Rappel : qu’est-ce qu’un cookie « non essentiel » ?
La distinction fondamentale est entre les cookies strictement nécessaires — qui ne nécessitent pas de consentement — et les cookies non essentiels qui en nécessitent un.
- Exempts de consentement : panier d’achat, authentification, mémorisation des préférences de langue, cookies de sécurité (CSRF), mesure d’audience anonymisée sans croisement de données.
- Consentement obligatoire : Google Analytics (sauf configuration spécifique sans cookie), Facebook Pixel, Google Ads, YouTube embarqué, Hotjar, HubSpot, la plupart des outils marketing.
💡 Un site vitrine sans analytics ni pixel publicitaire peut légalement n’avoir aucun bandeau cookies — ou un bandeau purement informatif sans case « Accepter/Refuser ».
Ce que la CNIL exige vraiment
- Aucun cookie non essentiel avant le clic : les scripts qui déposent des cookies doivent être bloqués jusqu’à ce que l’utilisateur ait fait son choix. Ce n’est pas optionnel.
- Bouton « Refuser » aussi accessible que « Accepter » : même niveau de visibilité, même nombre de clics. Un bouton vert et un lien gris discret ne sont pas conformes.
- Pas de « cookie wall » : conditionner l’accès au contenu à l’acceptation des cookies est interdit, sauf si une alternative payante raisonnable est proposée.
- Consentement renouvelable : l’utilisateur doit pouvoir changer d’avis à tout moment, via un lien accessible en permanence sur le site.
- Durée de validité du consentement : 13 mois maximum. Au-delà, il doit être redemandé.
Quel outil choisir ?
- Site vitrine sans analytics → pas de CMP nécessaire, ou une mention informative simple suffit.
- Site WordPress avec Google Analytics → Complianz (plugin dédié WordPress, version gratuite fonctionnelle) ou Axeptio (version gratuite, UX soignée, français).
- Site avec beaucoup de scripts tiers (pixels, chat, vidéos, cartes) → Tarteaucitron (open source, compatible 100+ services) ou Axeptio version payante.
- Site institutionnel public → Tarteaucitron ou solution hébergée en France pour garantir la souveraineté des données de consentement.
L’erreur la plus courante : le « faux bandeau »
Beaucoup de sites affichent un bandeau cookies mais continuent de charger Google Analytics dès le chargement de la page — avant tout clic. C’est la non-conformité la plus répandue et la plus facilement détectable par les robots de la CNIL. Pour vérifier : ouvrez votre site en navigation privée, sans cliquer sur le bandeau, et regardez dans Chrome DevTools → Réseau si des requêtes vers google-analytics.com ou facebook.com/tr apparaissent. Si oui, votre bandeau n’est pas correctement configuré.
