Lignes directrices cookies de la CNIL : ce qu’exige la France

Les règles de la CNIL sur les cookies tiennent en deux textes adoptés le 17 septembre 2020 : des lignes directrices modificatives qui énoncent ce qu’exige l’article 82 de la loi Informatique et Libertés (la transposition française de la directive ePrivacy), et une recommandation qui décrit comment s’y conformer en pratique. Leur cœur est court. Poursuivre sa navigation ne vaut pas consentement. Refuser les traceurs doit être aussi simple que les accepter, ce que la CNIL traduit par un bouton « tout refuser » à côté de « tout accepter ». Les visiteurs doivent connaître les finalités et savoir qui dépose les traceurs. Le site doit pouvoir prouver le consentement à tout moment. Les sites avaient jusqu’à fin mars 2021 pour se conformer ; depuis, la CNIL a prononcé environ 90 mises en demeure et des amendes totalisant plusieurs centaines de millions d’euros pour violation de ces règles.

D’où viennent les textes

La CNIL a d’abord adopté des lignes directrices sur les cookies le 4 juillet 2019. Par une décision du 19 juin 2020, le Conseil d’État en a validé l’essentiel mais a annulé l’interdiction générale des cookie walls (murs de traceurs), et c’est pourquoi les textes de 2020 traitent les cookie walls au cas par cas plutôt que de les interdire d’emblée. Les lignes directrices modificatives (délibération 2020-091) et la recommandation (délibération 2020-092) ont suivi le 17 septembre 2020 et ont été publiées à la fin de ce mois. Les lignes directrices rappellent le droit ; la recommandation est le guide pratique de la CNIL, non contraignant en tant que tel, mais l’étalon que ses contrôleurs utilisent.

Ce que disent les règles

Le consentement est un acte positif. Les lignes directrices disent que la simple poursuite de la navigation sur un site ne peut plus être considérée comme une expression valable du consentement ; un acte positif clair, comme cliquer sur « j’accepte », est nécessaire. Cela rejoint les lignes directrices du CEPD (Comité européen de la protection des données) sur le consentement, selon lesquelles faire défiler ou balayer l’écran ne satisfait jamais l’exigence d’un acte positif clair.

Refuser doit être aussi simple qu’accepter. La phrase de la CNIL est « Refuser les traceurs doit être aussi aisé que de les accepter ». La recommandation (paragraphes 27 et 32) décrit deux boutons sur la première couche, présentés au même niveau et dans le même format, comme « tout accepter » et « tout refuser », comme un moyen simple et clair de permettre à l’utilisateur de refuser aussi facilement que de consentir. Un bouton « personnaliser » au même niveau peut mener aux choix finalité par finalité. Le guide du bouton Tout refuser couvre le design.

L’information avant le consentement. Les utilisateurs doivent connaître, avant de consentir, les finalités des traceurs et l’identité de tous les acteurs qui utilisent des traceurs soumis au consentement. La recommandation (paragraphe 20) demande qu’une liste à jour de ces acteurs soit disponible en permanence à un endroit facilement accessible du site.

Le retrait aussi simple que le consentement. Paragraphes 40 à 44 de la recommandation : les utilisateurs doivent pouvoir retirer leur consentement à tout moment, aussi simplement qu’ils l’ont donné, doivent être informés avant de consentir de la façon de le faire, et le mécanisme doit être facile à trouver, par exemple un lien « gérer mes cookies » accessible depuis chaque page ou une icône de cookie en bas à gauche de l’écran.

La preuve du consentement. Article 4 de la recommandation : les responsables de traitement doivent pouvoir démontrer à tout moment que les utilisateurs ont consenti, avec des mécanismes en place pour le faire. Quand un tiers recueille le consentement, une clause contractuelle seule ne suffit pas ; l’acteur qui le recueille doit mettre la preuve à disposition des autres. Combien de temps conserver les preuves de consentement en fait une politique de conservation.

Mémoriser le choix. Paragraphe 39 : conserver le choix de l’utilisateur, consentement comme refus, pendant six mois est une bonne pratique, pour que le bandeau ne revienne pas à chaque visite.

La mesure d’audience exemptée. Les lignes directrices maintiennent une exemption pour les traceurs de mesure d’audience qui servent uniquement l’éditeur, produisent des statistiques anonymes et ne font aucun suivi inter-sites, avec une durée de vie recommandée du traceur de treize mois et une conservation des données de vingt-cinq mois. La mesure d’audience sans consentement en explique les conditions.

Comment la CNIL les a fait appliquer

La CNIL a annoncé un plan d’action avec les textes et s’y est tenue.

• 25 mai 2021 : mises en demeure adressées le 18 mai à une vingtaine d’organismes, surtout de grandes entreprises du numérique et quelques organismes publics, qui ne permettaient pas de refuser les cookies aussi facilement que de les accepter ; un mois pour se conformer, avec des amendes possibles allant jusqu’à 2 % du chiffre d’affaires. Tous se sont conformés dans le mois.
• 23 juillet 2021 : une deuxième série de mises en demeure pour le même motif.
• 14 décembre 2021 : une trentaine de nouvelles mises en demeure, portant le total à près de 90 organismes. Les contrôles de la CNIL ont relevé des cookies déposés avant acceptation, des bandeaux qui rendaient le refus plus difficile que l’acceptation, et des options de refus qui n’arrêtaient pas les cookies.
• 31 décembre 2021 : des amendes de 150 millions d’euros pour Google et de 60 millions d’euros pour Facebook. Sur google.fr, youtube.com et facebook.com, accepter prenait un clic ; refuser exigeait d’ouvrir un écran de paramètres et, dans le cas de Google, au moins cinq actions.
• Décembre 2022 : Microsoft (60 millions d’euros, bing.com) et TikTok (5 millions d’euros), de nouveau pour un refus plus difficile que l’acceptation, plus une information vague dans le cas de TikTok.
• 29 décembre 2023 : Yahoo (10 millions d’euros) pour des cookies publicitaires déposés sans consentement préalable et un retrait qui coûtait leur messagerie aux utilisateurs.
• 12 décembre 2024 : mises en demeure d’éditeurs dont l’option de refus était un lien discret, en citant le rapport de la task force du CEPD.
• 1er septembre 2025 : Google (325 millions d’euros, en partie pour avoir orienté les utilisateurs vers les cookies publicitaires à la création du compte) et Shein (150 millions d’euros, cookies déposés dès l’arrivée et un refus qui ne fonctionnait pas).
• Novembre 2025 à juillet 2026 : Condé Nast (750 000 €), American Express (1,5 million d’euros), et 23 sanctions au titre de la procédure simplifiée entre janvier et juillet 2026, chacune plafonnée à 20 000 €.

Notre tour d’horizon des amendes contient le tableau complet.

Cela a-t-il changé le web ?

La CNIL a mesuré. Son évaluation publiée le 21 juin 2023 a combiné cinq enquêtes IFOP auprès des internautes français avec une observation des 1 000 sites les plus visités en France entre janvier 2021 et août 2022. La part des sites déposant plus de six cookies tiers avant toute action de l’utilisateur est passée de 24 % à 12 % ; la part de ceux qui n’en déposent aucun est passée de 20 % à 29 %. Côté utilisateurs, 59 % déclaraient accepter les cookies et 39 % les refuser, et 49 % paramétrer leurs choix, contre 43 % auparavant. La CNIL a conclu que les pratiques s’amélioraient mais que le suivi sans consentement restait potentiellement significatif, et a annoncé qu’elle maintiendrait son effort de mise en conformité sur les sites à forte audience, ce que les amendes de 2025 confirment.

Cela s’applique-t-il hors de France ?

Directement, non : l’article 82 est du droit français et la compétence de la CNIL couvre les traceurs déposés sur des terminaux en France, quel que soit l’exploitant du site. En substance, largement oui. La directive ePrivacy est le même texte partout, la task force « bandeaux cookies » du CEPD a adopté en 2023 des positions qui rejoignent celles de la CNIL sur les boutons de refus, les cases précochées et les liens discrets, et les recommandations britanniques de l’ICO demandent un refus aussi simple que l’acceptation presque dans les mêmes termes. Un bandeau construit selon la recommandation de la CNIL est conforme dans la plus grande partie de l’Europe ; l’inverse n’est pas vrai.

La checklist

• Deux boutons sur la première couche, même niveau, même format : tout accepter, tout refuser ; une option personnaliser à côté.
• Aucun traceur avant le choix ; un refus et un retrait qui arrêtent les traceurs.
• Les finalités et la liste des acteurs, avant le consentement, avec la liste complète à un clic.
• Un moyen de se rétracter sur chaque page.
• Le choix conservé six mois.
• Des enregistrements de consentement que vous pouvez produire.
• Une mesure d’audience exemptée configurée à la lettre, ou derrière le bandeau.

Les réglages par défaut de Cookiequiet ont été conçus à partir de cette liste : des boutons « Tout accepter » et « Tout refuser » égaux, un bouton « Personnaliser », aucune catégorie précochée, un blocage avant consentement, un lien de retrait, un choix conservé 182 jours et un registre des consentements ; les libellés sont modifiables en français et dans 23 autres langues.