Gérer le consentement aux cookies et la collecte de données

Pour déposer ou bloquer des cookies sur un site français, il faut respecter le RGPD et les recommandations de la CNIL : le consentement préalable est requis pour tout traceur non strictement nécessaire, il doit être libre, spécifique, éclairé et matérialisé par un acte positif clair, et aucun traceur non essentiel ne doit être posé avant ce consentement.

Pourquoi ça compte : enjeux juridiques et opérationnels

Le cadre applicable combine le RGPD européen et la pratique de la CNIL en France. Le RGPD définit les conditions de validité du consentement, que la Commission européenne expose comme libre, spécifique, éclairé et exprimé par un acte positif clair.

La CNIL publie des lignes directrices et une recommandation consolidée qui détaillent des modalités pratiques de mise en conformité : contenu du bandeau, architecture du recueil, options, et traçabilité du consentement.

Sur le plan opérationnel, la non‑conformité expose à des contrôles et à la nécessité de produire des preuves : inventaire des traceurs, logs de consentement, versions du CMP. En cas de doute sur des traitements complexes ou des engagements contractuels multi‑parties, il convient de solliciter un DPO ou un avocat spécialisé pour un examen ciblé.

Principes-clés à respecter

Consentement préalable : tout dépôt de cookies ou traceurs non strictement nécessaires doit être suspendu tant que l’internaute n’a pas donné son accord. Le dépôt avant consentement est interdit, sauf pour les cookies strictement nécessaires au service.

Conditions du consentement : il doit être libre (pas de pression ou d’entrave), spécifique (par finalité), éclairé (informations compréhensibles sur finalités et responsables) et matérialisé par un acte positif clair (clic, réglage explicite). Les interfaces doivent rendre le refus aussi simple et visible que l’acceptation.

Exemptions : les traceurs strictement nécessaires au fonctionnement du service ne nécessitent pas de consentement. Les traceurs de mesure d’audience peuvent, sous conditions précises (anonymisation, usage interne limité à la statistique), être exemptés. Ces conditions sont décrites par la CNIL.

Mise en œuvre pratique recommandée

Bandeau initial : proposer un bandeau clair dès la première page qui présente les finalités principales et offre au moins trois actions visibles : « tout accepter », « tout refuser » et « paramétrer » pour un réglage fin. Aucun traceur non essentiel ne doit être actif avant le choix explicite.

Page ou volet de paramétrage : fournir une liste détaillée des finalités, des responsables de traitement et, si pertinent, des prestataires tiers. Permettre l’activation/désactivation par finalité et indiquer la durée de conservation. L’utilisateur doit pouvoir retirer son consentement aussi simplement qu’il l’a donné.

Accès permanent au paramétrage : prévoir une icône ou un lien visible sur toutes les pages pour modifier les choix. La CNIL recommande cet accès permanent pour garantir la transparence et la facilité d’exercice des droits.

Traçabilité et archivage : conserver des logs horodatés des consentements, la version du CMP utilisée et la liste des finalités au moment du choix. Ces éléments servent de preuve en cas de contrôle.

Mesure d’audience conforme : si l’éditeur souhaite bénéficier d’une exemption pour les outils de mesure d’audience, appliquer strictement les conditions énoncées par la CNIL (anonymisation, usage interne, finalités limitées). Vérifier les conditions applicables avant de présumer de l’exemption.

Cas particuliers

Cookie walls et accès payant : la CNIL a publié des critères d’évaluation pour les « cookie walls ». L’autorité admet que l’interdiction générale n’est pas automatique, mais recommande qu’une alternative réelle et satisfaisante soit proposée si l’accès est conditionné. Chaque cas doit être évalué selon ces critères.

Multi-domaines et sous-domaines : la gestion du consentement inter‑domaines implique des vérifications contractuelles et de responsabilité entre responsables et sous‑traitants. Les règles de la CNIL offrent des repères pour organiser ces flux, mais il peut être nécessaire d’ajuster la gouvernance selon l’architecture technique.

Intégration de tags tiers : tout tag tiers (publicité, réseaux sociaux, widgets) doit être bloqué techniquement tant que le consentement n’est pas acquis pour la finalité correspondante. Charger conditionnellement les scripts après validation réduit le risque de dépôt non autorisé.

Applications mobiles et webapps : les mêmes principes de consentement et d’information s’appliquent. La CNIL rappelle que la portabilité des choix et la lisibilité des finalités doivent être adaptées aux interfaces mobiles.

Checklist opérationnelle

• Réaliser un inventaire des traceurs et les catégoriser (nécessaires, mesure d’audience, publicitaires, préférences, autres).
• Définir l’architecture du recueil : bandeau initial, page/volet de paramétrage, accès permanent.
• Mettre en place la traçabilité : logs horodatés, version CMP, finalités au moment du choix.
• Tester le refus : vérifier qu’aucun cookie tiers n’est posé si l’utilisateur refuse.
• Mettre à jour la page cookies et la politique de confidentialité avec les durées de conservation et les responsables.
• Planifier des audits réguliers pour vérifier les blocages techniques, les exports de consentements et la conformité des prestataires.

Quand consulter un expert / modèles d’escalade

Consulter un DPO ou un avocat est recommandé en présence de traitements complexes : profilage à grande échelle, transferts internationaux, chaines de sous‑traitance nombreuses, ou doute sur la qualification juridique d’un traitement. Un expert aidera à documenter la responsabilité conjointe ou séparée et à rédiger les clauses contractuelles nécessaires.

En cas de contrôle CNIL, préparer les éléments suivants : inventaire des traceurs, logs de consentement horodatés, preuve d’information fournie au moment du recueil, version du CMP utilisée et preuve des tests effectués (test de refus, blocage des tiers). Ces documents facilitent la réponse à toute demande d’information.

Ressources officielles et textes utiles

Consulter les documents officiels pour toute mise à jour et pour valider des choix techniques ou juridiques :

• CNIL — Les règles à respecter (cookies et autres traceurs). https://www.cnil.fr/fr/cookies-et-autres-traceurs/regles — consulté le 04/09/2026.
• CNIL — Questions/réponses sur les lignes directrices et recommandation. https://www.cnil.fr/fr/questions-reponses-lignes-directrices-modificatives-et-recommandation-cookies-traceurs — consulté le 04/09/2026.
• CNIL — Cookie walls : premiers critères d’évaluation. https://www.cnil.fr/fr/cookie-walls-la-cnil-publie-des-premiers-criteres-devaluation — consulté le 04/09/2026.
• CNIL — Recommandation consolidée (modalités pratiques). https://www.cnil.fr/sites/default/files/2026-01/recommandation_cookies_consolidee.pdf — consulté le 04/09/2026.
• Commission européenne — Bases juridiques pour le traitement des données (consentement). https://commission.europa.eu/law/law-topic/data-protection/information-business-and-organisations/legal-grounds-processing-data_en — consulté le 04/09/2026.
• LINC (CNIL) — Étude sur protection des données et cookies. https://linc.cnil.fr/etude-protection-des-donnees-et-cookies-leclairage-des-sciences-comportementales — consulté le 04/09/2026.

Encadré : ceci n’est pas un avis juridique

Cette page est un article d’information générale fondé sur les recommandations publiques de la CNIL et les exigences du RGPD. Elle ne remplace pas un avis juridique personnalisé. Pour un diagnostic précis, s’adresser à un DPO ou à un avocat spécialisé.

Sources

• cnil.fr
• commission.europa.eu

Paul Lambert

Rédacteur spécialisé · référencement, stratégie digitale, contenu en ligne

Paul se concentre sur des stratégies de référencement et des contenus en ligne impactants. Il vérifie systématiquement ses sources pour garantir des informations précises et pertinentes dans ses articles.

Voir tous les articles de Paul