Un bandeau qui propose « Tout accepter » en un clic et cache le refus dans un sous-menu n'est pas conforme à ce que la CNIL attend. Sa règle tient en une phrase : refuser les traceurs doit être aussi aisé que de les accepter. Elle date de septembre 2020, mais c'est l'une des erreurs que l'on rencontre le plus souvent sur un site.
Ce que dit la loi
L'article 82 de la loi Informatique et Libertés (loi n° 78-17 du 6 janvier 1978) transpose l'article 5.3 de la directive ePrivacy. Il impose d'informer l'utilisateur de manière claire et complète de la finalité de l'accès ou de l'inscription d'informations dans son terminal, et des moyens de s'y opposer. Ces accès ou inscriptions ne peuvent avoir lieu qu'après son consentement.
Ce que la CNIL ajoute
Dans ses lignes directrices modificatives et sa recommandation de septembre 2020, la CNIL précise que la simple poursuite de la navigation ne peut plus être considérée comme une expression valide du consentement : il faut un acte positif clair. Elle recommande aussi que l'interface de recueil propose un bouton « Tout refuser » à côté du bouton « Tout accepter », et que l'utilisateur puisse retirer son consentement facilement et à tout moment.
Ce qui ne demande pas de consentement
L'article 82 prévoit deux exceptions : l'accès ou l'inscription dont la finalité exclusive est de permettre ou faciliter la communication par voie électronique, et celui qui est strictement nécessaire à la fourniture d'un service de communication en ligne demandé expressément par l'utilisateur. La CNIL cite en pratique l'authentification, la conservation d'un panier d'achat et certaines mesures d'audience. Ces traceurs-là ne passent pas par le bandeau.
Ce que risque un site non conforme
La CNIL peut mettre en demeure l'organisme, puis prononcer une amende administrative. Le plafond est de 10 000 000 € ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu, et il monte à 20 000 000 € ou 4 % dans les cas visés par l'article 83 du RGPD. Ce sont des plafonds, pas des tarifs : une petite entreprise n'est pas exposée comme un grand groupe.
Quatre vérifications à faire chez vous
Le refus est-il visible dès le premier niveau du bandeau ? Ouvrez votre site en navigation privée et comptez les clics pour accepter, puis pour refuser.
Aucun traceur ne se dépose-t-il avant le choix ? L'onglet « Application » des outils du navigateur montre ce qui est écrit dès l'arrivée sur la page.
Pouvez-vous retirer votre choix ? Un lien permanent en pied de page est le plus simple.
Votre politique de cookies correspond-elle aux outils réellement installés ? Un pixel publicitaire ajouté par un prestataire rend la page fausse sans que personne ne le remarque.
La conformité reste de la responsabilité du professionnel : cet article informe, il ne remplace pas l'avis d'un avocat ou d'un DPO sur une situation précise.
Source : article 82 et article 20 (IV, 7°) de la loi n° 78-17 du 6 janvier 1978, pages « La loi Informatique et Libertés » de cnil.fr ; « Cookies et autres traceurs : la CNIL publie des lignes directrices modificatives et sa recommandation », cnil.fr, pages consultées le 3 novembre 2026.
