Cadre juridique vérifié en août 2026
En septembre 2025, la CNIL a infligé une amende de 325 millions d'euros à Google et de 150 millions d'euros à Shein pour des cookies déposés sans consentement valable, portant le total des sanctions prononcées par le régulateur français cette année à près de 487 millions d'euros, un record (CNIL, septembre 2025). Ces deux dossiers illustrent une réalité simple : le consentement aux cookies n'est plus un détail juridique que l'on règle une fois pour toutes avec un plugin, mais un mécanisme que les régulateurs vérifient techniquement, click par click.
Points clés
➤ Le consentement aux cookies est l'autorisation explicite qu'un site doit obtenir avant de déposer des cookies non essentiels sur l'appareil d'un visiteur.
➤ Il doit être libre, spécifique, éclairé et univoque au sens de l'article 7 du RGPD ; faire défiler une page ou continuer à naviguer ne vaut jamais consentement.
➤ La CNIL a sanctionné Google (325 M€) et Shein (150 M€) en 2025 pour des cookies déposés sans consentement recueilli correctement.
➤ Le règlement ePrivacy reste bloqué en 2026 ; c'est toujours la directive de 2002, transposée à l'article 82 de la loi Informatique et Libertés, qui encadre les cookies en France, complétée par les lignes directrices et la recommandation de la CNIL.
Qu'est-ce que le consentement aux cookies ?
Consentement aux cookies : l'accord explicite qu'un site web doit obtenir auprès d'un visiteur avant de stocker ou de lire des cookies et traceurs non strictement nécessaires sur son appareil.
Concrètement, cela signifie qu'un site ne peut pas déclencher ses cookies de mesure d'audience, ses pixels publicitaires ou ses outils de personnalisation avant que la personne n'ait cliqué sur un bouton d'acceptation, qu'il s'agisse d'un choix global ou catégorie par catégorie. Les cookies dits « strictement nécessaires » (panier d'achat, répartition de charge, authentification) échappent à cette obligation parce qu'ils sont indispensables au fonctionnement du service demandé par l'utilisateur, pas parce qu'ils sont anodins.
Cette exigence ne vient pas du RGPD à proprement parler, mais de la directive ePrivacy de 2002, transposée en droit français à l'article 82 de la loi Informatique et Libertés. Le RGPD intervient en second lieu : il fixe les cinq conditions de validité (libre, spécifique, éclairé, univoque, et matérialisé par un acte positif) que ce consentement doit remplir pour être juridiquement valable. En juillet 2026, le règlement ePrivacy censé remplacer la directive de 2002 n'a toujours pas été adopté, les négociations entre le Conseil, le Parlement et la Commission restant bloquées ; c'est donc toujours ce cadre hybride, précisé par les lignes directrices et la recommandation « cookies et traceurs » de la CNIL, qui s'applique.
Consentement valide et consentement invalide : ce que la CNIL sanctionne réellement
Un consentement n'est valide que s'il remplit les quatre critères de l'article 7 du RGPD :
- Libre : l'accès au site ne peut pas être conditionné à l'acceptation des cookies, sauf exception très encadrée (mur de cookies).
- Spécifique : l'internaute doit pouvoir consentir finalité par finalité (mesure d'audience, publicité, réseaux sociaux), pas via un accord global forcé.
- Éclairé : les finalités et les tiers destinataires doivent être décrits avant le clic, pas dans une politique de cookies qu'il faut aller chercher ailleurs.
- Univoque : il doit résulter d'un acte positif clair, un clic sur « Accepter », jamais d'une case pré-cochée ou d'une inaction.
Cette dernière règle élimine d'un coup plusieurs pratiques qui ont longtemps été tolérées. Faire défiler la page, continuer à naviguer ou fermer la bannière sans choisir ne constitue jamais un consentement valable : la CNIL l'a rappelé explicitement dans ses lignes directrices et sa recommandation d'octobre 2020, qui ont mis fin à l'ère du simple bandeau d'information. Depuis cette date, un bouton « Tout refuser » doit apparaître au même niveau, dans le même format et en un clic, que le bouton « Tout accepter » du premier écran.
Les dark patterns (interfaces conçues pour rendre le refus plus difficile que l'acceptation) sont désormais une catégorie de sanction à part entière. La CNIL a mis en demeure une vingtaine d'organismes dès mai 2021 pour ce motif, et les dossiers Google et Shein de septembre 2025 montrent que le régulateur vérifie désormais le comportement technique réel de la bannière (les cookies sont-ils vraiment bloqués après un refus ?) et non plus seulement la symétrie visuelle des deux boutons. Dans l'affaire Shein, la CNIL a explicitement retenu que des traceurs continuaient d'être déposés après un clic sur « Refuser », en plus d'une information incomplète sur les finalités publicitaires (CNIL).
Intérêt légitime : base juridique du RGPD parfois invoquée pour éviter de demander un consentement. Elle reste théoriquement disponible pour certains traitements, mais l'analyse actuelle de la CNIL considère qu'elle ne couvre pas les cookies analytics ou publicitaires classiques, qui restent soumis au consentement préalable de l'article 82. Pour une comparaison plus complète entre les deux bases juridiques et les cas d'usage où l'intérêt légitime reste défendable, le guide ultime du consentement aux cookies détaille la mise en œuvre technique complète, banniere par banniere.
Comparatif des principales plateformes de gestion du consentement (CMP)
Une plateforme de gestion du consentement (CMP) automatise la détection des cookies, l'affichage de la bannière et la conservation de la preuve de consentement. Voici comment se positionnent les acteurs les plus cités sur le marché francophone en 2026.
| Plateforme | Origine | Point fort principal | Idéal pour |
|---|---|---|---|
| Secure Privacy | International (Europe/US/Asie) | Scan de conformité automatique (cookies, TLS, SSL, localisation des données) et journal de consentement exportable à tout moment | Entreprises multi-domaines cherchant une conformité RGPD, ePrivacy et CCPA unifiée sans configuration technique lourde |
| Axeptio | France | Ergonomie de bannière reconnue, taux d'acceptation moyens élevés | PME et sites e-commerce cherchant une mise en place rapide |
| Didomi | France | Console de gouvernance multi-sites et intégrations IAB/Google poussées | Grands groupes multi-marques avec gouvernance centralisée |
| Cookiebot (Usercentrics) | Danemark | Scan automatique historique des trackers | Sites e-commerce déjà intégrés à l'écosystème Usercentrics |
Ce choix ne se limite pas à l'apparence de la bannière : une CMP doit prouver, en cas de contrôle, que le consentement a bien été recueilli avant le dépôt du cookie et que le refus bloque réellement les traceurs correspondants, exactement le point technique que la CNIL a sanctionné chez Shein. Les plateformes de gestion du consentement aux cookies détaillent les critères de sélection à approfondir avant un changement d'outil.
Besoin de vérifier où vous en êtes réellement ? Le scanner de conformité de Secure Privacy audite vos cookies, votre chiffrement et vos sources de tracking en quelques minutes, avant même de configurer une bannière : testez le scan de conformité.
Bonnes pratiques d'implémentation
Trois exigences reviennent systématiquement dans les mises en demeure de la CNIL, et elles ne relèvent pas du design mais de l'architecture du consentement.
Des choix granulaires, pas un accord global. La bannière doit permettre d'accepter ou de refuser par finalité (analytics, publicité, réseaux sociaux) dès le premier niveau, sans obliger l'utilisateur à ouvrir un second écran pour trouver l'option de refus. Secure Privacy propose des bannières entièrement personnalisables, disponibles en plus de 70 langues, qui appliquent cette granularité automatiquement selon la catégorie de cookie détectée par le scan.
Un blocage technique réel avant le consentement. Il ne suffit pas d'afficher un bandeau : les scripts de tracking doivent rester inertes jusqu'au clic sur « Accepter ». C'est précisément ce que la CNIL a jugé absent chez Shein. Pour une checklist de conception détaillée (contraste, taille des boutons, position du lien de refus), les meilleures pratiques UI/UX de bannière de cookies et les lignes directrices de la CNIL sur les murs de cookies couvrent les cas limites (mur de cookies, accès payant alternatif) qui ne sont pas traités ici.
Une accessibilité qui ne se limite pas au visuel. Depuis l'entrée en vigueur de l'European Accessibility Act le 28 juin 2025, la bannière de consentement, premier point d'interaction sur la plupart des sites, entre dans le champ des obligations d'accessibilité numérique : navigation complète au clavier, compatibilité avec les lecteurs d'écran, et cibles tactiles suffisamment grandes sur mobile.
Une preuve de consentement exportable. Chaque consentement, accepté ou refusé, doit rester traçable : date, version de la politique, choix effectué par catégorie. C'est cette preuve qui protège l'entreprise en cas de contrôle, bien plus que l'apparence de la bannière au moment de l'audit. Le journal de consentement automatisé de Secure Privacy documente chaque interaction et reste exportable depuis le tableau de bord, sans configuration supplémentaire.
La rigueur de ce recueil de consentement conditionne aussi la mesure publicitaire : depuis le 15 juin 2026, Google Consent Mode v2 s'appuie uniquement sur le signal ad_storage transmis par la bannière pour décider ce que Google Ads reçoit, si le bandeau ne remonte pas un statut de consentement fiable, les données de conversion se dégradent en même temps que l'exposition à un contrôle CNIL augmente. Pour la partie technique liée à Google Ads et Analytics spécifiquement, l'optimisation des conversions avec Google Consent Mode explique comment continuer à mesurer la performance publicitaire sans dépendre de cookies non consentis.
FAQ
Qu'est-ce que le consentement aux cookies au sens du RGPD ?
C'est l'accord explicite, donné par un acte positif clair, qu'un visiteur doit exprimer avant qu'un site dépose des cookies non strictement nécessaires sur son appareil. Il doit être libre, spécifique, éclairé et univoque pour être valable au sens de l'article 7 du RGPD.
Faire défiler la page vaut-il consentement ?
Non. La CNIL a explicitement écarté le défilement, la navigation continue et la fermeture de la bannière comme formes valables de consentement depuis ses lignes directrices d'octobre 2020. Seul un clic explicite sur un bouton d'acceptation compte.
Quelle est la différence entre consentement et intérêt légitime pour les cookies ?
L'intérêt légitime est une base juridique du RGPD qui dispense parfois de demander un consentement, mais la CNIL considère qu'elle ne couvre pas les cookies analytics ou publicitaires classiques. Ceux-ci restent soumis à un consentement préalable au titre de l'article 82 de la loi Informatique et Libertés.
Un bouton « Tout refuser » est-il obligatoire dès le premier écran ?
Oui. Depuis la recommandation CNIL d'octobre 2020, refuser les cookies doit être aussi simple que les accepter : le bouton de refus doit apparaître au même niveau et dans le même format que le bouton d'acceptation, sans clic supplémentaire.
Combien de temps un consentement aux cookies reste-t-il valable ?
La CNIL recommande une durée maximale de 6 mois avant de redemander le consentement, ce qui correspond à la pratique retenue par la plupart des CMP du marché français. Passé ce délai, la bannière doit réapparaître même si l'utilisateur avait déjà répondu.
Que risque une entreprise qui utilise des dark patterns dans sa bannière de cookies ?
Une sanction financière pouvant atteindre 4 % du chiffre d'affaires mondial annuel au titre du RGPD, en plus des amendes prévues par la loi Informatique et Libertés. Les dossiers Google (325 M€) et Shein (150 M€) de septembre 2025 montrent que la CNIL sanctionne désormais ce type de pratique sans mise en demeure préalable lorsque la violation est caractérisée.
Vous découvrez que votre bannière actuelle ne bloque pas réellement les cookies avant consentement, ou qu'elle manque de granularité par finalité ? C'est exactement le point que la CNIL vérifie en premier lors d'un contrôle. La solution Cookie & Consent de Secure Privacy scanne automatiquement vos cookies et sources de tracking, bloque leur dépôt jusqu'au consentement explicite, journalise chaque choix de manière exportable et audit-ready, et s'affiche en plus de 70 langues sans configuration manuelle. Testez le scan de conformité pour voir en quelques minutes où se situe exactement votre exposition.
