Faut-il le consentement de l'utilisateur pour déposer des cookies ?
Le consentement préalable est obligatoire avant de déposer tout traceur non essentiel (publicité, mesure d'audience tierce, réseaux sociaux), en application de l'article 82 de la loi Informatique et Libertés. Sont exemptés les cookies strictement nécessaires au service (authentification, panier, sécurité, mémorisation du choix de l'utilisateur) et la mesure d'audience respectant les conditions strictes de la CNIL. Le refus doit être aussi simple que l'acceptation, et aucun traceur soumis à consentement ne peut être déposé avant le choix.
Les cookies et traceurs sont l'un des points les plus contrôlés par la CNIL. Beaucoup de sites croient être en règle avec un simple bandeau « OK », alors que la loi distingue précisément les traceurs qui exigent un consentement de ceux qui en sont exemptés, et impose des règles strictes sur la manière de recueillir ce consentement.
Ce guide rassemble, dans le bon ordre, ce qu'impose la réglementation en 2026 : la définition d'un traceur, quand le consentement est obligatoire, quels traceurs sont exemptés, ce qu'exige un bandeau valide, le cas de la mesure d'audience, les durées de conservation et les sanctions.
Qu'est-ce qu'un cookie ou un traceur ?
Un cookie est un petit fichier déposé sur le terminal de l'utilisateur (ordinateur, mobile) lors de la visite d'un site. Mais la réglementation ne vise pas que les cookies au sens technique : elle couvre tous les traceurs, quelle que soit la technologie (cookies, pixels, local storage, empreinte d'appareil, identifiants). Le critère juridique n'est pas la technique, mais le fait d'accéder à des informations stockées sur le terminal ou d'y inscrire des informations.
On distingue deux grandes familles :
- les traceurs strictement nécessaires au fonctionnement du service (exemptés de consentement) ;
- les traceurs non essentiels : publicité, mesure d'audience tierce, partage social, personnalisation (soumis à consentement).
Le consentement est-il obligatoire ?
Oui, pour tout traceur non essentiel : le dépôt est interdit tant que l'utilisateur n'a pas donné son consentement préalable. Le fondement est l'article 82 de la loi n° 78-17 (Informatique et Libertés), qui transpose la directive européenne ePrivacy (2002/58/CE). Ce consentement doit être :
- préalable : aucun traceur soumis à consentement avant le choix ;
- libre : le refus ne doit pas dégrader l'accès au service ;
- éclairé : la finalité de chaque catégorie de traceur est expliquée ;
- univoque : il résulte d'un acte positif clair (cocher, cliquer « Accepter »), jamais d'une case pré-cochée ou de la simple navigation.
Le RGPD encadre les données, ePrivacy encadre le dépôt
Deux régimes se cumulent. La directive ePrivacy (via l'article 82) régit le dépôt et la lecture des traceurs ; le RGPD régit le traitement des données personnelles qui en découle. Un traceur peut donc exiger un consentement « cookies » et, en plus, relever des obligations RGPD. Pour le cadre RGPD général, voyez notre guide RGPD pour un site web français.
Quels traceurs sont exemptés de consentement ?
Sont exemptés les traceurs strictement nécessaires à la fourniture du service expressément demandé par l'utilisateur, et certaines mesures d'audience. La CNIL en donne une liste précise. Sont notamment exemptés :
- les traceurs d'authentification et de session ;
- la mémorisation du contenu d'un panier d'achat ;
- les traceurs de personnalisation de l'interface demandée par l'utilisateur (langue) ;
- les traceurs de sécurité et de répartition de charge ;
- le traceur qui mémorise le choix de l'utilisateur sur les cookies (sinon le bandeau réapparaîtrait à chaque page) ;
- la mesure d'audience à finalité strictement limitée, sans recoupement ni transfert à des tiers, et limitée à l'éditeur du site.
Tout le reste (publicité ciblée, retargeting, boutons de partage social actifs, analytics tiers standard) exige un consentement.
Ce qu'exige un bandeau conforme
Un bandeau valide recueille un consentement actif, propose le refus aussi simplement que l'acceptation, et n'active aucun traceur avant le choix. Les règles clés :
- un bouton « Tout refuser » sur le même écran et au même niveau visuel que « Tout accepter » ;
- un choix granulaire par finalité (mesure d'audience, publicité, réseaux sociaux) ;
- la possibilité de revenir sur son choix à tout moment ;
- aucune case pré-cochée, aucun dépôt avant action de l'utilisateur.
Pour le détail des erreurs à éviter et des solutions de gestion du consentement (CMP), voyez notre guide dédié : bandeau cookies conforme à la CNIL.
Mesure d'audience et Google Analytics
La mesure d'audience mérite une attention particulière : elle n'est exemptée de consentement que si elle respecte des conditions strictes (finalité limitée à la statistique pour l'éditeur, pas de recoupement, pas de transfert à des tiers). Google Analytics, en configuration standard, ne remplit pas ces conditions et exige donc le consentement. Le sujet, y compris la question des transferts de données vers les États-Unis, est traité dans notre article Google Analytics est-il toujours autorisé en France ?.
Combien de temps conserver le consentement et les cookies ?
Deux durées à ne pas confondre :
- le choix de l'utilisateur (acceptation ou refus) se conserve environ 6 mois selon la recommandation CNIL, avant de le solliciter à nouveau ;
- les cookies eux-mêmes ne doivent pas avoir une durée de vie supérieure à 13 mois, et les données qu'ils génèrent une durée proportionnée (souvent 25 mois maximum pour les statistiques).
Pour les durées applicables à chaque catégorie de données, voyez notre tableau des durées de conservation.
Sanctions : un contrôle prioritaire de la CNIL
Les traceurs sont l'un des manquements les plus sanctionnés par la CNIL, avec des amendes atteignant plusieurs centaines de millions d'euros pour les grands acteurs. Les TPE et PME ne sont pas hors de portée : la procédure simplifiée permet des amendes jusqu'à 20 000 euros, et une mise en demeure publique a un coût de réputation. Pour des exemples concrets et chiffrés, consultez notre Observatoire des sanctions CNIL et notre analyse des sanctions encourues par un site non conforme.
La conformité cookies selon votre plateforme
La mise en œuvre dépend de votre CMS et des outils installés. Selon votre cas :
- Cookies sur WordPress : extensions, CMP et blocage des scripts avant consentement.
- Cookies sur Shopify : applications de consentement et traceurs marketing par défaut.
- Bandeau conforme CNIL 2026 : le paramétrage attendu, étape par étape.
En résumé : la checklist cookies
- Recenser tous les traceurs déposés par votre site (et par vos outils tiers) — notre scanner de cookies gratuit fait ce premier état des lieux en quelques secondes à partir de votre URL.
- Classer chaque traceur : strictement nécessaire (exempté) ou non essentiel (consentement).
- Bloquer le dépôt des traceurs non essentiels avant consentement.
- Installer un bandeau conforme (refus aussi simple qu'accepter, choix granulaire).
- Rédiger une politique cookies claire décrivant chaque finalité.
- Régler les durées (choix ~6 mois, cookies 13 mois max).
- Permettre de modifier son choix à tout moment.
- Réauditer périodiquement : un nouvel outil marketing ajoute souvent des traceurs.
Générez votre politique cookies
Répondez à quelques questions sur votre site et vos outils : le générateur produit une politique cookies à jour, alignée sur les exigences de la CNIL.
Générer ma politique cookies
Ressources officielles
- Article 82 de la loi Informatique et Libertés sur Légifrance : fondement du consentement aux traceurs.
- Lignes directrices CNIL du 17 septembre 2020 (délibération 2020-091).
- Cookies et traceurs : comment mettre mon site en conformité, guide CNIL.
- Questions-réponses CNIL sur les lignes directrices cookies.