Le 27 novembre 2025, la CNIL a infligé 1,5 million d'euros à American Express Carte France pour un défaut qui n'a rien d'exotique : des cookies publicitaires déposés dès l'arrivée sur le site, avant tout choix de l'internaute, puis maintenus actifs après un refus explicite (CNIL, novembre 2025). Quatre mois plus tard, le 4 mars 2026, le Conseil d'État a définitivement validé les 40 millions d'euros infligés à Criteo pour l'absence de preuve d'un consentement valable sur ses cookies de reciblage publicitaire. Aucune de ces deux affaires ne repose sur une nouvelle règle : le texte du RGPD n'a pas changé d'une ligne depuis 2018. Ce qui a changé, c'est la capacité des régulateurs à vérifier le comportement technique réel d'une bannière, et leur volonté d'aller au bout d'une procédure même lorsqu'un géant du secteur fait appel.
Points clés
➤ La CNIL a sanctionné American Express (1,5 M€, novembre 2025) et validé, via le Conseil d'État, la sanction de 40 M€ contre Criteo (mars 2026) pour des manquements techniques au consentement, pas pour un problème d'apparence de bannière.
➤ Depuis janvier 2026, un crawler automatisé de la CNIL contrôle en continu la conformité des bandeaux cookies sur les sites français ; 23 sanctions simplifiées ont déjà été prononcées pour un total de 133 750 euros.
➤ Le règlement ePrivacy, retiré par la Commission européenne en février 2025, n'a pas été remplacé : la Commission propose désormais, via le paquet « Digital Omnibus » de novembre 2025, d'intégrer les règles cookies directement dans le RGPD par un nouvel article 88a, encore en négociation mi-2026.
➤ La CNIL encadre depuis le 16 janvier 2026 le consentement multi-terminaux, un mécanisme facultatif qui rapproche la logique du cookie web de celle du suivi cross-device.
➤ Amende maximale inchangée : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu.
Pourquoi 2026 change la donne, sans changer la loi
L'erreur la plus répandue chez les équipes marketing consiste à attendre une nouvelle version du RGPD pour se remettre en conformité. Ce n'est pas ce qui se passe. Ce qui se passe, c'est un durcissement de l'application : la CNIL est passée d'un contrôle déclaratif, où elle vérifiait surtout que les deux boutons existaient, à un contrôle technique du comportement réel de la bannière.
Depuis le début de 2026, un crawler automatisé de la CNIL parcourt en continu les sites français pour vérifier la présence et la conformité des bandeaux de consentement, sans attendre une plainte ou un contrôle programmé (CNIL, sanctions simplifiées, 2026). Ce changement d'échelle explique pourquoi le nombre de dossiers augmente sans que le taux de non-conformité réelle des sites français ait nécessairement empiré : la CNIL détecte simplement beaucoup plus qu'avant, et beaucoup plus vite.
Ce même mouvement se retrouve au niveau européen. Le Comité européen de la protection des données (CEPD) a choisi, pour sa cinquième action coordonnée de contrôle en 2026, de cibler le respect des obligations de transparence et d'information des articles 12 à 14 du RGPD (CEPD, octobre 2025). L'action ne vise pas nommément les bannières cookies, mais elle touche directement la façon dont un site doit présenter les finalités d'un traitement avant de recueillir un consentement, ce qui recoupe une bonne partie du contenu affiché sur la première couche d'une bannière.
Consentement aux cookies : l'accord explicite, libre, spécifique, éclairé et univoque qu'un site doit obtenir avant de déposer des cookies non strictement nécessaires sur l'appareil d'un visiteur, au sens conjugué de l'article 5(3) de la directive ePrivacy et de l'article 7 du RGPD. Pour la définition complète et les critères de validité détaillés, le guide dédié au consentement aux cookies couvre ce socle et n'est pas repris ici.
Le règlement ePrivacy est mort. Voici ce qui le remplace en 2026
La Commission européenne a formellement retiré sa proposition de règlement ePrivacy en février 2025, après plus de sept ans de blocage entre le Conseil, le Parlement et la Commission. Ce point n'a pas changé depuis, mais ce qui suit, si.
Le 19 novembre 2025, la Commission a publié son paquet « Digital Omnibus », qui propose une réforme d'un genre différent : au lieu de remplacer la directive ePrivacy de 2002 par un nouveau règlement séparé, elle propose d'intégrer les règles relatives aux cookies et traceurs directement dans le RGPD, via deux nouveaux articles. L'article 88a redéfinirait les cas où un accès au terminal ne nécessite pas de consentement (transmission technique de la communication, service explicitement demandé, mesure d'audience strictement agrégée pour le compte propre du responsable de traitement), introduirait un bouton de refus en un clic et interdirait de redemander un consentement pour la même finalité pendant six mois après un refus. L'article 88b imposerait aux navigateurs non-PME de fournir un moyen technique standardisé de signaler les préférences de consentement, rendant ce signal juridiquement contraignant pour les responsables de traitement qui le reçoivent.
Le texte est en négociation en trilogue entre le Parlement européen, le Conseil et la Commission au moment de la rédaction de cet article. Un vote final est attendu plus tard en 2026, mais son adoption définitive et son entrée en vigueur, prévue six mois après ratification pour l'article 88a, ne sont pas garanties avant 2027. Tant qu'il n'est pas adopté, ce texte ne change rien aux obligations actuelles : c'est toujours la directive de 2002, transposée à l'article 82 de la loi Informatique et Libertés, combinée à l'article 7 du RGPD, qui encadre le consentement aux cookies en France.
| Aspect | Cadre actuel (directive ePrivacy 2002 + RGPD) | Proposition Digital Omnibus (article 88a/88b) |
|---|---|---|
| Texte de référence | Directive ePrivacy transposée à l'article 82 de la loi Informatique et Libertés, complétée par l'article 7 du RGPD | Intégration directe dans le RGPD, sans texte ePrivacy séparé |
| Exemption pour la mesure d'audience | Exemption étroite définie par la recommandation CNIL, réservée à un usage strictement agrégé | Exemption explicitement codifiée à l'article 88a(3), toujours limitée à l'usage propre du responsable de traitement |
| Fréquence de re-demande de consentement après refus | Non encadrée par un texte unique ; la CNIL recommande un délai raisonnable | Interdiction explicite de redemander pendant six mois pour la même finalité |
| Rôle du navigateur | Aucune obligation technique standardisée pour transmettre un signal de préférence | Obligation pour les navigateurs non-PME de fournir un signal technique de préférence, contraignant pour les sites qui le reçoivent |
| Statut au moment de la rédaction | En vigueur, appliqué activement par la CNIL | En trilogue ; vote attendu fin 2026, adoption définitive incertaine avant 2027 |
Le point à retenir pour un site web aujourd'hui : rien de tout cela n'est encore une obligation. Mais un signal de préférence navigateur devenu juridiquement contraignant changerait la façon dont une bannière doit interagir avec les paramètres du client, ce qui justifie de suivre ce dossier plutôt que de le classer comme un texte de plus resté sans suite.
Vous voulez savoir précisément où se situe votre site aujourd'hui, sans attendre la suite législative ? Le scanner de conformité de Secure Privacy détecte automatiquement les cookies déposés avant consentement et vérifie la mise en œuvre de Google Consent Mode en quelques minutes : lancez un scan de conformité.
Sanctions 2025-2026 : ce que la CNIL vérifie réellement
Les dossiers Google (325 millions d'euros) et Shein (150 millions d'euros), tous deux prononcés le 3 septembre 2025 pour un total de 487 millions d'euros de sanctions cette année-là, ont marqué un tournant en établissant que la CNIL vérifie désormais le comportement technique réel de la bannière, pas seulement sa symétrie visuelle. Les dossiers ouverts depuis confirment que ce tournant n'était pas ponctuel.
| Régulateur / Décision | Cible | Date | Montant | Motif principal |
|---|---|---|---|---|
| CNIL | American Express Carte France | 27 novembre 2025 | 1,5 M€ | Cookies publicitaires déposés avant consentement, maintenus après refus et après retrait du consentement |
| CNIL | 3 septembre 2025 | 325 M€ | Cookies déposés sans consentement valable | |
| CNIL | Shein | 3 septembre 2025 | 150 M€ | Traceurs actifs après un clic sur « Refuser », information incomplète sur les finalités publicitaires |
| Conseil d'État (validant la CNIL) | Criteo | 4 mars 2026 (décision définitive) | 40 M€ | Absence de preuve d'un consentement libre et éclairé pour le reciblage publicitaire sur environ 370 millions de profils européens |
| CNIL, procédure simplifiée | 23 organismes divers (restauration, billetterie en ligne) | Depuis janvier 2026 | 133 750 € cumulés | Cookies, non-respect des droits, défaut de coopération |
Le dossier American Express est particulièrement instructif parce qu'il ne porte pas sur un défaut de bouton « Tout refuser », qui est déjà bien identifié par la plupart des équipes juridiques. Il porte sur ce qui se passe après le clic : la CNIL a constaté que des traceurs continuaient à être lus après un retrait de consentement, ce qui suppose un défaut d'intégration technique entre la bannière et les scripts qu'elle est censée bloquer, exactement le type d'écart que le crawler automatisé de 2026 est conçu pour détecter à grande échelle. L'affaire Criteo, elle, rappelle qu'un appel devant le Conseil d'État n'efface pas le risque : la validation définitive intervient plus de deux ans après la sanction initiale de juin 2023, et le montant reste inchangé.
Pour une analyse approfondie des critères de validité du consentement et des pratiques que la CNIL sanctionne le plus fréquemment sur le fond, le guide sur le consentement aux cookies et les bonnes pratiques détaille les quatre critères de l'article 7 et les exemples 2025 sur lesquels ce socle s'appuie.
Ce qui se durcit concrètement en 2026
Trois évolutions méritent une attention particulière parce qu'elles changent ce qu'un audit de conformité doit vérifier, même sans nouveau texte de loi.
Les dark patterns sont vérifiés catégorie par catégorie, pas seulement au coup d'œil. Les lignes directrices 03/2022 du CEPD sur les interfaces trompeuses structurent l'analyse en six catégories : surcharge d'informations, omission d'options, incitation par le design visuel, obstruction du parcours de refus, incohérence entre les choix proposés, et absence de rappel du choix initial. Un bouton de refus techniquement présent mais visuellement effacé, ou un parcours de refus qui exige deux clics de plus que l'acceptation, suffit à rendre le consentement recueilli invalide même si aucune case n'est pré-cochée. Un point souvent oublié : la charge de la preuve pèse sur le responsable de traitement, pas sur le régulateur, ce qui signifie qu'en l'absence d'un journal de consentement documenté, l'entreprise se retrouve à devoir démontrer un design qu'elle ne peut plus reproduire après coup.
Le consentement multi-terminaux devient un mécanisme encadré, pas encore obligatoire. Depuis le 16 janvier 2026, la CNIL autorise, sous conditions, qu'un choix de consentement exprimé sur un terminal s'applique automatiquement aux autres appareils liés au même compte authentifié (CNIL, janvier 2026). Trois obligations s'imposent dès que ce mécanisme est activé : informer l'utilisateur que son choix s'appliquera à l'ensemble de ses terminaux, définir une règle explicite de résolution des conflits lorsque deux appareils affichent des choix différents, et rappeler l'origine du choix lors d'une connexion depuis un nouvel appareil. Un site qui ne synchronise rien reste parfaitement conforme : la CNIL encadre ce mécanisme, elle ne l'impose pas. Pour la mécanique technique complète appliquée aux applications mobiles et à l'architecture SDK, qui va plus loin que ce que couvre cet article, le guide sur la base légale et l'architecture du consentement mobile traite spécifiquement ce terrain.
L'intérêt légitime reste une impasse pour les cookies non essentiels, la CNIL le confirme à chaque nouveau dossier. Rien n'a changé sur le fond depuis les lignes directrices d'octobre 2020, mais les sanctions 2025-2026 confirment qu'une entreprise ne peut pas contourner l'obligation de consentement en invoquant l'intérêt légitime pour de l'analytics ou de la publicité classique. L'article 5(3) de la directive ePrivacy s'applique en amont du RGPD lui-même : il exige un consentement pour tout accès au terminal, indépendamment de la base légale qui pourrait ensuite couvrir le traitement des données une fois collectées.
Ce qui reste interdit, sans exception
Cinq pratiques déclenchent une sanction quasi systématique lorsqu'un contrôle les identifie, qu'il s'agisse d'une procédure simplifiée à 15 000 euros ou d'un dossier à plusieurs dizaines de millions :
- Le défilement ou la navigation continue valant consentement. La CNIL l'a exclu explicitement depuis octobre 2020 ; seul un clic positif sur un bouton d'acceptation compte.
- Une case pré-cochée pour une finalité non essentielle. Un acte positif clair est requis, jamais une inaction.
- Un cookie déposé avant que l'utilisateur ait fait un choix. C'est précisément le manquement constaté chez American Express et chez Shein.
- Un traceur qui continue de fonctionner après un refus ou un retrait de consentement. La preuve technique de blocage effectif, pas seulement l'affichage d'un choix respecté, est ce que la CNIL vérifie désormais en priorité.
- Un mur de cookies sans alternative réelle d'accès au contenu. Le consentement doit rester libre ; conditionner tout l'accès au service à l'acceptation, sans option équivalente, expose à la même analyse de validité qu'un dark pattern.
Checklist de conformité 2026
| Exigence | Ce que la CNIL vérifie concrètement | Référence |
|---|---|---|
| Blocage technique réel avant consentement | Aucun script non essentiel ne doit s'exécuter avant le clic sur « Accepter », vérifiable par une simple analyse du trafic réseau au chargement de la page | Cas American Express, novembre 2025 |
| Refus aussi facile que l'acceptation | Bouton « Tout refuser » au même niveau visuel et en un clic, sans second écran obligatoire | Recommandation CNIL, octobre 2020 |
| Granularité par finalité | Choix distinct pour l'analytics, la publicité et les réseaux sociaux dès le premier niveau de la bannière | Article 7 du RGPD |
| Arrêt effectif après refus ou retrait | Les traceurs déjà déposés doivent cesser d'être lus, pas seulement de se redéposer | Cas American Express et Shein |
| Journal de consentement exportable | Preuve horodatée, par catégorie, disponible en cas de contrôle sans reconstruction a posteriori | Charge de la preuve, article 7(1) du RGPD |
| Position sur l'intérêt légitime documentée | Base légale distincte et justifiée pour chaque finalité, jamais une base unique pour l'ensemble du site | Lignes directrices CNIL, 2020 |
| Veille sur le Digital Omnibus | Suivi de l'état du trilogue, sans action immédiate requise avant adoption | Proposition novembre 2025 |
Une checklist ne remplace pas un audit technique du comportement réel de votre bannière. Le scan de conformité de Secure Privacy compare automatiquement chaque point de cette liste à ce qui se passe réellement sur votre site, y compris le chiffrement, la localisation des données et l'implémentation de Google Consent Mode : testez votre conformité maintenant.
FAQ
Qu'est-ce qui a vraiment changé dans l'application du RGPD sur les cookies en 2026 ?
Pas le texte de la loi, qui reste inchangé, mais la manière dont la CNIL le vérifie : un crawler automatisé contrôle désormais en continu la conformité technique des bandeaux cookies, et les sanctions récentes (American Express, Criteo) ciblent le comportement réel des scripts après un clic, pas seulement l'apparence de la bannière.
Le règlement ePrivacy a-t-il finalement été adopté en 2026 ?
Non. La Commission européenne l'a retiré en février 2025 et propose désormais, via le paquet « Digital Omnibus » de novembre 2025, d'intégrer les règles cookies directement dans le RGPD par un nouvel article 88a. Ce texte est en négociation en trilogue mi-2026 et n'est pas encore en vigueur.
L'intérêt légitime peut-il remplacer le consentement pour des cookies publicitaires ?
Non. L'article 5(3) de la directive ePrivacy exige un consentement pour tout accès au terminal à des fins non strictement nécessaires, indépendamment de la base légale invoquée pour le traitement ultérieur des données. Les sanctions CNIL de 2025 et 2026 confirment que l'intérêt légitime ne couvre pas les cookies analytics ou publicitaires classiques.
Faut-il adapter la bannière de cookies selon la localisation du visiteur ?
Oui, dans la pratique. Un visiteur situé en France ou dans l'Union européenne doit voir un consentement préalable et granulaire conforme à l'article 82 et à l'article 7 du RGPD, tandis qu'un visiteur situé dans une juridiction avec un régime d'opt-out doit voir un parcours différent. Détecter la localisation du visiteur avant d'afficher la bonne configuration de bannière est devenu un prérequis technique, pas une simple option de confort.
Que risque une entreprise si le crawler de la CNIL détecte un cookie déposé avant consentement ?
Le risque va de la procédure simplifiée, plafonnée à 20 000 euros mais souvent déclenchée automatiquement, jusqu'à une sanction pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel pour un manquement caractérisé et répété, comme dans les dossiers Google, Shein et American Express.
Combien de temps faut-il conserver les preuves de consentement en 2026 ?
La CNIL recommande une durée maximale de 6 mois avant de redemander un consentement à un même visiteur, et la pratique du marché retient généralement une conservation des journaux de consentement d'au moins 5 ans à des fins de preuve en cas de contrôle. Ces deux durées répondent à des objectifs différents : la première évite un consentement obsolète, la seconde protège l'entreprise en cas de litige rétrospectif.
Vous découvrez, en lisant ce qui précède, que votre bannière affiche un bouton « Tout refuser » mais que vous n'avez jamais vérifié si les scripts s'arrêtent réellement après un refus ? C'est exactement le point que la CNIL a sanctionné chez American Express et Shein, et c'est ce qu'un audit visuel ne peut pas détecter. La solution Cookie & Consent de Secure Privacy scanne automatiquement vos cookies et sources de tracking, détecte la localisation de chaque visiteur pour appliquer le bon niveau de consentement, bloque effectivement les traceurs jusqu'au clic sur « Accepter », et journalise chaque choix de façon exportable et audit-ready, en plus de 70 langues sans configuration manuelle. Lancez un scan de conformité gratuit pour savoir précisément où se situe votre exposition avant le prochain passage du crawler CNIL.
