Cookies et traceurs : ce que le consentement doit être

Quel texte encadre les cookies et que couvre-t-il exactement ?

La règle française figure à l'article 82 de la loi n° 78-17 du 6 janvier 1978, dite loi Informatique et Libertés, qui transpose la directive 2002/58/CE dite ePrivacy. Le texte impose le recueil du consentement de l'utilisateur avant toute action tendant à accéder à des informations déjà stockées sur son terminal ou à y inscrire des informations. La formulation est délibérément technique : elle ne parle pas de cookies mais d'écriture et de lecture sur un terminal.

La conséquence est large. Sont concernés les cookies HTTP, mais aussi le stockage local du navigateur, les identifiants publicitaires des systèmes mobiles, les pixels invisibles, les empreintes de terminal et tout dispositif de suivi équivalent. Le vecteur technique est indifférent ; seul compte le fait d'écrire ou de lire sur l'équipement de la personne.

L'obligation ne dépend pas de la nature des données. Elle s'applique même lorsque aucune donnée personnelle n'est traitée, parce qu'elle protège la confidentialité du terminal et non les seules données. Elle pèse sur tout organisme, public ou privé, qui dépose ou fait déposer un traceur depuis un site internet, un intranet, un extranet ou une application mobile.

À quelles conditions le consentement est-il valable ?

Le consentement doit être libre, spécifique, éclairé et univoque. Il doit résulter d'un acte positif clair, antérieur au dépôt du traceur, et pouvoir être retiré aussi facilement qu'il a été donné. Ces quatre qualificatifs proviennent du RGPD et se sont substitués à l'ancienne pratique du consentement implicite.

La poursuite de la navigation ne vaut plus acceptation. Faire défiler la page, cliquer sur un lien, fermer un bandeau par la croix ou continuer à consulter le site ne constitue pas un acte positif clair. L'acceptation de conditions générales d'utilisation ne vaut pas davantage consentement aux traceurs : le consentement doit être spécifique aux finalités poursuivies.

Le refus doit être aussi simple que l'acceptation. La CNIL attend un bouton permettant de refuser l'ensemble des traceurs au même niveau, dans la même forme et avec la même visibilité que le bouton d'acceptation globale. Un parcours qui impose plusieurs clics ou une navigation dans des sous-menus pour refuser, quand un seul clic suffit pour accepter, caractérise un manquement.

• Le consentement est recueilli avant tout dépôt ou toute lecture de traceur non exempté.
• L'utilisateur est informé, en termes simples, des finalités poursuivies et de l'identité des responsables de traitement.
• Le refus global est accessible au même niveau que l'acceptation globale, avec la même simplicité.
• Le consentement est spécifique par finalité : l'utilisateur peut accepter une finalité et en refuser une autre.
• Le retrait du consentement est possible à tout moment et aussi simple que son recueil.
• L'organisme est en mesure de prouver, à tout moment, que le consentement a été valablement recueilli.

Comment prouver le consentement ?

La charge de la preuve pèse sur l'organisme qui dépose les traceurs. La recommandation du 17 septembre 2020 énumère plusieurs mécanismes admis : conservation horodatée des versions du code de recueil, captures d'écran datées du parcours utilisateur tel qu'il était présenté, audits périodiques réalisés par un tiers, ou conservation horodatée des paramétrages successifs de la plateforme de gestion du consentement utilisée.

Ce point est souvent négligé. Un bandeau conforme aujourd'hui ne prouve rien sur l'état du site il y a dix-huit mois, période sur laquelle un contrôle peut porter. Sans historique du paramétrage, l'organisme ne peut pas établir la validité des consentements passés.

Quels traceurs échappent au consentement ?

L'article 82 prévoit deux exceptions : les traceurs ayant pour finalité exclusive de permettre ou faciliter la communication par voie électronique, et ceux strictement nécessaires à la fourniture d'un service de communication en ligne expressément demandé par l'utilisateur. La CNIL en a tiré une liste opérationnelle de cas exemptés.

Le cas particulier de la mesure d'audience

L'exemption de la mesure d'audience est étroite et cumulative. L'outil doit servir exclusivement à mesurer l'audience du site ou de l'application : performance, difficultés de navigation, optimisation technique, estimation de la charge des serveurs. Il doit fonctionner pour le seul compte de l'éditeur et ne produire que des statistiques anonymes.

Deux pratiques font sortir immédiatement de l'exemption : le recoupement des données avec d'autres traitements ou leur transmission à des tiers sous une forme non anonyme, et le suivi de la navigation sur plusieurs sites ou applications au moyen d'un identifiant identique. La CNIL invite les éditeurs à demander à leur prestataire la documentation démontrant que l'outil peut être configuré dans ces limites, avant de retenir l'exemption.

Combien de temps les traceurs et le choix de l'utilisateur peuvent-ils être conservés ?

Trois durées distinctes doivent être tenues. Elles sont souvent confondues, alors qu'elles ne portent pas sur le même objet : la durée de vie du traceur lui-même, la durée de conservation des informations collectées grâce à lui, et la durée pendant laquelle le choix exprimé par l'utilisateur est mémorisé.

La règle des 13 mois signifie que le traceur expire treize mois après son dépôt et qu'une nouvelle visite ne repousse pas cette échéance. Au terme, le consentement doit être à nouveau recueilli. La durée de 25 mois pour les informations collectées permet une comparaison d'une année sur l'autre, avec la marge nécessaire au traitement statistique.

Le consentement doit par ailleurs être renouvelé chaque fois qu'une finalité nouvelle est ajoutée à celles pour lesquelles il avait été donné. Un consentement recueilli pour la mesure d'audience et la publicité ne couvre pas l'ajout ultérieur d'un partage de données avec un nouveau partenaire.

Que dit la CNIL des cookie walls et des murs payants ?

Un cookie wall conditionne l'accès à un service à l'acceptation des traceurs. Le Conseil d'État a écarté, par sa décision du 19 juin 2020, l'idée d'une interdiction générale et absolue de la pratique. La CNIL a donc publié, le 16 mai 2022, des premiers critères d'évaluation, applicables au cas par cas dans l'attente d'un cadre européen.

• L'utilisateur qui refuse les traceurs doit disposer d'une alternative réelle et équitable pour accéder au contenu.
• Lorsque l'alternative est payante, le tarif doit être raisonnable au regard du manque à gagner publicitaire ; la CNIL invite les éditeurs à rendre publique leur méthode de calcul et encourage les solutions de micropaiement.
• Le périmètre des traceurs conditionnés doit se limiter aux finalités permettant une rémunération du service, telles que la publicité ciblée, à l'exclusion de finalités superflues comme la personnalisation éditoriale.
• Lorsque l'accès suppose la création d'un compte, l'utilisation des données doit être clairement portée à la connaissance de l'utilisateur et limitée aux finalités annoncées.
• Le choix de l'accès payant n'emporte pas consentement aux traceurs liés aux contenus tiers intégrés, vidéos ou boutons de partage, qui peuvent nécessiter un consentement distinct.

Quelles sanctions la CNIL a-t-elle prononcées ?

Les manquements à l'article 82 relèvent de la compétence directe de la CNIL, sans mécanisme de guichet unique européen : l'autorité française peut sanctionner un acteur international pour les traceurs déposés sur les terminaux des internautes en France. C'est ce qui explique le niveau des amendes prononcées.

Le 1er septembre 2025, la formation restreinte a prononcé deux sanctions majeures. La première, d'un montant de 325 millions d'euros, vise Google LLC et Google Ireland Limited. La délibération retient un défaut de recueil d'un consentement valide avant l'inscription d'informations sur les terminaux des utilisateurs français lors de la création de comptes, ainsi qu'un manquement à l'article L. 34-5 du code des postes et des communications électroniques pour l'affichage de publicités dans la messagerie. La décision est assortie d'une injonction de mise en conformité sous astreinte. La seconde, d'un montant de 150 millions d'euros, vise une société de vente en ligne de vêtements, chaussures et accessoires, pour des manquements à l'information et au consentement en matière de cookies.

Ces montants ne doivent pas masquer l'autre versant du contrôle. La CNIL dispose d'une procédure simplifiée, plafonnée à 20 000 euros par décision, qu'elle utilise pour les manquements les moins complexes. Le 6 juillet 2026, elle a annoncé avoir prononcé 23 sanctions sur ce fondement depuis janvier 2026, pour un total de 133 750 euros. Dix-neuf de ces procédures ont pour origine une plainte.

Les griefs relevés dans ces dossiers sont récurrents et simples à vérifier : information incomplète sur les finalités des cookies, absence de mécanisme permettant de refuser aussi facilement que d'accepter, dépôt de traceurs avant tout recueil du consentement. Les sanctions de faible montant prononcées en 2025 contre des sociétés de vente à distance, des éditeurs de journaux ou une agence de voyage, de 2 000 à 7 000 euros, relèvent de la même logique.

Quelles recommandations récentes faut-il intégrer ?

La CNIL a adopté le 12 mars 2026 une recommandation consacrée aux pixels de suivi insérés dans les courriers électroniques. Ces dispositifs, invisibles pour le destinataire, permettent de savoir si un message a été ouvert, quand et parfois sur quel terminal. Ils relèvent du même article 82 que les cookies, puisqu'ils supposent une lecture d'information sur le terminal.

La recommandation distingue deux situations exemptées de consentement. La première couvre les courriels transactionnels : confirmation de commande, réinitialisation de mot de passe, alerte de sécurité, notification de livraison. La seconde couvre la mesure individuelle de délivrabilité, c'est-à-dire l'identification des destinataires inactifs aux fins de préserver la réputation de l'expéditeur, à la stricte condition que le pixel ne serve qu'à cela.

Hors de ces deux cas, le consentement est requis, notamment pour les courriels de prospection. La CNIL a prévu un délai de trois mois pour informer les destinataires déjà inscrits de l'existence du suivi et leur offrir un moyen simple de s'y opposer. Une foire aux questions complémentaire a été publiée le 22 juillet 2026.

Un dernier point mérite d'être souligné. Le recours à une plateforme de gestion du consentement ne transfère pas la responsabilité. L'éditeur du site reste comptable de la conformité du parcours proposé, du blocage effectif des traceurs avant consentement et de la conservation des preuves. Les décisions récentes de la CNIL portent d'ailleurs le plus souvent sur des sites équipés d'une telle plateforme, mal configurée.