Bouton Tout refuser : pourquoi votre bandeau cookies en a besoin

Votre bandeau cookies a besoin d’un bouton « Tout refuser » dès le premier écran, à côté de « Tout accepter », avec la même taille, le même poids et la même visibilité. C’est la règle unique derrière la plupart des amendes cookies des cinq dernières années : la CNIL l’a inscrite dans ses lignes directrices en septembre 2020, a infligé fin 2021 une amende de 150 millions d’euros à Google et de 60 millions d’euros à Facebook pour un bandeau qui demandait un clic pour accepter et cinq actions pour refuser, et la task force « bandeaux cookies » du CEPD (Comité européen de la protection des données) a confirmé en janvier 2023 qu’une large majorité des autorités européennes considère un bandeau doté d’un bouton d’acceptation sans option de refus comme une infraction.

Ce que disent les autorités

CNIL (France). Les lignes directrices et la recommandation adoptées le 17 septembre 2020 posent que « refuser les traceurs doit être aussi aisé que de les accepter », et la recommandation décrit la façon simple de s’y conformer : deux boutons au premier niveau, présentés au même niveau et dans le même format, libellés par exemple « tout accepter » et « tout refuser ». Les sites avaient jusqu’à fin mars 2021 pour se mettre en conformité. Ensuite, la CNIL a adressé des mises en demeure à une vingtaine d’organismes en mai 2021, une deuxième série en juillet 2021 et une trentaine de plus en décembre 2021, près de 90 au total, puis est passée aux amendes. En 2026, le schéma se poursuit à plus petite échelle : parmi les 23 sanctions prononcées par la CNIL dans le cadre de sa procédure simplifiée entre janvier et juillet 2026, plusieurs concernaient des bandeaux où accepter prenait un clic mais refuser obligeait à ouvrir un écran « personnaliser ».

Task force du CEPD (toutes les autorités de l’UE). Le rapport adopté le 17 janvier 2023 relève qu’une large majorité des autorités considère l’absence d’option de refus sur tout niveau comportant un bouton de consentement comme une infraction à la directive ePrivacy. Il liste aussi des conceptions qui ne conduisent pas à un consentement valable : un lien « refuser » ou « continuer sans accepter » noyé dans un paragraphe de texte sans mise en valeur visuelle, ou placé hors du bandeau où se trouvent les boutons d’acceptation. Sur les couleurs et le contraste, la task force a refusé d’imposer une norme, mais qualifie de manifestement trompeur un bouton de refus dont le texte est illisible sur son fond. Les détails sont dans notre article sur le rapport de la task force.

ICO (Royaume-Uni). Les recommandations de l’ICO sur les technologies de stockage et d’accès indiquent que les utilisateurs doivent pouvoir refuser les technologies non exemptées « aussi facilement qu’ils peuvent les accepter », que vous ne devez pas les activer par défaut, et que la formule « en continuant à utiliser notre site, vous consentez » n’est pas un consentement valable, même avec un bouton OK.

Californie. Le modèle d’opposition est différent, mais la règle de symétrie est la même. En mars 2025, la California Privacy Protection Agency a infligé une amende de 632 500 $ à American Honda, en partie parce que son outil de confidentialité « n’offrait pas aux Californiens leurs choix en matière de vie privée de façon symétrique ou égale ».

Ce que signifie « aussi simple » en pratique

L’égalité de facilité se mesure en clics, en visibilité et en formulation.

• Même écran. « Tout refuser » se trouve au premier niveau. Une option de refus qui n’apparaît qu’après « Paramètres » ou « Personnaliser » est un niveau plus profond que « Tout accepter » : c’est le cas Google et TikTok.
• Même nombre d’actions. Un clic pour accepter, un clic pour refuser.
• Même visibilité. Même taille, même graisse de police, même forme de bouton. Aucun texte n’interdit une couleur contrastée sur Accepter, mais plus le design pousse une option, plus il ressemble à la pratique du « contraste trompeur des boutons » examinée par la task force. Le choix sûr : deux boutons qui se ressemblent comme des jumeaux.
• Des mots clairs. « Tout refuser », « Refuser », « Décliner » conviennent. « Continuer sans accepter » en texte gris au-dessus du bandeau est le motif que la CNIL a visé dans ses mises en demeure de décembre 2024, où l’option de refus était un lien dont la couleur, la taille et le style de police favorisaient l’acceptation.
• Il doit fonctionner. Un « Tout refuser » qui laisse passer des cookies est pire qu’aucun bouton. La CNIL a infligé 10 millions d’euros d’amende à Yahoo en décembre 2023 après avoir constaté au moins vingt cookies publicitaires déposés sans consentement préalable, et 1,5 million d’euros à American Express en novembre 2025 pour des cookies publicitaires déposés après le refus du visiteur.

Cela va-t-il baisser mon taux de consentement ?

Oui, par rapport à un bandeau qui cache le refus. Une étude des fenêtres de consentement sur les 10 000 premiers sites britanniques (Nouwens et ses collègues, 2020) a montré que retirer le bouton de refus de la première page augmentait la probabilité de consentement de 22 à 23 points de pourcentage, ce qui explique exactement pourquoi la pratique s’est répandue, et pourquoi les régulateurs considèrent un consentement recueilli ainsi comme invalide. Avec des boutons égaux, des sondages réalisés pour la CNIL en juin 2022 ont mesuré 59 % d’internautes français acceptant les cookies et 39 % les refusant. Les chiffres honnêtes et ce qui les fait bouger sont dans notre article sur les taux de consentement.

Mémoriser le refus

Un bandeau qui réapparaît à chaque page parce que le refus n’a pas été enregistré est une tactique de pression, et les lignes directrices du CEPD sur les interfaces trompeuses l’appellent « sollicitation continue ». La recommandation de la CNIL indique que conserver le choix, consentement ou refus, pendant six mois est une bonne pratique ; l’ICO suggère les mêmes six mois avant de solliciter de nouveau quelqu’un qui a refusé. Stockez le refus dans le même cookie interne que l’acceptation et ne redemandez pas avant son expiration, sauf si vos finalités changent.

Le réglage par défaut de Cookiequiet

Cookiequiet affiche « Tout accepter » et « Tout refuser » avec la même taille et le même poids dès le premier écran de chaque disposition, sans catégorie optionnelle précochée, avec un bouton « Personnaliser » qui ouvre les quatre catégories, et un choix mémorisé 182 jours par défaut. Le libellé de chaque bouton est modifiable par langue si votre marque préfère « Décliner » à « Tout refuser ».