Sur votre site, vous avez peut-être un bandeau de cookie. Vous l'avez installé parce qu'on vous a dit que c'était obligatoire. Ou peut-être que vous n'avez pas de bandeau de consentement et vous vous demandez si vous respectez la loi ou pas.
Le gros problème : personne ne vous explique vraiment d'où sort cette règle. Vous ne savez pas si elle vous concerne ou pas. Et là on tient un vrai problème. Certains sites affichent un bandeau alors qu'ils n'en ont pas besoin et d'autres pensent à tort qu'ils ne doivent pas l'afficher.
On va reprendre tout ça calmement. Je vous explique en détail pourquoi vous devez ou non afficher ce bandeau. Cet article a été écrit le 3 août 2026, pensez à vérifier s'il y a eu d'éventuelles mises à jour entre temps.
TL;DR – Ce qu'il faut retenir en 30 secondes
Le bandeau ne vient pas du RGPD, il vient de l'article 82 de la loi Informatique et Libertés. Vous devez l'afficher seulement si votre site dépose des traceurs qui demandent le consentement : la publicité, les réseaux sociaux, la mesure d'audience non exemptée. Si votre site vitrine n'utilise rien de tout ça, vous n'avez pas besoin de bandeau. Et si vous en avez besoin, retenez une chose : refuser doit être aussi simple qu'accepter, dès le premier écran. Depuis le 1er janvier 2026, c'est à vous de prouver que vos outils sont exemptés.
Table des matières
- 1. Le bandeau cookies ne vient pas du RGPD
- 2. Votre site a-t-il seulement besoin d'un bandeau ?
- 3. Ce qui a changé au 1er janvier 2026
- 4. À quoi ressemble un bandeau conforme
- 5. Les erreurs qui font sanctionner
- 6. Google Analytics et Google Ads : le cas qui vous oblige au bandeau
- 7. Comment je fais, moi
- FAQ
1. Le bandeau cookies ne vient pas du RGPD
On parle de « bandeau RGPD » un peu partout, mais ce n'est pas le RGPD qui vous impose ce bandeau.
La règle vient de l'article 82 de la loi Informatique et Libertés. Cet article reprend une directive européenne qui s'appelle ePrivacy et qui date de 2002. Le RGPD, lui, date de 2018. Il est arrivé seize ans après.
Du coup vous ne devez pas vous demander si vous traitez des données personnelles ou pas. Vous devez vous demander si vous écrivez quelque chose sur l'ordinateur de votre visiteur ou pas. Ce n'est pas la même question.
Et pendant qu'on y est : le règlement ePrivacy doit remplacer la directive de 2002 depuis des années et il n'est toujours pas adopté. Donc en France c'est la CNIL qui fait la doctrine. C'est sur son site officiel que vous pourrez vérifier.
2. Votre site a-t-il seulement besoin d'un bandeau ?
Ceux qui parlent le plus des bandeaux cookies, ce sont ceux qui les vendent. Ça explique pas mal de choses.
Vous devez afficher un bandeau seulement si vous déposez des traceurs qui demandent le consentement. Vous n'en déposez aucun ? Alors vous n'avez pas besoin de bandeau. Pas un bandeau allégé, pas un bandeau discret. Pas de bandeau du tout.
Deux familles de traceurs échappent au consentement. Il y a d'abord ceux dont votre site a strictement besoin pour rendre le service que votre visiteur demande : le cookie qui garde son panier, le jeton qui le garde connecté, sa préférence de langue. Ceux-là vous pouvez les déposer sans rien demander. Vous devez juste les mentionner dans votre politique de confidentialité.
Il y a ensuite la mesure d'audience, mais vous devez respecter quatre conditions et elles sont cumulatives. Vous mesurez seulement l'audience de votre site et rien d'autre. Vous produisez des statistiques anonymes et elles servent seulement à vous. Vous ne croisez ces données avec rien et vous ne les transmettez à personne. Et vous ne suivez pas votre visiteur d'un site à l'autre. Il vous en manque une ? Alors vous devez demander le consentement.
3. Ce qui a changé au 1er janvier 2026
Ce changement est passé assez inaperçu. Et si vous comptez sur ces exemptions, il vous concerne.
Jusqu'à fin 2025, la CNIL publiait une liste. Elle y mettait les solutions de mesure d'audience qu'elle avait évaluées, celles que vous pouviez utiliser sans bandeau. Vous en preniez une dans la liste et vous étiez tranquille. Cette liste a disparu le 1er janvier 2026. À la place, la CNIL a mis un dispositif d'auto-évaluation et il s'adresse aux éditeurs de solutions.
Du coup si on vous contrôle, c'est vous qui devez démontrer que votre configuration respecte les quatre conditions. Vous n'avez plus de liste officielle derrière laquelle vous abriter. Le fournisseur de l'outil a sa part de responsabilité, d'accord. Mais l'éditeur du site aussi. Et l'éditeur du site, c'est vous.
Alors forcément, une autre option devient plus intéressante qu'avant : les outils de mesure sans cookie. Ils ne déposent rien du tout et ils sortent donc du champ de l'article 82. Vous n'avez pas de bandeau à afficher, pas de configuration à défendre et rien à prouver.
Et si vous tenez à votre outil exempté, alors documentez-le. Vous faites une capture de vos réglages, vous notez la date et la version. Ça ne vous coûte rien aujourd'hui et ça vous servira le jour où on vous demandera de prouver.
4. À quoi ressemble un bandeau conforme
Admettons que vous ayez besoin d'un bandeau. Vous n'avez pas beaucoup de règles à respecter et vous pouvez les vérifier à l'œil, sans être juriste.
Refuser doit être aussi simple qu'accepter. C'est la règle la plus importante. Vous mettez un bouton « Tout refuser » dès le premier écran, à côté de « Tout accepter », avec la même taille et la même couleur et le même poids. Un clic d'un côté, un clic de l'autre.
Vous informez votre visiteur avant de déposer quoi que ce soit, et vous l'informez par finalité. Vous n'écrivez pas « nous utilisons des cookies pour améliorer votre expérience », ça ne veut rien dire. Vous nommez les catégories : la mesure d'audience, la publicité, la personnalisation, le partage social. Et votre visiteur doit pouvoir identifier les destinataires, en un clic si vous ne les mettez pas au premier écran.
Votre visiteur doit consentir par un acte positif. Vous ne pré-cochez aucune case. Et s'il continue à naviguer, ça ne veut pas dire qu'il accepte : la Cour de justice de l'Union européenne a tranché ça en octobre 2019, dans l'arrêt Planet49.
Votre visiteur doit pouvoir retirer son consentement aussi facilement qu'il l'a donné. En pratique vous mettez un lien permanent en pied de page et vous le nommez « Cookies » ou « Gérer mes cookies ». S'il accepte en un clic mais qu'il doit chercher dix minutes pour revenir dessus, ça ne va pas.
Et vous devez pouvoir prouver ce consentement. Vous gardez l'horodatage, la version du bandeau, les catégories acceptées et refusées. C'est ce que font les solutions de gestion du consentement et c'est même leur principal intérêt.
Un repère utile : la CNIL vous recommande de ne pas dépasser treize mois entre deux demandes et de ne pas garder les traceurs plus longtemps. Après vous redemandez.
Vous oubliez peut-être un dernier point : tout ça vaut aussi sur mobile. Beaucoup de bandeaux respectent la symétrie sur ordinateur et la perdent sur téléphone, où le bouton « Refuser » passe sous la ligne de flottaison. Sortez votre téléphone et testez.
5. Les erreurs qui font sanctionner
Le bandeau, c'est ce qui se fait le plus sanctionner en France. Pourquoi ? Parce que tout le monde le voit. La CNIL le regarde depuis son bureau, elle n'a pas besoin de se déplacer chez vous.
L'erreur la plus courante vous coûte aussi le plus cher. Vous mettez le bouton « Accepter » bien coloré et bien visible, et vous reléguez le refus en petit lien gris, ou vous le planquez derrière « Personnaliser ». C'est exactement ce que Google et Facebook ont fait et ça leur a valu 150 et 60 millions d'euros, par décisions de fin décembre 2021. Si on cumule, les sanctions liées aux traceurs dépassent aujourd'hui les 300 millions.
Il y a ensuite le mélange des catégories. Vous rangez les cookies publicitaires avec les cookies nécessaires et comme ça votre visiteur ne peut pas refuser les premiers sans casser le site. Ça se voit tout de suite.
Et ne pensez pas que ça vise seulement les géants. Les contrôles en ligne touchent aussi des acteurs modestes, et même publics : la CNIL a sanctionné le ministère de l'Intérieur en 2023 pour des cookies non conformes. Cela dit, gardons les proportions. Si vous avez un site vitrine d'artisan, vous ne risquez pas une amende à sept chiffres. Vous risquez une mise en demeure après une plainte. Ce qui vous fera quand même une mauvaise journée.
6. Google Analytics et Google Ads : le cas qui vous oblige au bandeau
Voilà le cas qui concerne le plus de monde. C'est lui qui fait basculer un site vitrine tranquille dans l'obligation.
Si vous utilisez Google Analytics, vous devez afficher un bandeau. Cet outil ne respecte pas les conditions d'exemption : il croise les données et il suit votre visiteur d'un site à l'autre. Et il transfère des données hors de l'Union européenne. La CNIL a pointé ce problème dès février 2022 et personne ne l'a vraiment réglé depuis.
Pareil si vous faites de la publicité en ligne. Un pixel de suivi, une mesure de conversion, du reciblage : tout ça demande le consentement. Il n'y a pas à discuter.
Alors posez-vous la question. Google Analytics, il vous sert à quoi ? Vous l'avez installé il y a trois ans et vous n'avez jamais ouvert le tableau de bord ? Vous payez un bandeau, vous payez une charge de conformité et vous perdez une partie de vos conversions, tout ça pour des chiffres que personne ne regarde. Supprimez-le et le problème part avec.
Si par contre vous voulez vraiment savoir combien de gens passent sur votre site, alors prenez un outil sans cookie. Il vous donnera l'essentiel sans rien déposer. Vous saurez combien vous avez de visites, quelles pages ils regardent et d'où ils viennent. Pour un site vitrine, c'est tout ce qui compte.
7. Comment je fais, moi
Mon site à moi affiche un bandeau. Pas par prudence : je fais de la publicité Google et ça m'oblige. J'ai installé une solution de gestion du consentement et je l'ai réglée pour que le refus soit au premier niveau et aussi simple que l'acceptation, avec le mode consentement de Google derrière.
Je vous le dis parce que ça montre bien ce que je vous explique depuis le début. Mon site est un cas particulier. Il fait de la pub, donc il doit un bandeau. La plupart des sites que je construis pour mes clients n'ont ni pub ni suivi publicitaire. Du coup ils n'ont pas de bandeau.
Quand on démarre un projet ensemble, je fais toujours pareil. On liste ce que le site dépose vraiment. On supprime ce qui ne sert à personne, et il y en a toujours. Et on met un bandeau sur ce qui reste, s'il reste quelque chose.
Un mot pour finir. Je ne suis pas juriste et cet article ne remplace pas un avis juridique. Il vous donne de quoi comprendre et poser les bonnes questions, c'est tout. Ce qui fait foi, c'est la CNIL. Et ses positions bougent, ce début 2026 vient de vous le montrer.
FAQ
Le bandeau cookies est-il obligatoire sur tous les sites ?
Non. Vous devez l'afficher seulement si votre site dépose des traceurs qui demandent le consentement : la publicité, les réseaux sociaux, la mesure d'audience non exemptée. Si vous avez un site vitrine et que vous utilisez seulement des cookies dont le site a strictement besoin, ou un outil de mesure sans cookie, alors vous n'avez pas besoin de bandeau. Ni le RGPD ni la directive ePrivacy ne vous l'imposent dans ce cas.
Peut-on utiliser Google Analytics sans bandeau cookies ?
Non. Google Analytics ne respecte pas les conditions d'exemption de la CNIL : il croise les données et il suit votre visiteur d'un site à l'autre. Et il transfère des données hors de l'Union européenne, un problème que la CNIL a soulevé en février 2022 et que personne n'a réglé depuis. Si vous voulez mesurer votre audience sans bandeau, prenez un outil sans cookie.
Le bouton « Refuser » est-il vraiment obligatoire au premier niveau ?
Oui, et c'est ce que la CNIL contrôle le plus. Elle considère depuis ses lignes directrices de septembre 2020, applicables sans tolérance depuis avril 2021, que refuser doit être aussi simple qu'accepter. Si vous mettez un bouton « Accepter » coloré face à un « Continuer sans accepter » en gris et en petit, vous créez une asymétrie. Et c'est exactement pour ça que les sanctions les plus lourdes sont tombées jusqu'ici.
Que s'est-il passé au 1er janvier 2026 pour la mesure d'audience ?
La CNIL a supprimé la liste publique des solutions qu'elle avait évaluées. Elle l'a remplacée par un dispositif d'auto-évaluation qui s'adresse aux éditeurs de ces solutions. Concrètement vous ne pouvez plus vous appuyer sur une liste officielle : si on vous contrôle, c'est vous qui devez démontrer que votre configuration respecte les quatre conditions d'exemption.
Combien de temps un consentement reste-t-il valable ?
La CNIL vous recommande de ne pas dépasser treize mois entre deux demandes et de ne pas garder les traceurs plus longtemps. Le refus, lui, n'a pas de durée imposée, mais vous devez le respecter dans la durée. Si vous redemandez à chaque visite à quelqu'un qui vient de refuser, vous contournez son choix.
Je pourrais vous dire d'installer un bandeau par précaution. C'est ce que tout le monde fait et ce serait le conseil le plus confortable.
Sauf qu'un bandeau inutile ne vous protège de rien. Vous n'avez rien à protéger. Par contre il fait fuir vos visiteurs, il alourdit vos pages, et si vous le configurez mal, alors il devient lui-même le motif de la sanction que vous vouliez éviter.
Ce que je vous conseille, c'est de commencer par l'inventaire et pas par la solution. Vous ouvrez votre site, vous listez ce qu'il dépose vraiment et vous vous demandez à quoi chaque outil vous sert. Beaucoup de sites vitrines découvrent à ce moment-là qu'ils traînent un suivi publicitaire installé pour une campagne arrêtée depuis deux ans. Vous supprimez et la question du bandeau se règle toute seule. C'est moins vendeur qu'une solution à installer. C'est quand même la bonne façon de faire.
Un doute sur votre site ?
Je peux regarder ce que votre site dépose vraiment et vous dire si vous avez besoin d'un bandeau ou pas. Découvrez comment je peux créer votre site WordPress, ou allez jeter un œil à ma propre politique de confidentialité pour voir à quoi ça ressemble.
