RGPD et cookies : ce que la loi exige

Qu’est-ce que le RGPD ?

Le règlement général sur la protection des données est la loi de l’Union européenne sur la protection des données. Adopté le 27 avril 2016, il s’applique depuis le 25 mai 2018 dans chaque État membre de l’UE et, par l’accord sur l’EEE, en Islande, au Liechtenstein et en Norvège. C’est un règlement, pas une directive : le même texte s’applique partout sans transposition nationale, même si chaque État membre a sa propre autorité de contrôle et règle certains détails localement.

Le RGPD ne mentionne pas les cookies par leur nom. Il compte pour les bandeaux cookies pour deux raisons. D’abord, le considérant 30 indique que les identifiants en ligne, comme les adresses IP et les identifiants de cookies, peuvent identifier une personne : la plupart des cookies traitent donc des données personnelles. Ensuite, la directive ePrivacy, qui régit bien les cookies, emprunte au RGPD sa définition du consentement. En pratique, les deux textes fonctionnent ensemble : la directive ePrivacy décide si vous pouvez déposer ou lire un cookie, et le RGPD décide ce que vous pouvez faire des données et à quoi doit ressembler le consentement.

À qui s’applique le RGPD ?

L’article 3 donne au RGPD un champ territorial large. Il s’applique à tout organisme établi dans l’UE, quelle que soit la nationalité de ses visiteurs, et aux organismes établis hors de l’UE qui proposent des biens ou des services à des personnes dans l’UE ou suivent leur comportement. La publicité comportementale et la mesure d’audience sont des formes de suivi : un site aux États-Unis ou en Australie qui suit des visiteurs venus de France ou d’Allemagne entre dans le champ. Il n’y a ni seuil de taille ni exemption pour les petites entreprises.

Qu’exige le RGPD pour les cookies et le consentement ?

Le consentement est défini à l’article 4, point 11 comme une manifestation de volonté libre, spécifique, éclairée et univoque, par laquelle la personne accepte, par une déclaration ou par un acte positif clair. L’article 7 ajoute les conditions : le responsable de traitement doit pouvoir démontrer que le consentement a été donné, la demande doit se distinguer clairement des autres questions, et retirer son consentement doit être aussi simple que le donner. Le considérant 32 exclut le silence, les cases précochées et l’inactivité. Le considérant 43 présume que le consentement n’est pas libre lorsqu’il est groupé : des finalités distinctes appellent des consentements distincts.

La Cour de justice a appliqué ces règles aux cookies dans l’arrêt Planet49 (C-673/17, 1er octobre 2019). Une case précochée n’est pas un consentement valable, la règle vaut que le cookie contienne ou non des données personnelles, et l’information donnée à l’utilisateur doit préciser la durée de vie des cookies et si des tiers peuvent y accéder.

Les lignes directrices 05/2020 sur le consentement du Comité européen de la protection des données (CEPD), du 4 mai 2020, ont tranché deux autres questions : faire défiler ou balayer une page n’est pas un consentement, et un cookie wall qui bloque l’accès à un site tant que le visiteur n’a pas accepté le suivi ne produit pas un consentement libre.

Tous les cookies n’exigent pas un consentement. Les cookies strictement nécessaires à la fourniture d’un service demandé par le visiteur (session, panier, connexion, sécurité, répartition de charge, mémorisation du choix de consentement lui-même) sont exemptés par la directive ePrivacy. La mesure d’audience n’est exemptée que sous des conditions nationales précises, comme l’exemption de la CNIL pour la mesure d’audience interne avec adresses IP tronquées et sans suivi entre sites. Tout le reste, y compris les pixels publicitaires, les contenus embarqués des réseaux sociaux et la plupart des outils de mesure d’audience, exige un consentement préalable. L’intérêt légitime ne peut pas remplacer le consentement pour déposer des cookies, un point que la task force « bandeaux cookies » du CEPD a rappelé en 2023.

Que doit faire un bandeau conforme ?

Mis bout à bout, le RGPD, la directive ePrivacy et les recommandations des autorités décrivent un bandeau qui :

• bloque tous les cookies et scripts non essentiels tant que le visiteur n’a pas choisi ;
• affiche une option Accepter et une option Refuser de même visibilité dès le premier écran, puisqu’une majorité d’autorités de l’UE considèrent qu’un bandeau sans option de refus au même niveau que le bouton d’acceptation constitue une infraction (rapport de la task force du CEPD, janvier 2023) ;
• laisse le visiteur choisir par finalité (mesure d’audience, marketing, fonctionnels) sans rien de précoché ;
• explique qui dépose les cookies, pour quelle finalité, pour combien de temps et qui reçoit les données, avant le choix ;
• permet de retirer son consentement à tout moment par un lien ou une icône aussi faciles à trouver que le choix initial ;
• enregistre le choix, pour que vous puissiez démontrer le consentement au titre de l’article 7, paragraphe 1.

Les dark patterns (interfaces trompeuses) sont un risque à part. Réduire l’option Refuser à un petit lien texte, donner au bouton d’acceptation une couleur vive et au bouton de refus une couleur illisible, ou redemander à chaque page : ce sont les conceptions que la task force a signalées comme trompeuses et que la CNIL a sanctionnées.

Contrôles et sanctions

L’article 83 prévoit deux niveaux : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les manquements aux obligations du responsable de traitement, et jusqu’à 20 millions d’euros ou 4 % pour les manquements aux principes, aux conditions du consentement et aux droits des personnes concernées. Les décisions sur les cookies sont le plus souvent prises sur le fondement de la loi nationale qui transpose la directive ePrivacy, avec le standard de consentement du RGPD : c’est ce qui permet à la CNIL d’agir directement contre des sociétés dont le siège est en Irlande, sans passer par le mécanisme du guichet unique.

La CNIL a constitué le plus grand corpus d’amendes cookies en Europe :

Le cadre de consentement utilisé par l’industrie publicitaire a aussi été mis à l’épreuve. L’autorité belge a infligé à IAB Europe une amende de 250 000 euros le 2 février 2022 au sujet du Transparency and Consent Framework, la Cour de justice a confirmé le 7 mars 2024 (C-604/22) que la TC String est une donnée personnelle, et la Cour des marchés de Bruxelles a confirmé l’amende le 14 mai 2025 tout en annulant la décision pour des motifs de procédure.

Comment Cookiequiet gère le RGPD

Le bandeau Cookiequiet est construit autour de ces règles : rien de non essentiel ne s’exécute avant un choix, « Tout accepter » et « Tout refuser » ont la même taille et le même poids dès le premier écran, les quatre catégories sont désactivées par défaut dans le centre de préférences, et chaque texte s’affiche dans la langue du visiteur (24 langues). Le registre des consentements enregistre chaque choix avec sa date, ses catégories, la version du bandeau et une IP hachée : c’est la preuve que demande l’article 7, paragraphe 1. Le ciblage géographique vous permet d’afficher le bandeau seulement aux visiteurs de l’EEE, du Royaume-Uni et des autres pays réglementés, ou partout. Le scanner de cookies liste ce que votre site dépose réellement, pour que le tableau des cookies du bandeau soit exact. Les politiques sont des modèles rédigés pour le RGPD, pas des conseils juridiques. Voir le guide du bouton Tout refuser pour les détails de conception et les amendes de 2026 pour les dernières sanctions.