Cookies sans consentement : ce que vous risquez vraiment en France

En 2026, la CNIL a intensifié ses contrôles automatisés et les sanctions pleuvent sur les sites non conformes — des PME autant que les géants du numérique. Voici tout ce qu'il faut savoir pour être en règle.

Le cadre légal : trois textes, une seule règle

En France, l'utilisation des cookies sur un site internet est encadrée par une combinaison de textes : le RGPD (Règlement Général sur la Protection des Données, en vigueur depuis 2018), la directive ePrivacy transposée à l'article 82 de la loi Informatique et Libertés, et les recommandations de la CNIL publiées en 2020 et mises à jour depuis.

La règle fondamentale est simple : tout cookie ou traceur qui n'est pas strictement nécessaire au fonctionnement technique du site ne peut être déposé sur le terminal d'un visiteur qu'après recueil de son consentement explicite. Cela concerne les cookies publicitaires, les cookies de réseaux sociaux, et la quasi-totalité des outils d'analyse d'audience comme Google Analytics.

Les sanctions encourues

Les conséquences d'un défaut de conformité peuvent être lourdes. La CNIL dispose d'un arsenal répressif complet : mise en demeure, injonction sous astreinte, amende administrative, et publication de la sanction — ce dernier point pouvant causer un sérieux préjudice réputationnel.

Ce que dit concrètement la loi

L'article 82 de la loi Informatique et Libertés est le texte de référence. Il conditionne le dépôt de cookies au consentement de l'utilisateur et lui confère corrélativement le droit de retirer ce consentement à tout moment. Ce retrait doit être aussi simple que l'acceptation initiale.

« Un bouton 'Refuser' doit être aussi visible et accessible que le bouton 'Accepter'. »

Cookies exemptés de consentement

Tous les cookies ne nécessitent pas un consentement. La CNIL prévoit des exemptions pour les traceurs strictement nécessaires au fonctionnement du service. Voici les principales catégories :

Les bonnes pratiques : la checklist complète

Voici ce que vous devez mettre en place pour être conforme aux exigences de la CNIL en 2026. Ces obligations s'appliquent à tout éditeur de site web accessible depuis la France, quelle que soit la taille de la structure.

• 1
  Afficher un bandeau dès la première visite, avant tout dépôt de cookie non essentiel. Aucun traceur non nécessaire ne doit être activé tant que l'utilisateur n'a pas fait son choix.
• 2
  Proposer un bouton « Tout refuser » aussi visible que « Tout accepter », sur le même écran, avec le même format graphique. L'accès au refus ne peut pas nécessiter plus d'étapes que l'acceptation.
• 3
  Informer clairement l'utilisateur sur les finalités des cookies (publicité, audience, partage social…), leur durée de conservation, et l'identité des tiers qui y auront accès.
• 4
  Permettre un retrait du consentement aussi simple que son octroi. Un lien ou bouton d'accès aux préférences doit rester accessible à tout moment (pied de page, interface dédiée).
• 5
  Conserver la preuve du consentement pendant 13 mois maximum (durée de validité recommandée). Votre CMP (outil de gestion du consentement) doit horodater et archiver ces consentements en cas de contrôle.
• 6
  Auditer régulièrement les cookies déposés sur votre site. Des outils comme CookieViz (CNIL), TarteAuCitron ou Axeptio permettent de détecter tous les traceurs actifs, y compris ceux introduits par des plugins tiers.
• 7
  Configurer Google Analytics pour la conformité : activation de l'anonymisation IP, désactivation des fonctionnalités publicitaires, et intégration dans une CMP qui bloque son déclenchement avant consentement.
• 8
  Rédiger une politique de cookies accessible et compréhensible, détaillant chaque traceur, sa finalité, son émetteur et sa durée de vie. Cette page peut être intégrée à la politique de confidentialité.

En 2026, les contrôles sont automatisés

La CNIL a déployé des robots capables de détecter automatiquement les sites non conformes à grande échelle. Elle analyse périodiquement les 1 000 sites à plus forte audience en France et traite les plaintes d'associations comme NOYB, particulièrement actives sur ce sujet. En 2025, elle a adressé 143 mises en demeure et prononcé 83 sanctions.

La mise en conformité n'est pas une contrainte optionnelle : c'est une obligation légale, un signal de confiance pour vos visiteurs, et une protection contre des risques financiers et réputationnels significatifs. Les outils existent, les ressources de la CNIL sont publiques et gratuites — il n'y a plus d'excuse valable pour ne pas agir.