Cookies, traceurs et consentement : la bannière que vous n'avez peut-être pas besoin d'avoir
Une bannière de cookies ne met personne en conformité : elle atteste d'un consentement, ou elle l'invalide. La plupart de celles qu'on croise font la seconde chose. Et pour beaucoup de sites vitrines, la bonne correction n'est pas de refaire la bannière, c'est de la supprimer en changeant ce qu'il y a derrière.
Avant d'appliquer ce mémo
Les manipulations décrites ici peuvent entraîner une perte de données ou l'indisponibilité d'un service. Avant d'en appliquer une seule : faites une sauvegarde complète et vérifiez qu'elle se restaure, travaillez d'abord sur un environnement sans enjeu, et n'exécutez aucune commande dont vous ne comprenez pas l'effet.
Ce mémo est un contenu pédagogique de portée générale. Il ne tient pas compte de votre situation, n'a pas valeur de conseil professionnel, et son application relève de votre seule responsabilité. Avertissement et limites d'usage
1. La bannière ne vous protège pas Elle enregistre une preuve, ou elle la détruit
Le raisonnement habituel est celui-ci : la loi impose une bannière, j'ai installé une bannière, je suis en règle. Il est faux à chaque étape. La loi n'impose pas de bannière, elle impose un consentement préalable et libre avant tout dépôt de traceur non essentiel. La bannière n'est qu'un moyen de recueillir ce consentement, et elle ne vaut que si le consentement qu'elle recueille est valable.
Une bannière mal réglée fait donc exactement l'inverse de ce qu'on attend d'elle : elle prouve que vous saviez, elle horodate le dépôt des traceurs, et elle documente que le visiteur n'a pas eu de choix réel. Un site sans bannière du tout est dans une situation moins lisible qu'un site avec une bannière qui piège son visiteur.
2. Les six erreurs qui rendent une bannière attaquable Regardez la vôtre en lisant
Ces règles viennent des lignes directrices de la CNIL et de la recommandation qui les accompagne. Elles sont stables depuis 2020, ce qui veut dire qu'une bannière installée avant cette date est presque certainement dans un ou plusieurs de ces cas.
| L'erreur | Ce qu'on voit sur le site | Ce qu'il faut |
|---|---|---|
| 1. Refuser coûte plus cher qu'accepter | Un bouton « Tout accepter » bien visible, et le refus qui demande d'ouvrir un panneau de réglages puis de décocher des cases. | Refuser doit se faire en un clic, au même niveau qu'accepter. C'est la règle la plus contrôlée, et la plus souvent violée. |
| 2. Les deux boutons ne se valent pas visuellement | « Accepter » en couleur vive et « Continuer sans accepter » en petit texte gris, en haut à droite ou en bas de page. | Même taille, même contraste, même emplacement de lecture. Une équivalence de forme, pas seulement de fonction. |
| 3. Les traceurs partent avant le choix | Rien ne se voit. Il faut ouvrir les outils du navigateur pour constater que les cookies de mesure sont déjà déposés pendant que la bannière s'affiche. | Aucun dépôt tant que le visiteur n'a pas accepté. C'est le point qui invalide le plus de bannières par ailleurs bien dessinées. |
| 4. Des cases pré-cochées | Un panneau de réglages où les finalités sont déjà activées à l'ouverture. | Tout décoché par défaut. Le consentement suppose un geste positif, et l'absence de geste vaut refus. |
| 5. Le défilement vaut acceptation | Une mention du type « en poursuivant votre navigation, vous acceptez ». | Cette formule n'a plus aucune valeur. Continuer à lire une page n'est pas un consentement. |
| 6. On ne peut pas revenir sur son choix | La bannière disparaît après le premier clic et rien ne permet de la rouvrir. | Un moyen permanent de modifier son choix, typiquement un lien en pied de page. Retirer son consentement doit être aussi simple que de l'avoir donné. |
3. Le cas fréquent où la bannière est inutile Et où la retirer est la bonne correction
Voici ce que presque personne ne dit à une TPE : si votre site ne dépose des traceurs que pour mesurer votre propre audience, vous pouvez être dispensé de recueillir un consentement, donc de toute bannière. L'article 82 prévoit cette exemption, et la CNIL en a précisé les conditions, notamment par une délibération de juillet 2025.
Les conditions de l'exemption
- La finalité est strictement la mesure d'audience de votre site : fréquentation, pages consultées, problèmes de navigation.
- Les traceurs travaillent pour votre seul compte.
- Les données produites sont des statistiques anonymes.
- Aucun recoupement avec d'autres traitements, aucun suivi du visiteur d'un site à l'autre, aucune transmission à un tiers.
Ce que cela exclut
La configuration standard de l'outil de mesure de Google ne remplit pas ces conditions : les données partent chez un tiers qui peut les recouper. Les outils compatibles sont ceux que l'on héberge soi-même ou qui s'engagent contractuellement sur ces limites, avec anonymisation de l'adresse IP, sans identifiant d'utilisateur et sans suivi entre domaines.
Le partage sur les réseaux sociaux, la publicité, les vidéos intégrées et les cartes chargées depuis un tiers restent soumis au consentement.
4. Un traceur n'est pas forcément un cookie Ce que les gens oublient dans leur inventaire
Le texte parle d'accès à des informations stockées dans le terminal de l'utilisateur, quelle qu'en soit la forme. Le cookie est le cas le plus connu, il est loin d'être le seul.
Le stockage local
Les mécanismes de stockage du navigateur permettent d'écrire chez le visiteur sans déposer un seul cookie. Beaucoup d'outils s'en servent, et beaucoup d'inventaires de conformité les oublient parce qu'ils ne cherchent que des cookies.
Les ressources chargées ailleurs
Une police de caractères, une carte, une vidéo intégrée, un bouton de partage : chacun fait partir une requête vers un tiers, avec l'adresse IP de votre visiteur et la page qu'il consulte. Cela se produit avant tout clic, dès l'affichage.
L'empreinte du navigateur
Certaines techniques identifient un visiteur par la combinaison de ses caractéristiques techniques, sans rien écrire chez lui. Le fait de ne rien déposer ne les sort pas du champ.
5. Ce que le consentement coûte à vos données L'argument qu'on ne vous donne jamais
Une bannière conforme, c'est-à-dire une bannière où refuser est aussi simple qu'accepter, fait chuter la part de visiteurs mesurés. Vos statistiques ne décrivent alors plus votre audience mais la partie de votre audience qui a bien voulu être comptée, et rien ne dit que les deux se ressemblent.
Ce que ça change dans vos décisions
Comparer le trafic d'avant et d'après la bannière n'a aucun sens. Comparer deux pages entre elles reste valable, puisque le biais s'applique aux deux. Le chiffre absolu, lui, cesse d'être un chiffre d'audience.
Pourquoi l'exemption règle aussi ce problème
Une mesure d'audience exemptée compte tout le monde, puisqu'elle ne demande rien. Vous récupérez des chiffres complets, et vous les récupérez en étant plus respectueux de vos visiteurs, pas moins. C'est l'une des rares situations où la conformité et l'intérêt vont dans le même sens.
6. Le plan, dans l'ordre Une demi-journée pour l'essentiel
Inventorier, une heure
Ouvrez votre site dans une fenêtre de navigation privée, ouvrez les outils de développement, et regardez ce qui est déposé avant tout clic. Notez aussi les requêtes qui partent vers d'autres domaines. C'est votre point de départ réel, qui ne ressemble presque jamais à ce que vous croyiez avoir installé.
Trancher : bannière ou exemption
Si l'inventaire ne contient que de la mesure d'audience, visez l'exemption. S'il contient de la publicité, du partage social ou des vidéos intégrées, vous aurez une bannière, et il faut alors qu'elle soit juste.
Supprimer avant de demander
Chaque traceur retiré est un consentement de moins à recueillir. Les outils de mesure oubliés, les boutons de partage que personne n'utilise, l'ancienne régie publicitaire : commencez par le ménage, la conformité devient beaucoup plus simple ensuite.
Rapatrier ce qui peut l'être
Polices hébergées chez vous, carte remplacée par une image cliquable, vidéo qui ne se charge qu'au clic. Trois corrections qui suppriment des transferts vers des tiers sans rien enlever au visiteur, et qui accélèrent la page.
Écrire la politique de confidentialité
Quels traceurs, pour quelle finalité, combien de temps, et comment revenir sur son choix. Obligatoire dans les deux cas, exemption comprise. C'est aussi la page que consultera en premier quelqu'un qui veut vous chercher des ennuis.
7. Ce que vous pouvez faire seul Et ce qui demande un avis
- Seul : l'inventaire, le ménage, et le passage à une mesure d'audience exemptée sur un site vitrine. Ce sont les trois gestes qui règlent la majorité des situations, et aucun ne demande de compétence juridique.
- Seul, avec de la rigueur : le réglage d'une bannière existante, si votre outil permet de bloquer réellement les traceurs avant le choix. Beaucoup d'extensions affichent la bannière sans rien bloquer derrière, ce qui laisse la principale erreur intacte.
- Faites-vous aider : dès qu'il y a de la publicité ciblée, un espace client, ou des données transmises hors de l'Union européenne. Là, le sujet dépasse les traceurs et rejoint le RGPD dans son ensemble.
- Prenez un avis juridique : pour la rédaction d'une politique de confidentialité qui engage réellement l'entreprise, surtout si vous traitez des données sensibles ou si vous avez des sous-traitants.
Mémo publié par NET&PRO à titre pédagogique. Information générale, sans garantie d'exactitude, d'exhaustivité ni d'actualité, et sans valeur de conseil personnalisé. Avertissement et limites d'usage
Dans le glossaire
Les mots croisés au fil de ce mémo, définis en une phrase. Ils sont soulignés dans le texte : un clic y mène directement.
Mémos liés
La Cybersécurité de A à Z
De Zero Trust à l'IA offensive : menaces 2026, fondamentaux, attaques modernes, cas Mythos, IA défensive et offensive, outils.
Lire le mémoMettre un site en ligne de A à Z
Nom de domaine, hébergement, transfert du code, HTTPS, droits, sauvegardes : la mise en ligne expliquée pas à pas.
Lire le mémoLe SEO de A à Z
Setup initial, routine récurrente, outils, veille et hacks : tout ce qu'il faut pour poser les fondations et maintenir la performance SEO.
Lire le mémoSur le blog
Le faire vous-même
Sur un site vitrine, la bonne correction est souvent de retirer la bannière plutôt que de la refaire. Cela se décide en une heure d'inventaire, et personne d'autre que vous n'a besoin d'être là pour le faire.
- Le temps réel : une heure d'inventaire, une demi-journée pour le ménage et le passage à une mesure d'audience exemptée de consentement.
- Les outils gratuits : une fenêtre de navigation privée et les outils de développement du navigateur suffisent à voir ce qui est déposé avant tout clic. C'est exactement ce que regarde un contrôle.
- Le piège : installer une extension qui affiche une bannière sans bloquer les traceurs derrière. Les cookies partent quand même avant le choix, ce qui est le manquement le plus sanctionné.
Si vous préférez me le confier
Sur ce sujet, voici ce que je fais pour mes clients. Les formules disent ce qui est compris, ce qui ne l'est pas, et ce que ça coûte au bout de trois ans.