Le bandeau cookies est-il obligatoire ? Non, et le vôtre est peut-être illégal

« Le bandeau cookies est-il obligatoire ? » La question revient à chaque création de site, et la réponse surprend à chaque fois : non. Aucun texte de loi n'impose de bandeau cookies. Ce que la loi impose, c'est un consentement si votre site dépose des traceurs non essentiels dans le navigateur de vos visiteurs. Pas de traceurs soumis à consentement, pas de consentement à recueillir, et donc pas de bandeau.

Il y a un second renversement, plus gênant : une bonne partie des bandeaux installés « pour être en règle » ne respectent pas les règles fixées par la CNIL. Un bandeau non conforme ne vous protège de rien. Il crée précisément le risque qu'il prétend couvrir.

Dans cet article, nous reprenons ce que la loi exige réellement, sources CNIL à l'appui, pourquoi presque tous les sites affichent quand même un bandeau, et comment un site vitrine bien conçu peut s'en passer complètement.

Contrairement à ce qu'on lit un peu partout, le texte de référence n'est pas le RGPD. C'est l'article 82 de la loi Informatique et Libertés, qui transpose la directive européenne ePrivacy. En substance : avant d'inscrire ou de lire des informations dans l'appareil d'un internaute (un cookie, mais aussi n'importe quel autre traceur), il faut l'informer et recueillir son consentement.

Avec deux exceptions, prévues par le même article : les traceurs qui servent uniquement à permettre la communication électronique, et ceux strictement nécessaires au service que l'internaute a demandé. Concrètement : le cookie de session quand vous vous connectez à un espace client, le panier d'une boutique en ligne, ou la mémorisation du refus des cookies lui-même. Ceux-là ne demandent aucun consentement.

Le mot « bandeau » n'apparaît nulle part dans la loi. La CNIL a précisé les modalités du consentement dans ses lignes directrices du 17 septembre 2020 (délibération n° 2020-091) et sa recommandation n° 2020-092 : le consentement doit être libre, éclairé et se manifester par un acte positif. Depuis avril 2021, continuer à naviguer sur le site ne vaut plus acceptation. Le bandeau n'est qu'une interface possible pour recueillir ce consentement, pas une obligation en soi.

La conséquence logique, que presque personne ne tire : un site qui ne dépose aucun traceur soumis à consentement n'a rien à faire accepter à ses visiteurs. Afficher un bandeau sur un tel site ne rend pas plus conforme. Ça ajoute juste une friction inutile.

Si le bandeau n'est pas obligatoire, pourquoi est-il partout ? Pour une raison simple : la plupart des sites déposent effectivement des traceurs, souvent sans que leur propriétaire le sache. Google Analytics installé par réflexe à la création du site. Une vidéo YouTube intégrée sur la page d'accueil. Une carte Google Maps sur la page contact. Des boutons de partage vers les réseaux sociaux. Chacun de ces éléments peut déposer des traceurs dans le navigateur du visiteur, parfois avant même qu'il ait cliqué où que ce soit.

À cela s'ajoute le mimétisme. Le RGPD a mis le sujet sur la table en 2018, le bandeau est devenu le symbole visible de « la conformité », et beaucoup de prestataires en installent un par défaut, en se disant qu'on ne risque rien à en mettre trop. Le voisin en a un, donc il en faut un.

En dix ans de métier, nous avons vu le raisonnement s'inverser complètement. La question de départ devrait être : « de quels traceurs ce site a-t-il réellement besoin ? » Elle est devenue : « quel outil de bandeau installer ? » On habille de consentement des traceurs dont personne ne se demande plus à quoi ils servent. C'est exactement l'inverse de ce que la loi demande.

À notre connaissance, la CNIL n'a jamais sanctionné un site pour absence de bandeau alors qu'il ne déposait pas de traceurs. Ce qu'elle sanctionne, c'est autre chose : le dépôt de traceurs sans consentement, et les mécanismes qui rendent le refus plus difficile que l'acceptation.

Les décisions les plus connues datent du 31 décembre 2021 : 150 millions d'euros pour Google et 60 millions pour Facebook (délibérations SAN-2021-023 et SAN-2021-024). Le motif tient en une phrase : leurs sites permettaient d'accepter les cookies en un clic, mais refuser demandait plusieurs actions. Un an plus tard, en décembre 2022, Microsoft écopait de 60 millions d'euros pour son moteur Bing, entre autres pour des cookies déposés sans consentement.

Qu'est-ce que ça signifie pour le site d'une TPE ? Au conditionnel, parce que chaque cas est particulier : si votre bandeau propose « Tout accepter » en gros bouton coloré et cache le refus derrière un lien « Paramétrer » et trois écrans de réglages, s'il dépose des cookies avant que le visiteur ait choisi, ou si le refus n'est tout simplement pas proposé, il ne respecte probablement pas les lignes directrices de la CNIL. Vous avez alors payé, ou fait installer, un objet qui affiche publiquement une collecte de consentement défaillante.

Soyons honnêtes sur le niveau de risque : la CNIL concentre ses sanctions lourdes sur les grands acteurs, et une TPE n'est pas sa cible prioritaire. Mais elle mène régulièrement des campagnes de contrôle sur les cookies, et n'importe quel visiteur peut déposer une plainte en trois clics. Pour un cabinet médical, un avocat ou toute profession dont la crédibilité repose sur la rigueur, l'enjeu dépasse l'amende : c'est la cohérence entre ce que vous affichez et ce que vous faites. Précision utile : cet article est de l'information générale, pas un conseil juridique sur votre situation. Pour un diagnostic engageant, voyez un avocat ou un DPO.

Posons la question autrement. Un site vitrine sert à présenter votre activité, vos horaires, vos coordonnées, éventuellement à prendre rendez-vous ou recevoir un message. Rien de tout cela n'exige de traceur soumis à consentement.

Reste la question qui fâche : « et les statistiques de visite ? » Bonne nouvelle, la CNIL a prévu le cas. Sa recommandation exempte de consentement les traceurs de mesure d'audience, à des conditions strictes : une finalité limitée à la seule mesure d'audience, pour le compte exclusif de l'éditeur du site, des statistiques anonymes, aucun recoupement avec d'autres traitements, aucun suivi du visiteur d'un site à l'autre, une durée de vie du traceur de 13 mois maximum et des données conservées au plus 25 mois. Des outils comme Matomo, configurés dans ce mode restreint, peuvent entrer dans ce cadre, sur la base d'une auto-évaluation, car la CNIL ne délivre plus de liste ni de label.

Google Analytics, en revanche, n'entre pas dans l'exemption : il exige un consentement préalable. C'est lui, dans la plupart des cas que nous voyons passer, la seule vraie raison d'être du bandeau sur un site vitrine. Pour un cabinet ou un artisan qui regarde ses statistiques une fois par trimestre, échanger Google Analytics contre une mesure d'audience exemptée ne change rien au quotidien, et supprime le besoin de consentement.

Pour les autres traceurs courants, des alternatives existent : remplacer la vidéo YouTube intégrée par une image cliquable qui ne charge le lecteur qu'après un clic, remplacer la carte Google Maps par un plan statique ou un lien vers l'itinéraire, héberger les polices d'écriture sur votre propre serveur plutôt que de les charger depuis un serveur tiers. Le tableau ci-dessous récapitule les cas les plus courants.

Pas besoin d'être technicien pour faire un premier diagnostic. Quatre vérifications suffisent :

1. Ouvrez votre site en navigation privée. Le bandeau propose-t-il « Refuser » ou « Continuer sans accepter » dès le premier écran, aussi visible que « Accepter » ? Si refuser demande plus de clics qu'accepter, c'est le motif exact des sanctions Google et Facebook.

2. Avant de cliquer quoi que ce soit, regardez les cookies déjà déposés : touche F12 dans Chrome ou Firefox, onglet « Application » ou « Stockage », rubrique Cookies. La CNIL propose aussi CookieViz, un outil gratuit qui visualise les traceurs. Des cookies tiers présents avant votre choix, c'est un dépôt sans consentement.

3. Cliquez sur « Refuser », rechargez la page, revérifiez. Les traceurs tiers ont-ils disparu ? Un bandeau qui enregistre poliment votre refus pendant que Google Analytics continue de tourner ne sert à rien.

4. Posez la question à votre prestataire : « quels traceurs le site dépose-t-il, et à quoi sert chacun ? » S'il ne sait pas répondre, votre bandeau a été installé à l'aveugle.

Deux issues possibles. Soit votre site dépose des traceurs qui exigent un consentement, et votre bandeau doit être irréprochable. Soit il n'en dépose pas (ou peut ne plus en déposer avec quelques ajustements), et vous pourriez vous passer de bandeau entièrement. Les deux positions se défendent. Ce qui ne se défend pas, c'est un bandeau non conforme posé sur des traceurs dont personne ne connaît l'utilité.

Quand nous avons reconstruit Piikivi en 2025, nous avons pris une décision de conception dès le départ : zéro traceur soumis à consentement par défaut. Pas de Google Analytics préinstallé, pas de contenus embarqués qui déposent des cookies à l'insu du visiteur, et une protection anti-spam des formulaires choisie pour ne pas pister les gens.

Le résultat, c'est que les sites livrés n'ont pas besoin de bandeau. Non pas comme argument commercial ajouté après coup, mais comme conséquence mécanique de ce qui est (et surtout de ce qui n'est pas) dans la page.

Honnêteté oblige : si un client tient à ajouter Google Analytics ou des vidéos YouTube en chargement direct, le consentement redevient obligatoire, et il faut alors un bandeau conforme. Les deux discours se complètent : notre check-list RGPD en 10 points explique comment être en règle quand on utilise des traceurs ; cet article montre qu'on peut aussi concevoir le site pour ne pas en avoir besoin.

Et ce raisonnement n'appartient pas à Piikivi : vous pouvez l'appliquer sur WordPress, Wix ou n'importe quel outil, sans changer de CMS. Une mesure d'audience exemptée, des polices locales, des contenus tiers chargés après clic : c'est de la conception, pas de la technologie propriétaire.

Ce qu'il faut retenir :

• Aucune loi n'impose de bandeau cookies. L'article 82 de la loi Informatique et Libertés impose un consentement préalable pour les traceurs non essentiels.

• Un site qui ne dépose pas de traceurs soumis à consentement peut légitimement se passer de bandeau.

• Un bandeau non conforme (refus plus difficile qu'acceptation, cookies déposés avant le choix) ne protège pas : c'est exactement ce que la CNIL sanctionne.

• La mesure d'audience reste possible sans consentement, dans les conditions strictes définies par la CNIL.

• Cinq minutes en navigation privée suffisent pour un premier diagnostic de votre site.

Votre activité est particulièrement exposée au risque juridique (cabinet libéral, santé, droit) ? Parlons de votre site : on regarde ensemble ce qu'il dépose réellement dans le navigateur de vos patients ou clients, sans engagement.