La CNIL le rappelle explicitement dans ses règles sur les cookies et traceurs.[1]

Le piège fréquent vient de Google Tag Manager : la bannière peut sembler fonctionner, mais des balises se déclenchent quand même avant le consentement. Il faut tester le site en conditions réelles, avec un navigateur propre, sans avoir déjà accepté les cookies.

Consentement obligatoire ou exemption possible ?

La mesure d’audience est l’un des sujets les plus mal compris. Certains outils de statistiques peuvent être exemptés de consentement s’ils respectent des conditions strictes. Cela ne signifie pas que tous les outils d’analytics sont exemptés.

Pour une PME, le bon réflexe est de ne pas supposer qu’un outil est exempté parce qu’il “fait seulement des statistiques”. Il faut vérifier la finalité réelle, les données collectées, les tiers impliqués et la configuration.

Google Analytics, Consent Mode v2 et outils publicitaires

Beaucoup d’entreprises utilisent Google Analytics, Google Ads, Meta Pixel ou LinkedIn Ads. Ces outils peuvent être utiles, mais ils nécessitent une configuration rigoureuse.

Le Consent Mode de Google ne remplace pas le consentement. Il permet d’adapter le comportement des balises Google selon les choix exprimés par l’utilisateur. Depuis 2024, le Consent Mode v2 est devenu un point de configuration important pour les annonceurs qui utilisent les services publicitaires Google dans l’Espace économique européen.

Politique cookies, politique de confidentialité : ne pas confondre

Un site peut avoir une politique de confidentialité correcte mais une gestion cookies insuffisante. La politique cookies doit être adaptée au site réel : traceurs utilisés, finalités, durées, tiers, moyens de retrait et coordonnées de contact.

Plugins et CMP : les erreurs fréquentes

Sur WordPress, les erreurs viennent souvent de l’empilement d’outils. La conformité dépend rarement d’un seul plugin. Elle dépend de la façon dont le thème, les extensions, les scripts tiers et la CMP sont configurés ensemble.

Ce qu’il faut prouver

La CNIL indique que chaque acteur se prévalant du consentement doit être en mesure d’en apporter la preuve. Elle cite notamment la conservation d’éléments horodatés, des captures d’écran du rendu affiché, des audits réguliers ou les informations relatives aux outils de recueil du consentement et à leurs configurations successives.[1]

Consentement et conversion : éviter les faux arbitrages

Certaines entreprises craignent qu’une bannière conforme réduise les données analytics ou publicitaires. C’est possible. Mais une bannière agressive ou trompeuse crée un autre risque : perte de confiance, non-conformité, mauvaise expérience utilisateur.

Pour un dirigeant, c’est aussi un sujet de qualité de pilotage. Des données collectées dans de mauvaises conditions peuvent être difficiles à exploiter sereinement.

Les sanctions et contrôles : un risque réel, à proportionner

Les cookies restent un sujet de contrôle important pour la CNIL. En 2025, des sanctions élevées ont été prononcées contre de grands acteurs pour des manquements liés aux cookies, à l’information et au consentement, notamment Google et Shein selon la presse économique et généraliste.[6]

Pour une PME, l’enjeu n’est pas de comparer son risque à celui d’un géant du numérique. L’enjeu est de comprendre que les traceurs sont un sujet contrôlé, documenté et sanctionnable. Les manquements peuvent entraîner des demandes de mise en conformité, des contrôles, des mises en demeure ou des sanctions selon le contexte.

Méthode simple pour auditer son site

Les pièges à éviter

• ⚠Penser qu’une bannière suffitLa conformité reste seulement apparente si les scripts partent avant le choix.
• ⚠Copier le texte d’un autre siteL’information devient inexacte et non adaptée aux traceurs réels.
• ⚠Oublier Google Tag ManagerLes balises peuvent se déclencher hors contrôle.
• ⚠Ne pas proposer “Tout refuser”Le choix peut devenir déséquilibré.
• ⚠Déposer des pixels avant choixLa collecte peut intervenir sans consentement valable.
• ⚠Oublier le retrait du consentementLe choix n’est pas réellement réversible.
• ⚠Ne pas documenter les preuvesLa conformité devient difficile à démontrer.
• ⚠Ne jamais refaire d’auditUn site conforme hier peut ne plus l’être demain.

Checklist dirigeant : que vérifier maintenant ?

Ce que les dirigeants demandent souvent