12/11/2026

Cookies et CNIL en 2026 : les règles pour votre site

Partagez

En 2026, la règle de la CNIL tient en une phrase : sauf exception, aucun cookie ne doit être déposé ou lu sur l’appareil de votre visiteur avant qu’il ait donné son accord. Le refus doit être aussi simple que l’acceptation. Et vous devez pouvoir prouver son choix.

Un cookie est un petit fichier enregistré dans le navigateur du visiteur. Il sert à le reconnaître, à mesurer sa visite ou à lui afficher de la publicité. La CNIL parle plutôt de traceurs, un terme qui couvre aussi les technologies équivalentes.

Pour un artisan ou un dirigeant de PME, l’enjeu est concret. Un bandeau mal réglé expose à une mise en demeure. Un bandeau trop bloquant peut aussi faire disparaître des mesures qui vous disent d’où viennent vos appels et vos demandes de devis. Cet article vous donne les règles, les erreurs fréquentes et un plan d’action.

Branderizing

Un site pensé pour inspirer confiance

Branderizing crée des sites web et travaille leur référencement pour aider les entreprises à renforcer leur présence en ligne.

Visiter

En bref

Tout traceur publicitaire ou social exige un consentement préalable, libre, éclairé, spécifique et univoque. Les traceurs strictement nécessaires au fonctionnement du site en sont exemptés.
Le bouton « Tout refuser » doit être aussi visible et aussi simple que « Tout accepter ». Le retrait du consentement doit rester accessible à tout moment.
Vous devez pouvoir prouver chaque consentement : configuration, versions du bandeau et captures horodatées.
La CNIL a consolidé sa recommandation le 16 janvier 2026 et sanctionne activement les bandeaux incomplets, y compris par des procédures simplifiées.
Une mise en conformité bien faite protège votre site et vos mesures : vous continuez à savoir quelles actions génèrent des devis.

Ce que dit la loi sur les cookies en France

Le socle est l’article 82 de la loi Informatique et Libertés. Il impose une information préalable et un consentement avant tout dépôt ou lecture de traceurs, sauf exception. Le détail pratique figure dans la recommandation de la CNIL consolidée le 16 janvier 2026. Elle couvre l’information, la symétrie entre acceptation et refus, le retrait, la preuve et le consentement multi-terminaux.

Ce texte ne vous demande pas d’être juriste. Il vous demande de vérifier quatre choses sur votre site :

Ce qui est déposé avant que le visiteur clique.
Ce que le bandeau explique réellement.
Si refuser est aussi facile qu’accepter.
Si vous pouvez le démontrer en cas de contrôle.

Le principe général est confirmé par la CNIL : le consentement préalable est la règle, sauf si l’opération sert exclusivement à une communication électronique ou si elle est strictement nécessaire à un service que l’utilisateur a expressément demandé.

Un point souvent mal compris : les cookies walls, ces pages qui conditionnent l’accès au site à l’acceptation des cookies. Le Conseil d’État a annulé l’interdiction générale et absolue de cette pratique dans sa décision du 19 juin 2020. La CNIL examine désormais ces cas un par un. Pour un site de devis, bloquer un visiteur derrière un bandeau est de toute façon un mauvais calcul commercial.

Quels cookies demandent votre accord, et lesquels en sont dispensés

Tous les cookies ne se valent pas. La CNIL distingue ceux qui exigent un accord de ceux qui fonctionnent sans. Les traceurs publicitaires, notamment pour la publicité personnalisée, nécessitent en principe un consentement préalable. C’est aussi le cas des traceurs sociaux.

Voici le tableau à garder en tête pour votre site de plombier, de couvreur ou de paysagiste.

Type de traceur	Exemple sur un site d’artisan	Consentement
Publicitaire	Pixel de remarketing Google Ads ou Meta	Oui, avant le dépôt
Réseaux sociaux	Bouton de partage, vidéo intégrée avec traceurs	Oui
Authentification	Espace client connecté	Non
Panier, facturation	Boutique en ligne, paiement	Non
Équilibrage de charge	Répartition technique du trafic serveur	Non
Mémorisation du choix	Cookie qui retient votre refus	Non
Mesure d’audience	Statistiques de fréquentation	Non, sous conditions CNIL

Les exemptions sont détaillées par la CNIL dans son guide pour mettre un site web en conformité. Retenez un point : une exemption de consentement ne vous dispense pas du RGPD. Si le traceur exempté traite des données personnelles, les principes du RGPD s’appliquent toujours : finalité claire, durée limitée, information des personnes.

Le cas des outils de campagne

Vous diffusez des annonces ? Les balises de conversion et de remarketing déposent des traceurs publicitaires. Elles doivent attendre le oui du visiteur. Les boutons de partage et les pixels des réseaux sociaux relèvent de la même logique : ce guide sur le pixel Facebook Ads rappelle comment ces traceurs s’installent et pourquoi leur paramétrage mérite une vérification régulière.

À quoi ressemble un bandeau cookies conforme à la CNIL

Un bandeau cookies est la fenêtre qui s’affiche à la première visite pour recueillir le choix du visiteur. La CNIL attend de son premier niveau qu’il explique l’usage des traceurs, leurs finalités, les responsables ou un accès simple à leur liste, les conséquences du choix et la façon de choisir. C’est ce que précise la recommandation de 2026.

Le consentement doit être libre, spécifique, éclairé et univoque. Concrètement, cela exclut :

les cases précochées ;
le simple fait de continuer à naviguer ou de faire défiler la page ;
les interfaces qui poussent à l’acceptation par la couleur ou la taille des boutons ;
les textes vagues du type « pour améliorer votre expérience ».

La liste des responsables de traitement

La liste exhaustive et régulièrement mise à jour des responsables de traitement doit être accessible avant le choix. Elle peut se trouver au second niveau, via un lien ou un bouton depuis le premier. Autrement dit, le visiteur doit pouvoir savoir qui reçoit ses données, sans avoir à chercher.

Un choix par finalité

La CNIL recommande un choix distinct par finalité : publicité, mesure d’audience, réseaux sociaux, par exemple. Des boutons globaux « Tout accepter » et « Tout refuser » restent possibles, à condition que les finalités soient présentées au préalable.

Pour la conception de ces interfaces, vous pouvez vous appuyer sur la définition du consentement pour une entreprise locale, qui illustre ce que doit comprendre le visiteur avant de choisir.

Refuser doit être aussi simple qu’accepter

C’est la première erreur sanctionnée. Si votre bandeau permet d’accepter tous les cookies en un clic, il doit permettre de tous les refuser en un clic, ou par un effort équivalent. La recommandation consolidée est claire sur ce point.

La CNIL a relevé des bannières où le refus était moins mis en valeur ou confondu avec les mentions. Elle a aussi relevé des cas où l’acceptation était proposée plusieurs fois. Ces pratiques ont donné lieu à des mises en demeure.

Un test simple : ouvrez votre site en navigation privée, depuis votre téléphone. Comptez les clics pour accepter, puis pour refuser. Si les deux chiffres diffèrent, corrigez.

Le retrait du consentement

Le visiteur doit pouvoir changer d’avis à tout moment. Le moyen de retrait doit rester accessible, idéalement depuis toutes les pages, par exemple via un lien « Gérer mes cookies » dans le pied de page. Une fois le retrait exprimé, les traceurs concernés doivent cesser d’être lus ou écrits.

Un réglage fréquent à contrôler : après un refus, votre outil doit bien arrêter les balises, et pas seulement masquer le bandeau.

Prouver le consentement : le point que les artisans oublient

Vous êtes l’éditeur du site : c’est à vous de démontrer que le visiteur a consenti. La CNIL indique dans sa foire aux questions que plusieurs éléments peuvent contribuer à cette preuve :

les versions du code et de l’interface ;
des captures d’écran horodatées du bandeau ;
les configurations de l’outil de gestion du consentement ;
les audits réalisés.

L’outil de gestion du consentement, aussi appelé CMP (Consent Management Platform), est le logiciel qui affiche le bandeau et enregistre les choix. Gardez un dossier à jour : une capture du bandeau à chaque modification, la date, le réglage retenu.

Pour approfondir l’intérêt de documenter ces réglages, lisez ce point de vue sur l’ère du marketing sans cookies, qui replace la conformité dans l’évolution de la publicité en ligne.

Ce dossier prend une demi-heure à constituer. En cas de contrôle ou de plainte, il fait la différence entre une régularisation rapide et une procédure longue.

Le consentement multi-terminaux, ce qui change en 2026

Le 16 janvier 2026, à l’issue d’une consultation publique, la CNIL a publié ses recommandations finales sur le consentement multi-terminaux. Il s’agit de permettre à un utilisateur connecté de donner un seul choix valable sur tous ses appareils : téléphone, ordinateur, tablette.

Ce dispositif est facultatif. Il concerne les univers authentifiés, c’est-à-dire les sites avec comptes utilisateurs. Si vous êtes artisan avec un site vitrine sans espace client, vous n’êtes pas concerné.

Si vous l’utilisez, trois règles s’imposent :

informer le visiteur avant son choix que celui-ci s’appliquera aux appareils connectés à son compte ;
donner la même simplicité et la même portée à l’acceptation, au refus et au retrait ;
informer l’utilisateur lorsqu’il se connecte sur un nouvel appareil et que des choix associés à son compte ont été enregistrés ou modifiés.

Mesurer sa fréquentation sans bandeau : possible, sous conditions

Bonne nouvelle pour votre suivi : certains traceurs de mesure d’audience peuvent être exemptés de consentement, s’ils respectent les conditions fixées par la CNIL. Cette exemption est précisée dans le guide de mise en conformité.

Ces conditions portent sur la finalité (mesurer la fréquentation, pas profiler les visiteurs) et sur l’usage des données. Vérifiez dans la documentation de votre outil de statistiques qu’il propose bien une configuration exemptée, puis activez-la.

Pour un site de devis, l’intérêt est direct : vous conservez une vision de base de vos visites, même quand le visiteur refuse la publicité. Mais attention, cette exemption ne couvre pas le remarketing ni les pixels publicitaires.

Contrôles et sanctions : ce que dit le bilan de la CNIL

La CNIL ne se limite pas aux grandes plateformes. Son bilan 2025 fait état de 21 organismes sanctionnés pour des manquements liés aux traceurs. Sur l’ensemble de son activité, elle a prononcé 83 sanctions, 143 mises en demeure, 31 rappels aux obligations légales et 2 avertissements. Les amendes cumulées ont atteint 486 839 500 euros.

En 2026, le rythme continue. Le 6 juillet 2026, la CNIL a indiqué avoir prononcé 23 sanctions simplifiées depuis janvier, pour 133 750 euros cumulés. Plusieurs concernaient des bandeaux incomplets, des traceurs déposés avant toute action du visiteur et un refus plus difficile que l’acceptation.

Ce que cela signifie pour une PME : les montants de la procédure simplifiée sont modestes comparés aux grandes amendes, mais ils touchent des sites ordinaires. Les trois défauts relevés sont précisément ceux que vous pouvez corriger en une matinée.

Conformité et résultats : ne pas perdre ses demandes de devis

Certains dirigeants hésitent : « Si je mets un bandeau strict, je perds mes statistiques et mes campagnes. » Ce n’est pas une fatalité, à condition de bien configurer.

Trois points à surveiller :

Vos formulaires et vos appels restent fonctionnels. Un formulaire de devis ne dépend pas d’un cookie publicitaire. Vérifiez qu’aucune balise ne le bloque.
Vos campagnes Google Ads doivent tenir compte du choix. Le mode consentement indique à Google si le visiteur a accepté ou non. Nous détaillons ce réglage dans notre page sur le Mode Consentement v2.
Votre suivi des demandes doit rester fiable. Notre guide RGPD et cookies : rendre votre site conforme sans perdre vos données de devis explique comment garder une mesure utile dans le respect des règles.

Vous pouvez aussi consulter notre politique de cookies comme exemple d’information claire destinée au visiteur.

Votre plan d’action en six étapes

Prévoyez une demi-journée pour un site vitrine de PME.

Listez les traceurs présents. Ouvrez votre site en navigation privée, sans rien accepter, et notez ce qui se dépose. Tout traceur publicitaire ou social présent à ce stade est un défaut.
Classez chaque traceur. Nécessaire, mesure d’audience exemptée, ou soumis à consentement. Reprenez le tableau plus haut.
Réglez le bandeau. Un bouton « Tout accepter », un bouton « Tout refuser » aussi visible, un accès aux choix par finalité, la liste des responsables de traitement.
Bloquez les balises avant le choix. Google Ads, Meta, vidéos intégrées : elles ne se chargent qu’après accord.
Ajoutez un lien de retrait. « Gérer mes cookies » dans le pied de page de chaque page.
Constituez votre dossier de preuve. Captures horodatées, réglages de l’outil de consentement, date de chaque modification.

Refaites ce contrôle à chaque changement de site, d’outil publicitaire ou de plugin. Un nouveau pixel installé sans vérification suffit à rendre un bandeau non conforme.

Notre point de vue

Chez Branderizing, nous voyons le même schéma chez les artisans et les PME : le site est bien référencé, les annonces tournent, mais personne n’a regardé ce que le bandeau déclenche vraiment. Résultat : soit un risque inutile, soit des mesures cassées.

Nous pensons que la conformité n’est pas un frein à la performance. C’est une condition pour mesurer proprement ce qui rapporte des devis. Notre approche est conçue pour que le référencement, les campagnes Google Ads et le suivi des appels et des demandes reposent sur des données collectées dans les règles.

Nous recommandons de traiter le bandeau comme une page commerciale à part entière : clair, rapide, honnête. Un visiteur qui comprend ce qu’on lui demande est un visiteur qui reste, et qui appelle.

Aurélie

Faites vérifier votre site par nos équipes

Nous aidons les TPE, PME et artisans du bâtiment et des services (couvreurs, plombiers, électriciens, piscinistes, paysagistes) à recevoir plus de demandes de devis depuis Google. Cela passe par le référencement naturel, le SEO local, Google Ads, la création ou la refonte de sites pensés pour convertir, et le suivi des appels et des demandes.

La porte d’entrée est l’audit SEO gratuit : nous regardons votre visibilité, la structure de votre site et la façon dont vos mesures sont collectées. Demandez votre audit SEO ou découvrez l’ensemble de nos services.

Questions fréquentes

Un site vitrine d’artisan est-il concerné par les règles de la CNIL sur les cookies ?

Oui, dès qu’il dépose des traceurs soumis au consentement : pixel publicitaire, vidéo intégrée avec traceurs, bouton de partage social. Si votre site n’utilise que des traceurs strictement nécessaires ou exemptés, aucun consentement n’est requis, mais une information claire reste utile. Faites l’inventaire en navigation privée pour le savoir.

Faut-il un bouton « Tout refuser » sur le bandeau cookies ?

Si vous proposez « Tout accepter » en un clic, le refus doit être possible aussi simplement, en un clic ou par un effort équivalent. Il doit être aussi visible que l’acceptation. La CNIL a relevé des bannières où le refus était moins mis en valeur ou confondu avec les mentions.

Comment prouver que mes visiteurs ont consenti ?

Gardez les versions du code et de l’interface, des captures d’écran horodatées du bandeau et la configuration de votre outil de gestion du consentement. Ces éléments peuvent contribuer à la preuve, selon la CNIL. Mettez ce dossier à jour à chaque modification du site.

Peut-on mesurer sa fréquentation sans demander le consentement ?

Oui, certains traceurs de mesure d’audience sont exemptés lorsqu’ils respectent les conditions de la CNIL. Vérifiez que votre outil propose une configuration exemptée et activez-la. Cette exemption ne s’étend ni au remarketing ni aux pixels publicitaires.

Le consentement multi-terminaux est-il obligatoire ?

Non, il est facultatif et concerne les sites avec comptes utilisateurs. Si vous l’utilisez, le visiteur doit être informé avant son choix que celui-ci s’appliquera aux appareils connectés à son compte. Un site vitrine sans espace client n’est pas concerné.