Consentement aux cookies en France : l’article 82 et les règles de la CNIL

Que dit la loi française sur les cookies ?

La France a transposé l’article 5, paragraphe 3 de la directive ePrivacy à l’article 82 de la loi du 6 janvier 1978, dite loi Informatique et Libertés. L’article 82 prévoit que tout utilisateur doit être informé de manière claire et complète de la finalité de toute action tendant à accéder à des informations stockées dans son équipement terminal, ou à inscrire des informations dans cet équipement, ainsi que des moyens dont il dispose pour s’y opposer, et que ces accès ou inscriptions ne peuvent avoir lieu qu’après son consentement. Deux exceptions s’appliquent : l’accès ou l’inscription qui a pour finalité exclusive de permettre ou faciliter la communication par voie électronique, et celui qui est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur.

La CNIL explique sa lecture de l’article 82 dans deux textes adoptés le 17 septembre 2020 : des lignes directrices (délibération n° 2020-091) et une recommandation accompagnée d’exemples pratiques (délibération n° 2020-092). Les lignes directrices disent ce que la loi exige ; la recommandation propose des moyens de s’y conformer et n’est pas contraignante en tant que telle. Les sites avaient jusqu’à fin mars 2021 pour s’adapter, et la CNIL mène des contrôles sur les cookies chaque année depuis.

Qu’est-ce qui a changé en 2025 et 2026 ?

Le 18 décembre 2025, la CNIL a adopté la délibération n° 2025-131, qui ajoute à la recommandation de 2020 un chapitre sur le consentement multi-terminaux ; une version consolidée a été publiée le 16 janvier 2026. Un site où les visiteurs se connectent à un compte peut appliquer un même choix à tous les terminaux rattachés à ce compte, à deux conditions seulement : un refus ou un retrait doit se propager d’un terminal à l’autre de la même façon qu’un consentement, et le visiteur doit être informé avant de choisir que son choix vaudra pour tous ses terminaux connectés. Le mécanisme est facultatif.

Que doit faire un bandeau cookies en France ?

Les lignes directrices et la recommandation décrivent un bandeau qui :

• ne dépose aucun cookie soumis à consentement avant que le visiteur agisse ; le silence ne vaut jamais consentement, et si fermer le bandeau vaut refus, le bandeau doit le dire ;
• propose le refus avec le même degré de simplicité que l’acceptation, ce qui signifie en pratique des boutons « Tout accepter » et « Tout refuser » dès le premier écran, au même niveau et sous le même format ;
• présente les finalités avant le choix, avec la possibilité d’accepter ou de refuser finalité par finalité, et nomme les sociétés qui utilisent les traceurs ;
• permet de retirer son consentement à tout moment, aussi facilement qu’il a été donné ;
• conserve le choix pour ne pas redemander trop tôt. La recommandation considère que conserver aussi bien le consentement que le refus pendant 6 mois est une bonne pratique, et recommande de redemander à intervalles appropriés.

L’éditeur doit pouvoir prouver que le consentement a été recueilli. Notre article sur les lignes directrices de la CNIL reprend la recommandation point par point.

Les cookie walls sont-ils autorisés en France ?

Pas en règle générale, mais ils ne sont pas non plus interdits par principe. Les lignes directrices de 2019 de la CNIL interdisaient les cookie walls de manière générale, et le Conseil d’État a annulé cette interdiction générale le 19 juin 2020, au motif qu’un texte de droit souple ne pouvait pas poser une interdiction absolue. Les lignes directrices de 2020 indiquent donc que subordonner l’accès à un site à l’acceptation de traceurs est susceptible, dans certains cas, de porter atteinte à la liberté du consentement, et que la licéité d’un cookie wall s’apprécie au cas par cas. Lorsqu’un cookie wall est utilisé, le visiteur doit être clairement informé que refuser le prive de l’accès au contenu.

Les cookies de mesure d’audience exigent-ils un consentement en France ?

Pas toujours. La France est l’un des rares pays à prévoir une exemption pour la mesure d’audience. La CNIL considère que les traceurs utilisés uniquement pour mesurer l’audience d’un site ou d’une application, pour le compte exclusif de l’éditeur, sont strictement nécessaires et exemptés de consentement s’ils :

• servent uniquement à la mesure d’audience, et non au suivi d’une personne entre sites ou applications ;
• produisent uniquement des statistiques anonymes, sans recoupement avec d’autres traitements ni transmission des données à des tiers ;
• ont une durée de vie limitée à ce qui est nécessaire pour comparer les audiences dans le temps, par exemple 13 mois, sans prorogation automatique lors des nouvelles visites ;
• conservent les informations collectées pendant 25 mois au plus ;
• sont portés à la connaissance des visiteurs, par exemple dans la politique de confidentialité.

Une installation standard de Google Analytics 4 ne remplit pas ces conditions, car les données ne restent pas chez le seul éditeur. Un outil configuré pour les remplir toutes peut s’exécuter avant le choix du visiteur. Voir la mesure d’audience sans consentement pour les options.

À combien s’élèvent les amendes en France ?

Les manquements à l’article 82 sont sanctionnés sur le fondement de l’article 20, IV, 7° de la loi : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. La formation restreinte a appliqué ce plafond dans sa décision du 31 décembre 2021 contre Google. Les dossiers plus modestes passent par la procédure simplifiée (article 22-1), avec des amendes jusqu’à 20 000 euros, portées à 100 000 euros pour les organismes dont le chiffre d’affaires dépasse 50 millions d’euros, et le nom de l’organisme n’est pas publié.

Comme les amendes cookies sont prononcées sur le fondement du droit français et non du RGPD, le guichet unique du RGPD ne s’applique pas, et la CNIL peut sanctionner directement des sociétés dont le siège est en Irlande pour des cookies déposés sur les terminaux d’utilisateurs en France. Les principales décisions de la formation restreinte :

Le schéma est constant : des cookies déposés avant tout choix, un refus plus difficile que l’acceptation, des choix non respectés et des cookies encore lus après que le visiteur a retiré son consentement.

Comment Cookiequiet s’adapte aux règles françaises ?

L’installation de Cookiequiet tient en une balise script et environ cinq minutes : le scan remplit le tableau des cookies, Tout accepter et Tout refuser figurent au premier niveau avec le même poids par défaut, et le bandeau s’affiche en français pour les visiteurs dont le navigateur le demande. Chaque choix est enregistré dans un registre des consentements avec sa date et la version du bandeau, et le ciblage géographique est inclus dans toutes les offres, y compris Free. Pour savoir lesquels de vos cookies exigent un consentement, lancez le scanner de cookies gratuit.