Bannière cookies : le bouton refuser que la CNIL vérifie en 2026

En janvier 2022, la CNIL a infligé 150 millions d’euros à Google et 60 millions à Facebook (cnil.fr). Le motif n’était pas une fuite de données. C’était un bouton. Refuser les cookies demandait plusieurs clics quand les accepter n’en demandait qu’un seul. En septembre 2025, Google a repris 325 millions d’euros sur un dossier de même nature (cnil.fr). Ces montants visent des géants. La règle, elle, s’applique à votre site vitrine exactement comme à leur moteur de recherche.

Le problème: la plupart des bannières cookies installées sur les sites de TPE et PME sont non conformes. Pas par mauvaise foi, par méconnaissance. Et la CNIL a fait des bannières une cible de contrôle prioritaire.

La règle tient en une phrase

Refuser les cookies doit être aussi simple que de les accepter. C’est tout.

Cette exigence découle de l’article 82 de la loi Informatique et Libertés, qui impose de recueillir votre accord avant de déposer un traceur non essentiel sur l’appareil d’un visiteur (cnil.fr). Tant que le visiteur n’a pas cliqué sur “j’accepte” par un geste clair, aucun cookie de mesure ou de publicité ne doit se déposer. Et s’il refuse, ce refus doit lui coûter le même effort qu’une acceptation: un clic, au premier écran.

La simple poursuite de la navigation ne vaut pas accord. Fermer la bannière, faire défiler la page, cliquer ailleurs: rien de tout cela n’est un consentement valable. Le régulateur qui contrôle ce point est la CNIL, seule compétente sur les cookies, et elle applique la règle de la même manière à un site à fort trafic qu’à un site vitrine de quartier.

Pourquoi votre site est concerné, même sans publicité

Le réflexe classique du dirigeant: “Je ne vends pas de pub, je suis trop petit, ça ne me concerne pas.” Faux.

Le sujet n’est pas la publicité. C’est le traceur. Or votre site en dépose probablement plusieurs sans que vous le sachiez. Un compteur de visites Google Analytics dépose un traceur. Un pixel Meta pour vos campagnes dépose un traceur. Une vidéo YouTube intégrée dans une page dépose un traceur dès le chargement. Une carte, un chatbot, un bouton de partage vers les réseaux sociaux: autant de traceurs déposés, souvent, avant même que le visiteur ait vu la bannière.

Chacun de ces outils suffit à vous soumettre à la règle du consentement. Vous n’avez pas besoin d’être un annonceur pour être concerné. Vous avez juste besoin d’un site qui mesure son trafic, ce qui est le cas de presque tous.

Et la CNIL ne vise pas que les géants. En décembre 2024, elle a mis en demeure plusieurs éditeurs de sites web de corriger leur bannière jugée trompeuse, sous un mois, après de simples plaintes d’internautes (cnil.fr). Une plainte suffit à déclencher un contrôle. N’importe quel visiteur mécontent peut la déposer. Un concurrent, un ancien salarié, un client insatisfait, une association de défense des droits: les profils qui saisissent la CNIL sont variés, et la démarche leur prend cinq minutes en ligne. Vous n’avez aucun moyen de savoir à l’avance qui regarde votre bannière, ni pourquoi.

Que se passe-t-il si vous ignorez la mise en demeure ? La CNIL commence presque toujours par ce rappel à l’ordre, sans amende, avec un délai pour corriger. La grande majorité des dossiers s’arrêtent là, dès que la bannière est remise en conformité. Mais si rien ne bouge, l’affaire peut passer devant la formation restreinte, l’organe de sanction de la CNIL, qui peut prononcer une amende et, plus gênant pour une petite structure, rendre la décision publique (cnil.fr). Pour une TPE, l’enjeu n’est pas tant le montant, souvent modéré au regard de ceux infligés aux géants, que la mention de votre nom dans une décision consultable en ligne. Un prospect qui vous cherche tombe alors sur une sanction pour mauvaise gestion des données personnelles. La correction, elle, aurait pris une demi-journée.

Ce que ça implique selon votre activité

La règle est la même pour tous, mais l’effort de mise en conformité varie selon ce que vous faites tourner sur votre site.

Site vitrine d’une petite structure. Le plus souvent, vous avez un compteur de visites et une carte intégrée, parfois une police de caractères chargée depuis un serveur externe. Le chantier est léger: un bouton “Tout refuser” et le blocage du compteur tant que le visiteur n’a pas cliqué. Une demi-journée suffit.

Boutique en ligne. C’est le cas le plus exposé. Pixel Meta, balises publicitaires, outils de reciblage, widgets d’avis clients: chaque tag marketing est un traceur à conditionner au consentement. Bénéfice inattendu d’une bannière propre: vous cessez de gonfler artificiellement vos statistiques avec des visiteurs qui avaient refusé le suivi. Vos chiffres deviennent enfin fiables.

Activité de services et B2B. Vos points faibles sont souvent invisibles: un chatbot d’assistance, un formulaire connecté à un outil marketing, une balise de suivi des réseaux professionnels. Ces éléments déposent des traceurs que personne n’a pensé à déclarer dans la bannière.

Éditeur de logiciel en ligne. Votre priorité: bien séparer les cookies techniques, ceux qui gèrent la connexion et la sécurité et qui sont exemptés, des cookies de mesure qui exigent un accord. Ne bloquez jamais ce qui fait tourner le service, bloquez seulement ce qui observe l’utilisateur.

Les 4 pièges de bannière que la CNIL sanctionne

Quand la CNIL a mis en demeure des éditeurs fin 2024, elle a listé noir sur blanc les pratiques non conformes. Ce sont exactement celles que génèrent la plupart des bannières par défaut (cnil.fr).

Premier piège: l’option de refus est un simple lien, plus petit et plus discret que le gros bouton “tout accepter” bien coloré. Le déséquilibre visuel oriente le choix.

Deuxième piège: l’option de refus se fond dans le texte d’information, mal placée, pas repérable au premier coup d’oeil.

Troisième piège: l’option de refus est collée à d’autres paragraphes, sans espacement suffisant pour la distinguer.

Quatrième piège: l’acceptation est proposée plusieurs fois dans la bannière alors que le refus n’apparaît qu’une fois, et sous une formule floue du type “je décline les finalités non essentielles” que personne ne comprend.

Ce que la CNIL attend concrètement en 2026

La bonne nouvelle: les règles sont stables et documentées. La CNIL a publié une version consolidée de sa recommandation sur les cookies le 16 janvier 2026, qui reprend et précise le cadre existant (cnil.fr). Rien de piégeux, quatre points suffisent.

Un bouton “Tout refuser” au premier écran, avec le même poids visuel que “Tout accepter”. C’est le point le plus contrôlé.

La possibilité de retirer son accord à tout moment, aussi facilement qu’on l’a donné. En pratique, un lien discret mais accessible en bas de page pour rouvrir les réglages.

La conservation du choix pendant environ six mois, refus comme acceptation, pour ne pas réinterroger le visiteur à chaque visite (cnil.fr).

Enfin, la preuve du consentement. Vous devez pouvoir démontrer, à tout moment, que l’accord a bien été recueilli. Les solutions de gestion de bannière sérieuses conservent cette trace pour vous.

Tous les cookies ne demandent pas d’accord. Ceux qui gardent un panier d’achat, qui maintiennent une session connectée, ou certains outils de mesure d’audience configurés pour rester anonymes, sont exemptés de consentement (cnil.fr). Vous n’avez donc pas à bloquer tout votre site en attendant un clic. Vous devez bloquer les seuls traceurs non essentiels.

Votre bannière est-elle conforme ? La checklist

Ouvrez votre site en navigation privée et vérifiez, point par point:

• Un bouton “Tout refuser” est visible dès le premier écran de la bannière, sans avoir à ouvrir de réglages
• Les boutons “Accepter” et “Refuser” ont la même taille, la même couleur et le même emplacement
• Aucun traceur de mesure ou de publicité ne se charge avant le clic (à faire vérifier par votre prestataire)
• Un lien permet de revenir sur son choix à tout moment
• Le texte indique clairement à quoi servent les cookies
• Le choix du visiteur est mémorisé pendant six mois

Si une seule case reste vide, votre consentement n’est pas valable au sens de la loi, et une plainte peut aboutir à une mise en demeure.

La règle Alpha Digital : si votre bannière n’a pas de bouton “Tout refuser” visible au premier écran, considérez que vous n’avez aucun consentement valable, et donc aucun droit de déposer vos traceurs. Point final.

Par où commencer concrètement ? Repérez tous les outils externes de votre site (mesure d’audience, publicité, vidéos, cartes, chatbot). Vérifiez que chacun attend le clic avant de se déclencher. Ajoutez un bouton “Tout refuser” au premier écran, à parité avec l’acceptation. Puis testez vous-même en navigation privée.

Corriger une bannière n’est pas un chantier. C’est souvent une demi-journée de réglage sur l’outil que vous avez déjà. Le vrai risque n’est pas la complexité, c’est de croire que vous êtes trop petit pour être concerné. Vous ne l’êtes pas.

Vous voulez savoir où en est votre site sans y passer la matinée ? Nous auditons votre bannière et vos traceurs et vous disons en clair ce qui coince. Demandez un diagnostic gratuit.