La loi sur les cookies juge ce qui se charge, pas ce que dit le bandeau. Surveillez ce qui se déclenche avant le choix.
Dans l’UE et au Royaume-Uni, un site doit demander avant de stocker ou de lire sur l’appareil d’un visiteur tout ce dont il n’a pas strictement besoin : cookies publicitaires, mesure d’audience tierce, pixels de suivi. Voici ce que la loi sur les cookies exige d’un site, ce qui constitue un consentement valide, comment elle est appliquée — et où la surveillance intervient. Un bandeau peut sembler correct et laisser passer un traceur ; ce qui compte, c’est ce qui se charge réellement avant un choix, et après un refus.
Les règles du consentement en six points
Résumé à partir de la directive ePrivacy, du RGPD, de la jurisprudence européenne et des lignes directrices des autorités. Chaque pays les applique dans son propre droit, les détails varient donc — ceci n’est pas un conseil juridique.
Demander avant de stocker ou de lire
L’article 5, paragraphe 3, de la directive ePrivacy (2002/58/CE, modifiée en 2009) n’autorise le stockage d’informations sur l’appareil d’un visiteur, ou l’accès à celles-ci, qu’avec son consentement, donné après une information claire et complète. L’exception : ce qui est strictement nécessaire pour fournir un service expressément demandé — un panier, une connexion, la mémorisation du choix de consentement lui-même.
Pas seulement les cookies
La règle vise toute information sur l’appareil, quelle que soit la technique. Les considérants de la directive citent déjà les « pixels invisibles » et les identifiants cachés, et les lignes directrices 2/2023 du CEPD, adoptées dans leur version finale le 7 octobre 2024, confirment qu’elle peut s’appliquer aux pixels de suivi, aux liens de suivi et aux techniques similaires : un pixel publicitaire chargé avant le consentement est donc concerné lui aussi.
Le consentement au sens du RGPD
Le consentement a le sens que lui donne le RGPD (articles 4.11 et 7) : libre, spécifique, éclairé et univoque, exprimé par un acte positif clair. Il doit être aussi simple de le retirer que de le donner, et le site doit pouvoir démontrer qu’il a été donné.
Une case précochée n’est pas un consentement
Dans l’arrêt Planet49 (C-673/17, 1er octobre 2019), la Cour de justice de l’UE a jugé qu’une case précochée que l’utilisateur doit décocher ne constitue pas un consentement valide aux cookies — qu’il s’agisse ou non de données personnelles. Le visiteur doit aussi savoir combien de temps les cookies restent actifs et si des tiers peuvent y accéder.
Refuser aussi simplement qu’accepter
La task force du CEPD sur les bandeaux cookies (rapport adopté le 17 janvier 2023) a constaté que la plupart des autorités européennes considèrent comme une infraction un bandeau avec un bouton d’acceptation mais sans option de refus au même niveau. La CNIL demande un bouton « Tout refuser » au même niveau et sous la même forme que « Tout accepter », ou un autre moyen de refuser tout aussi simple.
Allemagne, France et Royaume-Uni
L’Allemagne inscrit la règle au § 25 du TDDDG (appelé TTDSG jusqu’au 14 mai 2024) ; la France l’applique via l’article 82 de la loi Informatique et Libertés et les lignes directrices de la CNIL de 2020. Au Royaume-Uni, c’est la regulation 6 des PECR ; depuis le 5 février 2026, le Data (Use and Access) Act dispense de consentement certains usages peu risqués — sécurité et prévention de la fraude, ainsi que statistiques ou préférences d’affichage dont le visiteur est informé et auxquelles il peut s’opposer. Les cookies publicitaires exigent toujours un consentement.
Testez votre bandeau cookies — gratuit
Saisissez une page : Relvato la visite depuis l’Europe et montre ce qui se charge avant un choix et après « Refuser ». Vérificateur de consentement aux cookies de Relvato →
Comment la loi est appliquée
Les règles sur les cookies sont appliquées par les autorités nationales — la CNIL en France, les autorités de protection des données des Länder en Allemagne, l’ICO au Royaume-Uni — et les amendes ont grimpé. Trois exemples :
Shein : 150 millions d’euros
Le 1er septembre 2025, la CNIL a infligé 150 millions d’euros d’amende à Infinite Styles Services, filiale irlandaise de Shein. Des cookies publicitaires étaient déposés dès l’arrivée sur shein.com, avant tout choix, et de nouveaux cookies étaient encore déposés après un clic sur « Tout refuser » ou un retrait du consentement.
Google : 325 millions d’euros
Le même jour, la CNIL a infligé à Google LLC et Google Ireland 325 millions d’euros d’amende au total — pour des publicités insérées entre les courriels de Gmail sans consentement, et pour des cookies publicitaires déposés lors de la création d’un compte Google sans consentement valide, les utilisateurs n’étant pas clairement informés que les accepter conditionnait l’accès au service.
Royaume-Uni : jusqu’à 17,5 millions de livres ou 4 %
Depuis le 5 février 2026, l’ICO peut sanctionner un manquement grave aux PECR — cookies compris — jusqu’à 17,5 millions de livres ou 4 % du chiffre d’affaires annuel mondial, au lieu du plafond précédent de 500 000 livres. Le nouveau maximum s’applique aux manquements à partir de cette date.
Un bandeau se configure une fois. Ce qui se charge derrière change à chaque mise à jour.
Une nouvelle extension marketing, un changement de thème ou une mise à jour de l’outil de consentement peut placer un traceur devant le bandeau sans que personne ne le remarque. Le moniteur Consentement aux cookies de Relvato y veille :
Visiter comme un nouveau visiteur européen
Un navigateur neuf en Europe, sans cookie et sans clic — sur votre page d’accueil, plus une fiche produit pour une boutique. Il enregistre chaque cookie déposé et chaque requête vers des services de publicité et de mesure d’audience avant tout choix.
Trouver le bandeau
Il reconnaît les outils de consentement courants — Cookiebot, OneTrust, Complianz, CookieYes, Borlabs, Usercentrics et d’autres — et vérifie si une option « Refuser » ou « Nécessaires uniquement » figure au premier niveau.
Cliquer sur « Refuser », enregistrer à nouveau
Dans un second navigateur neuf, il clique sur « Refuser » et enregistre ce qui se charge encore. Les cookies strictement nécessaires et votre propre mesure d’audience first-party ne sont pas signalés.
Testé à nouveau après chaque mise à jour
Chaque semaine, et après les mises à jour de WordPress, de thème, d’extensions et de WooCommerce. Des traceurs avant le choix, sans bandeau ou après un refus sont signalés comme problèmes et vous alertent ; l’absence de « Refuser » au premier niveau est un avertissement.
Ce qu’un moniteur ne peut pas vous dire
Aucun outil ne peut certifier que votre consentement est valide. Relvato voit ce qui se charge dans un navigateur avant un choix et après un refus ; il ne peut pas juger si votre bandeau explique assez bien les finalités, si vos catégories de cookies sont justes, quelle base légale s’applique ni ce que vos prestataires font des données. Il ne signale pas votre propre mesure d’audience first-party et ne décide pas si elle nécessite un consentement là où vous exercez. Il visite depuis l’Europe, il voit donc la version européenne d’un bandeau qui varie selon la localisation, et il teste les pages qu’il visite, pas toutes. Servez-vous-en pour qu’une configuration vérifiée par une personne ne se dégrade pas sans bruit.
Questions sur la loi sur les cookies
Faut-il un consentement si je n’utilise que de la mesure d’audience ?
Dans l’UE, en général oui pour une mesure d’audience tierce comme Google Analytics : elle n’est pas strictement nécessaire et doit donc attendre le consentement. Certaines autorités exemptent une mesure d’audience strictement configurée — la CNIL le fait, sous conditions — et au Royaume-Uni, depuis le 5 février 2026, une mesure d’audience qui produit uniquement des statistiques sur votre propre site n’exige plus de consentement si le visiteur est informé et peut s’y opposer. Vérifiez les règles du pays où se trouvent vos visiteurs.
Un cookie wall est-il autorisé ?
En principe, non. Les lignes directrices du CEPD sur le consentement indiquent que l’accès à un site ne doit pas dépendre de l’acceptation des cookies : un bandeau qui bloque le contenu tant que vous n’acceptez pas ne recueille pas un consentement libre. Certaines autorités, dont la CNIL, apprécient au cas par cas les alternatives « accepter ou payer », et le sujet évolue encore.
Existe-t-il des règles semblables hors de l’UE et du Royaume-Uni ?
Oui, ailleurs aussi. L’autorité brésilienne de protection des données (ANPD) a publié en octobre 2022 un guide sur les cookies au titre de la LGPD ; la loi 25 du Québec exige depuis le 22 septembre 2023 que les fonctions permettant d’identifier, de localiser ou de profiler une personne soient désactivées par défaut ; la Suisse impose surtout une information et un moyen de refuser. Les États-Unis fonctionnent à l’inverse — le suivi est permis jusqu’à ce que le visiteur s’y oppose —, ce que nous traitons séparément.
Relvato peut-il rendre mon site conforme ?
Aucun outil ne le peut, et nous ne le prétendons pas. Un consentement valide dépend de la rédaction de votre bandeau, de vos prestataires, de votre base légale et de vos preuves, et une personne doit les examiner. Le rôle de Relvato est plus étroit et continu : après les mises à jour, il teste si des traceurs se chargent avant un choix ou après un refus, pour qu’une régression ne passe pas inaperçue jusqu’à ce qu’un visiteur ou une autorité la découvre.
Combien ça coûte ?
Le moniteur Consentement aux cookies est inclus dans toutes les offres, Free comprise. Avec Free, vous le lancez vous-même ou chaque semaine ; Pro le relance en plus après les mises à jour.
Sources
Cette page résume la loi pour les propriétaires de sites ; ce n’est pas un conseil juridique. Les lois nationales et les lignes directrices des autorités diffèrent dans le détail : reportez-vous aux règles du pays où se trouvent vos visiteurs.
- Directive 2002/58/CE — directive ePrivacy, version consolidée, article 5.3 (EUR-Lex, en anglais)
- Règlement (UE) 2016/679 — RGPD, articles 4.11 et 7 (EUR-Lex)
- Cour de justice de l’UE — Planet49 (C-673/17), communiqué du 1er octobre 2019 (en anglais)
- CEPD — Rapport de la task force sur les bandeaux cookies (2023, en anglais)
- Allemagne — § 25 TDDDG (gesetze-im-internet.de, en allemand)
- CNIL — amendes contre SHEIN et GOOGLE pour les cookies (septembre 2025)
- ICO — Guide sur les technologies de stockage et d’accès : les exceptions (en anglais)
- ICO — Déclaration sur l’entrée en vigueur du Data (Use and Access) Act (en anglais)
Voyez ce que votre site charge avant le choix
Ajoutez votre site et lancez le moniteur Consentement aux cookies. Dans toutes les offres, Free comprise.