RGPD et cookies : 5 erreurs qui exposent votre site a une sanction CNIL
Publie le 13/09/2026 · Temps de lecture : 9 min
En 2021, la CNIL a inflige une amende de 150 millions d'euros a Google et 60 millions d'euros a Facebook pour des manquements aux regles sur les cookies. En 2023, Criteo a ete sanctionne a hauteur de 40 millions d'euros et Voodoo a 3 millions d'euros pour des motifs similaires. Ces montants concernent des multinationales, mais le raisonnement juridique qui les fonde s'applique exactement de la meme maniere a un site vitrine de TPE ou a la boutique en ligne d'une PME. La difference n'est pas la nature de l'infraction, c'est l'ampleur de la sanction : une petite structure encourt une mise en demeure publique puis, en cas de recidive, une amende proportionnee a son activite (generalement de quelques milliers a quelques dizaines de milliers d'euros).
Voici les 5 erreurs les plus frequemment relevees par la CNIL lors de ses controles, avec pour chacune ce que dit precisement la reglementation et comment la corriger.
Sommaire
- 1. Deposer des cookies avant le choix du visiteur
- 2. Rendre le refus plus difficile que l'acceptation
- 3. Une duree de consentement trop longue
- 4. Aucune preuve de consentement archivee
- 5. Une politique de confidentialite absente ou obsolete
- Quels cookies sont exemptes de consentement ?
- Questions frequentes
1. Deposer des cookies avant le choix du visiteur
C'est l'erreur la plus lourdement sanctionnee. Dans sa decision contre Google, la CNIL a precisement reproche au moteur de recherche de deposer un cookie publicitaire des l'arrivee sur google.fr, avant toute action de l'utilisateur. Le principe est simple : tant que le visiteur n'a pas fait de choix explicite, aucun cookie non essentiel ne doit etre ecrit dans son navigateur, ni cookie de mesure d'audience (Google Analytics, Matomo en mode non exempte), ni cookie publicitaire, ni pixel de reseau social (Facebook Pixel, LinkedIn Insight Tag).
Techniquement, cela implique que le code des outils tiers (scripts de tracking, boutons de partage social, lecteurs video embarques type YouTube) ne doit s'executer qu'apres le clic sur « Tout accepter » ou sur une acceptation partielle incluant cette categorie. Un test simple : ouvrez votre site en navigation privee, sans rien cliquer, et inspectez les cookies dans les outils de developpeur du navigateur (onglet Application sur Chrome, Stockage sur Firefox). Si des cookies autres que ceux de session ou de panier apparaissent, la banniere ne bloque rien, elle ne fait qu'informer.
2. Rendre le refus plus difficile que l'acceptation
Un bouton « Tout accepter » en couleur vive et un lien « Parametres » discret en gris clair : ce design, tres repandu avant 2020, est explicitement vise par les lignes directrices de la CNIL. Le raisonnement juridique est le suivant : si l'architecture de l'interface (nombre de clics, contraste visuel, position des boutons) favorise objectivement un choix par rapport a l'autre, le consentement recueilli n'est plus « libre » au sens de l'article 4.11 du RGPD.
La regle operationnelle retenue par la CNIL est le principe de symetrie : le bouton « Tout refuser » doit se trouver sur le meme ecran, avoir une taille comparable, et demander le meme nombre de clics que le bouton d'acceptation. Un refus qui necessite d'ouvrir un sous-menu, de decocher manuellement chaque finalite une par une, puis de valider, constitue un « dark pattern » sanctionnable en tant que tel.
3. Une duree de consentement trop longue
La CNIL recommande une duree de conservation du choix de l'utilisateur (acceptation ou refus) de 6 mois maximum. Passe ce delai, le site doit reafficher la banniere et redemander le consentement. Cette regle repond a un objectif precis : un consentement donne il y a deux ans, sur une version de banniere qui a peut-etre change (nouveaux outils tiers ajoutes, nouvelles finalites), ne peut plus etre considere comme « specifique et eclaire ».
De nombreux outils faits maison ou mal parametres stockent le choix dans un cookie ou un localStorage avec une duree de vie de plusieurs annees, voire indefinie. C'est un point de controle simple pour la CNIL : elle verifie la duree de vie du cookie technique qui memorise le consentement lui-meme.
4. Aucune preuve de consentement archivee
En cas de controle, la charge de la preuve repose sur le site : c'est a l'editeur de demontrer qu'il recueille effectivement un consentement valide, et non a la CNIL de prouver le contraire. Sans journal de consentement horodate (date, heure, choix exact du visiteur, version de la banniere presentee, adresse IP ou identifiant anonymise), il est impossible d'apporter cette preuve lors d'un controle.
Ce registre de preuves doit etre conserve independamment du navigateur du visiteur : si tout repose uniquement sur un cookie local, la preuve disparait des que l'utilisateur vide son cache ou change d'appareil, ce qui ne protege pas le site en cas de controle.
5. Une politique de confidentialite absente ou obsolete
La banniere renvoie generalement vers une politique de confidentialite detaillant les traitements. Deux problemes recurrents : le document n'existe pas du tout, ou il a ete redige avant l'ajout des outils tiers actuellement en place (un nouvel outil d'emailing, un chat en ligne, un nouveau partenaire publicitaire). Cette politique doit lister les finalites precises, les destinataires des donnees et les durees de conservation, en coherence avec ce que fait reellement le site.
Quels cookies sont exemptes de consentement ?
Tous les cookies ne sont pas concernes. La CNIL exempte de consentement prealable :
- les cookies de panier d'achat le temps de la session ;
- les cookies d'authentification (session de connexion) ;
- les cookies de personnalisation de l'interface (langue, affichage) demandes explicitement par l'utilisateur ;
- certains cookies de mesure d'audience strictement limites a la production de statistiques anonymes, sous conditions tres strictes (donnees non transmises a des tiers, duree de conservation limitee, information claire de l'utilisateur).
En pratique, la quasi-totalite des outils grand public (Google Analytics, Facebook Pixel, Hotjar, la plupart des solutions publicitaires) ne remplissent pas ces conditions d'exemption et necessitent donc un consentement prealable.
Corrigez ces 5 erreurs en une seule fois
ConformiteFacile bloque les cookies avant consentement, propose un bouton refuser aussi visible, limite la duree a 6 mois et archive chaque preuve automatiquement.
Mettre mon site en conformiteQuestions frequentes
La CNIL sanctionne-t-elle vraiment les petites entreprises pour les cookies ?
Oui, mais avec des montants proportionnes. Les amendes de plusieurs dizaines de millions d'euros concernent des groupes comme Google, Amazon ou Meta. Pour une TPE ou une PME, la CNIL commence generalement par une mise en demeure publique (delai de mise en conformite, souvent 1 a 3 mois) avant d'envisager une sanction financiere, qui reste alors de l'ordre de quelques milliers a quelques dizaines de milliers d'euros selon la gravite et le chiffre d'affaires.
Google Analytics est-il interdit par la CNIL ?
La CNIL a estime en 2022 que certains transferts de donnees lies a Google Analytics (version Universal Analytics) vers les Etats-Unis n'offraient pas un niveau de protection suffisant, et a mis en demeure plusieurs sites. Google Analytics 4 propose des options de traitement des donnees dans l'UE, mais l'outil reste soumis a consentement prealable comme tout cookie de mesure d'audience non exempte.
Un simple bandeau d'information suffit-il, sans bouton de choix ?
Non. Un bandeau qui se contente d'informer ('en poursuivant votre navigation, vous acceptez...') sans proposer de choix reel est non conforme depuis les lignes directrices CNIL de 2020. Le simple fait de continuer a naviguer ne peut plus etre interprete comme un consentement.
Que faire si je decouvre que mon site n'est pas conforme depuis longtemps ?
Corrigez la banniere immediatement : c'est l'exposition au risque qui compte a partir d'aujourd'hui, pas l'anciennete du probleme. La CNIL valorise les demarches de mise en conformite spontanees. Il n'est pas necessaire de declarer le passe, mais il faut pouvoir prouver, a partir de maintenant, que les nouveaux visiteurs sont correctement informes et que leur choix est respecte.
A lire aussi : comment installer une banniere de consentement cookies et le guide RGPD complet sur les cookies.