En bref
Texte de référence. La recommandation cookies de la CNIL a été publiée dans sa version consolidée le 16 janvier 2026, fusionnant la délibération 2020-092 et la délibération 2025-131 du 18 décembre 2025.
Symétrie. Un refus doit être aussi simple qu’une acceptation, avec deux boutons de même niveau et de même format.
Durée. Conserver le choix d’un visiteur six mois est une bonne pratique, pas un maximum légal fixe.
Tracking. Le Consent Mode v2, avec ad_user_data et ad_personalization, reste indispensable pour la personnalisation et le remarketing dans l’EEE.
Preuve. Sans horodatage, sans version du code et sans captures, un consentement recueilli reste très difficile à démontrer.
Par Geoffrey Medina, fondateur de PandiWeb, développeur web fullstack depuis 2015
Nous avons repris assez de bannières cookies sur des sites WordPress de PME pour connaître la question qui arrive avant toutes les autres, avant le design et avant les textes : est-ce qu’une bannière cookies RGPD conforme va nous faire perdre nos statistiques ? La réponse courte est non, à condition que la conformité et le tracking soient traités dans le même chantier, par les mêmes personnes, avec les mêmes tests. Ce que nous voyons échouer, ce ne sont presque jamais les textes : ce sont les configurations abandonnées entre deux prestataires.
La recommandation de la CNIL a été consolidée et publiée le 16 janvier 2026, et les points de blocage que nous relevons en audit n’ont pas bougé. En revanche, la sanction est devenue rapide et la preuve du consentement pèse désormais autant que le consentement lui-même.
Ce que la CNIL attend réellement d'une bannière cookies
La recommandation cookies de la CNIL a été consolidée et publiée le 16 janvier 2026 : elle fusionne la délibération 2020-092 et la délibération 2025-131 du 18 décembre 2025 en un texte unique. Ce n’est pas une nouvelle doctrine, c’est une mise à plat de ce que l’autorité applique déjà en contrôle. Les principes restent les mêmes et portent sur quatre points : l’information, le choix, le retrait et la preuve.
Sur la durée, nous voyons encore beaucoup de bandeaux configurés avec un « 13 mois » ou un « 6 mois » présenté comme une obligation légale. Conserver le choix pendant six mois est une bonne pratique, pas un maximum légal fixe. La durée s’apprécie au cas par cas, selon le service rendu, l’usage réel et l’attente des visiteurs.
Le retrait doit être possible à tout moment et aussi simple que le consentement. En pratique, cela veut dire un lien permanent « gérer mes cookies » ou une icône accessible sur toutes les pages, et surtout un retrait qui coupe réellement les requêtes vers les domaines tiers. Une bannière qui enregistre le refus mais laisse partir les appels vers Google ou vers un outil publicitaire ne retire rien du tout.
La CNIL demande de pouvoir prouver le consentement à tout moment. Les moyens qu’elle cite sont concrets : horodatage, empreinte du code de la bannière, captures d’écran par version, configuration de la CMP horodatée, et un cookie de choix que la recommandation nomme « eu-consent », avec une valeur booléenne par finalité. Nous conseillons d’archiver ces éléments à chaque modification, dans un dossier daté, parce que c’est ce dossier que l’on ouvre en premier le jour d’un contrôle.
Le cadre européen bouge, mais rien n’est en vigueur. Le règlement ePrivacy n’a jamais été adopté et la réforme des cookies se discute désormais dans le Digital Omnibus, avec une position du Conseil du 21 octobre 2026 et un Parlement qui n’a pas statué. Nous continuons donc d’appliquer la recommandation telle qu’elle est écrite aujourd’hui, sans anticiper un texte dont la forme peut encore changer.
Les cookies qui ne demandent aucun consentement (et ceux qui en exigent)
La liste des exemptions existe et elle est fermée. Un traceur de mesure d’audience est exempté s’il produit des statistiques anonymes, pour le compte exclusif de l’éditeur, sans suivi inter-sites ni partage avec des tiers, avec une durée de vie limitée à 13 mois et des données conservées 25 mois maximum. Dès qu’un outil agrège des profils entre plusieurs sites ou partage ses données, l’exemption tombe, quel que soit son nom commercial.
Les autres cas sont purement fonctionnels : authentification, contenu du panier, limitation d’accès aux contenus payants, préférence de langue, équilibrage de charge, et CAPTCHA dont l’unique but est de sécuriser le site. Attention au détail qui piège beaucoup de formulaires de contact : un reCAPTCHA de Google n’entre pas dans cette exemption et appelle un consentement.
À l’inverse, les traceurs d’affiliation et de retargeting e-mail ne sont pas exemptés, même quand ils pèsent peu dans le chiffre d’affaires. Sur les cookies site internet que nous auditons chez des e-commerçants, ce sont souvent eux qui manquent le plus cruellement de consentement. Il suffit d’un seul traceur non exempté déposé sans accord pour rendre l’ensemble du dispositif contestable.
Les 5 non-conformités les plus fréquentes sur les sites de PME
Sur les sites que nous reprenons, les cinq mêmes erreurs reviennent, et elles coûtent peu à corriger. Les 21 organismes sanctionnés en 2025 pour des manquements liés aux cookies et traceurs ont presque tous été épinglés sur l’une d’entre elles. Aucune de ces non-conformités ne demande de refonte technique lourde : ce sont des choix de configuration et de design.
Le refus au second niveau
Le schéma classique : « Tout accepter » en un clic, et pour refuser, il faut cliquer sur « Paramétrer », puis décocher une à une les finalités. La CNIL est explicite : un refus atteignable seulement au second niveau via « paramétrer » n’est pas acceptable. C’est la non-conformité que nous corrigeons le plus souvent, et celle qui revient le plus dans les procédures simplifiées de 2026.
Les cases pré-cochées
Les finalités arrivent activées dans la fenêtre de paramétrage, souvent par défaut dans le plugin installé. Un visiteur qui valide sans lire accepte alors tout sans avoir rien choisi. Le consentement doit résulter d’un acte positif, donc des cases décochées par défaut, finalité par finalité. La correction prend quelques minutes, à condition de vérifier l’état réel des cases et pas seulement la promesse de l’éditeur du plugin.
Le consentement déduit du défilement
Certains bandeaux considèrent que poursuivre la navigation vaut acceptation. C’est faux et c’est écrit noir sur blanc : le défilement ou la poursuite de la navigation ne valent pas consentement et s’interprètent comme un refus. Les réglages du navigateur seuls ne valent pas davantage consentement, même quand le visiteur a désactivé tous les cookies de son côté. Dans les deux cas, la bannière doit continuer de demander un choix explicite.
Les traceurs qui partent avant le choix
C’est la faute la plus invisible à l’écran et la plus visible dans l’onglet réseau du navigateur. Le tag de mesure ou le pixel se charge au chargement de la page, avant toute interaction, et la bannière ne fait que masquer le problème. Un bandeau peut être parfait visuellement et laisser partir des requêtes vers des domaines tiers avant que le visiteur ait cliqué. Nous voyons ce cas sur environ un site sur trois lors des audits de refonte.
Le retrait impossible ou sans effet
Le lien de retrait existe parfois dans le pied de page, mais il rouvre une fenêtre qui n’a aucun effet sur les tags déjà chargés. Le visiteur refuse, la page continue d’envoyer des événements, et le choix n’est pas conservé d’une visite à l’autre. Un retrait qui ne coupe pas les requêtes vers les domaines tiers n’est pas un retrait, c’est un bouton décoratif.
Refuser aussi facilement qu'accepter : ce que ça change dans l'interface
La règle tient en une phrase : le refus doit être proposé avec le même degré de simplicité que l’acceptation. Concrètement, « tout accepter » et « tout refuser » se présentent au même niveau et au même format, avec la même taille, la même police et la même lisibilité. Un bouton d’acceptation en couleur pleine et un bouton de refus en gris discret constituent déjà un biais de conception.
La symétrie du consentement cookies n’est pas un détail esthétique, c’est la partie du texte que les contrôles vérifient le plus vite. Une seule mesure suffit : le nombre de clics nécessaires pour refuser ne doit jamais dépasser celui nécessaire pour accepter.
Les murs de cookies, qui bloquent l’accès au contenu en l’absence d’accord, ne sont pas interdits en bloc : depuis la décision du Conseil d’État du 19 juin 2020, ils s’apprécient au cas par cas, selon la liberté réelle du consentement et l’existence d’une alternative. Pour une PME dont le site vitrine sert à générer des contacts, le mur de cookies reste un mauvais calcul commercial avant même d’être un risque juridique.
La délibération 2025-131 introduit par ailleurs un dispositif optionnel de consentement multi-terminal pour les utilisateurs connectés : le choix exprimé une fois peut s’appliquer à l’ensemble des terminaux liés au compte. C’est utile pour une boutique où l’on se connecte sur mobile puis sur ordinateur, et sans objet pour un site vitrine sans compte client.
Consent Mode v2 et Google Tag Manager : ne plus perdre ses conversions
Le Consent Mode v2 ajoute deux signaux aux deux précédents : ad_user_data et ad_personalization. Ils sont indispensables pour la personnalisation publicitaire et le remarketing dans l’EEE depuis mars 2024. Sans ces signaux, Google ne peut plus exploiter les conversions d’un visiteur qui a pourtant accepté les cookies, même quand le consentement a été recueilli correctement.
L’erreur que nous rencontrons le plus souvent est l’inverse de celle que l’on attend : pour être « conformes », des équipes bloquent tous les tags Google jusqu’à l’interaction avec la bannière. Bloquer les tags Google jusqu’à l’interaction empêche la vérification du consentement et fait perdre des données. Il n’y a plus de signal de refus, donc plus de modélisation possible, et les rapports se vident sans que personne ne comprenne pourquoi.
La configuration que nous déployons est plus plate : un état par défaut en refusé pour les quatre signaux, un court délai d’attente de mise à jour, puis une mise à jour dès le choix du visiteur. Le bon terrain de jeu reste Google Tag Manager, à condition de nommer les balises, de documenter les déclencheurs et de versionner les conteneurs. Nous détaillons cette mécanique dans notre guide sur Google Tag Manager pour les PME, qui sert de point de départ à la plupart de nos interventions.
Une fois le dispositif en place, la mesure change de nature : on ne compte plus seulement les sessions consenties, on modélise les autres. Sur un site e-commerce, cela se lit sur les taux de conversion attribués aux campagnes, qui remontent souvent à leur niveau antérieur après deux à trois semaines de recul. Un tracking qui ne perd rien n’est pas un tracking qui collecte tout, c’est un tracking qui sait ce qu’il ignore.
WordPress : plugin gratuit, CMP ou intégration maison, le comparatif
Trois familles de solutions existent sur WordPress, et aucune n’est mauvaise en soi. Le choix dépend moins du budget que de la capacité de l’équipe à maintenir la configuration dans le temps.
Plugin gratuit
Conformité de base. Information, choix et retrait présents, mais réglages à vérifier un par un.
Effort de mise en œuvre. Faible, 1 à 2 jours.
Effet sur le tracking. Souvent un simple blocage des scripts, Consent Mode à câbler à la main.
Maintenance. Mises à jour fréquentes, régressions possibles.
CMP spécialisée, payante
Conformité de base. Refus symétrique, preuve et journalisation prévues nativement.
Effort de mise en œuvre. Moyen, 1 à 3 jours.
Effet sur le tracking. Consent Mode géré nativement.
Maintenance. Faible, l’éditeur porte la conformité de l’outil.
Intégration maison
Conformité de base. Conformité exacte au besoin, aucune dépendance.
Effort de mise en œuvre. Élevé, 3 à 5 jours.
Effet sur le tracking. Contrôle total, tout est à écrire et à tester.
Maintenance. À porter par l’équipe, à chaque ajout de script.
Le coût réel et le délai de mise en œuvre
Hors licence, le coût réel se mesure en jours-homme, et il est presque toujours sous-estimé. Un plugin gratuit correctement réglé demande 1 à 2 jours-homme : installation, cartographie des cookies réellement déposés, réglage finalité par finalité, test dans l’onglet réseau, capture de preuve. Le coût caché d’un plugin gratuit n’est pas la mise en place, c’est la reprise du réglage après chaque mise à jour majeure.
Côté CMP payante, comptez 1 à 3 jours-homme, dont une bonne part en paramétrage des finalités et en raccordement au Consent Mode. L’essentiel du temps passe dans la cartographie et les tests, jamais dans l’installation elle-même. Une intégration maison demande 3 à 5 jours-homme en première version, puis un entretien régulier à chaque nouveau script. Nous ne la recommandons que si le site a des besoins que les outils standard ne couvrent pas.
Le poids compte aussi. Une CMP ajoute du JavaScript sur chaque page, et cela s’évalue comme n’importe quel autre script : nous mesurons systématiquement l’impact avant de choisir, avec la même méthode que pour tester et améliorer la performance d’un site web. Sur un site déjà lent, la mauvaise bannière peut coûter plus cher en conversions que le traceur qu’elle encadre. Avant de trancher, un audit WordPress gratuit permet de voir ce qui est réellement chargé, dans quel ordre et par quel plugin.
Politique de confidentialité, registre des traitements, mentions légales : les 3 documents à maintenir
La bannière ne tient pas toute seule : trois documents doivent dire la même chose qu’elle. La politique de confidentialité site internet liste les finalités, les cookies déposés, leur durée, les destinataires et les modalités de retrait. Une politique de confidentialité qui cite trois cookies quand la bannière en dépose onze est un aveu de non-conformité rédigé par le site lui-même.
Le registre des traitements est le document interne, souvent absent chez les PME, alors qu’il conditionne la capacité à répondre à une demande de l’autorité et à un questionnaire client. Il se tient à jour au même rythme que les scripts, ce qui suppose un propriétaire nommé et une revue au moins annuelle. C’est l’un des points que nous suivons dans le cadre de nos prestations de maintenance de sites WordPress, parce qu’il se périme vite.
Les mentions légales, enfin, doivent identifier l’éditeur et l’hébergeur, et renvoyer vers la politique de confidentialité. Les trois documents forment un ensemble cohérent ou ne valent rien séparément, et c’est leur incohérence qui attire l’œil en premier.
La checklist en 8 points pour vérifier sa bannière avant la mise en ligne
Une bannière cookies RGPD se juge sur ce qu’elle empêche, pas sur ce qu’elle affiche. Voici ce que nous vérifions avant chaque mise en production.
Deux boutons de même niveau. « Tout accepter » et « tout refuser » apparaissent sur le premier écran, au même format et avec la même lisibilité.
Aucune case pré-cochée. Chaque finalité démarre désactivée et ne s’active que par un acte positif du visiteur.
Aucun tag avant le choix. En l’absence de choix, les signaux Consent Mode sont en refusé et aucun appel vers un domaine tiers ne part.
Un lien de retrait permanent. « Gérer mes cookies » est accessible depuis toutes les pages, et le retrait coupe réellement les requêtes en cours.
Une durée de conservation documentée. Six mois en bonne pratique, ajustés au cas par cas, avec la raison écrite quelque part.
Une preuve archivable. Version du code, capture par version, configuration de la CMP et cookie de choix, tous horodatés.
Une politique de confidentialité alignée. Le nombre de cookies décrits correspond au nombre réellement déposé, finalité par finalité.
Un test mobile et un test en navigation privée. Refus puis retrait, sur les deux parcours, avec vérification dans l’onglet réseau.
Cette checklist prend une heure sur un site simple et révèle presque toujours un écart entre ce que la bannière affirme et ce que le site fait. Si vous ne savez pas par où commencer, commencez par ce que le navigateur envoie réellement, pas par le texte de la bannière. Nous faisons ce diagnostic régulièrement, et vous pouvez nous contacter pour en parler sur votre propre configuration.
FAQ : cookies et RGPD
Faut-il vraiment un bouton « tout refuser » à côté de « tout accepter » ?
Oui, et c’est le point le plus vérifié en contrôle. La recommandation consolidée du 16 janvier 2026 exige que le refus soit proposé avec le même degré de simplicité que l’acceptation. Concrètement, les deux boutons se présentent au même niveau et au même format, sans traitement visuel qui rend l’acceptation plus évidente. Un refus accessible seulement au second niveau, via « paramétrer », n’est pas acceptable. Le test simple : deux clics pour refuser contre un seul pour accepter, c’est déjà non conforme.
Combien de temps peut-on conserver le choix d'un visiteur ?
Six mois est la durée que la CNIL cite comme bonne pratique, mais ce n’est pas un maximum légal fixe. La durée s’apprécie au cas par cas, selon la nature du service et l’attente raisonnable des visiteurs. Une boutique qui ajoute une finalité ou change d’outil doit de toute façon redemander le choix, même si les six mois ne sont pas écoulés. Documentez la durée retenue et sa justification : la raison vaut autant que le chiffre.
Peut-on se passer de bannière si on n'utilise que Google Analytics 4 ?
Non, dans la très grande majorité des configurations. L’exemption de mesure d’audience suppose des statistiques anonymes, pour le compte exclusif de l’éditeur, sans suivi inter-sites ni partage avec des tiers, avec un traceur de 13 mois maximum et des données conservées 25 mois au plus. GA4 dans sa configuration par défaut ne remplit pas ces conditions, et le paramétrage nécessaire pour s’en approcher est rarement rentable sur un site de PME.
Le Consent Mode v2 suffit-il à être conforme au RGPD ?
Non. Le Consent Mode v2 est un mécanisme de signalement, pas une bannière : il transmet à Google ce que le visiteur a accepté ou refusé, finalité par finalité. Il ne remplace ni le recueil du consentement, ni l’information, ni la preuve. C’est une brique indispensable pour ne pas perdre ses conversions, à condition que la bannière en amont fasse correctement son travail.
Que risque une PME dont la bannière n'est pas conforme ?
Le risque est devenu concret et rapide. En 2025, 21 organismes ont été sanctionnés pour des manquements liés aux cookies et traceurs, et les bannières restent un motif fréquent des procédures simplifiées de 2026, plafonnées à 20 000 euros par sanction. Au-delà de l’amende, c’est la mise en demeure, la remise en état dans un délai court et la publicité de la décision qui coûtent le plus cher à une petite structure.
Votre bannière envoie-t-elle des requêtes avant le choix ?
Nous regardons ce que votre site envoie réellement au navigateur, et nous vous disons ce qu’il faut corriger pour être en règle sans perdre vos statistiques.
