Vous ouvrez un site pour lire un article, comparer un prix ou prendre rendez-vous. Un bandeau s’affiche : « Nous respectons votre vie privée ». Un gros bouton « Tout accepter » s’impose, parfois seul. Le lien « Paramétrer » se cache en bas, en petits caractères. Les cases sont déjà cochées. Et si vous continuez votre lecture sans cliquer, le site considère que vous avez dit oui. Quand vous cherchez enfin comment refuser, il faut trois clics, un parcours volontairement décourageant, parfois un compte à créer. Cette scène, des millions d’internautes la vivent chaque jour. Elle n’est pas une fatalité : le droit français et européen impose au site de recueillir un vrai consentement avant de déposer la plupart des traceurs, et il vous donne des moyens concrets de réagir quand le refus est entravé. Cet article explique ce que le site doit exactement vous proposer, comment figer la preuve du manquement, comment saisir la CNIL et comment demander réparation devant le juge. Contre qui diriger ces démarches ? Contre l’éditeur du site en premier lieu, mais aussi, lorsque le bandeau mentionne des centaines de « partenaires », contre les régies et intermédiaires publicitaires qui déposent leurs propres traceurs par son intermédiaire : l’article 82 s’applique à quiconque accède à votre terminal ou y inscrit des informations, pas seulement au propriétaire du site vitrine.
I. Le site doit vous laisser refuser aussi simplement qu’accepter
A. Une information complète, puis un geste actif de votre part
Le texte de référence en France est l’article 82 de la loi du 6 janvier 1978, dite loi informatique et libertés. Il dispose que « Tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant ». Cette information porte sur la finalité de chaque opération de lecture ou d’écriture sur votre terminal et sur les moyens dont vous disposez pour vous y opposer. Puis le texte ajoute une condition stricte : « Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement ». Autrement dit, l’ordre est imposé : d’abord une information claire et complète, ensuite seulement votre accord exprimé. La poursuite de la navigation, le silence ou la simple fermeture du bandeau ne valent pas consentement.
Seuls deux cas échappent à cette exigence : l’accès ou l’inscription qui a « pour finalité exclusive de permettre ou faciliter la communication par voie électronique », et celui qui est « strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur ». Concrètement, le cookie qui mémorise le contenu de votre panier ou maintient votre session après connexion relève de l’exception. Le traceur publicitaire, le cookie de mesure d’audience non exempté, le traceur de partage vers un réseau social ou tout identifiant destiné à construire votre profil relèvent du consentement préalable. Quand un site dépose des traceurs publicitaires dès l’affichage de la page, avant tout clic de votre part, il viole déjà l’article 82.
Le règlement général sur la protection des données (RGPD) précise ce qu’est un consentement valable. Il s’agit, selon son article 4, de « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ». Quatre adjectifs comptent : libre, spécifique, éclairé, univoque. Et un acte positif clair est exigé : cocher vous-même la case, cliquer vous-même sur « J’accepte ». Le traitement fondé sur le consentement n’est licite, aux termes de l’article 6 du règlement, que si « la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ». Un accord global et indifférencié, sans finalité identifiée, ne remplit pas cette condition.
Deux garanties procédurales accompagnent ce consentement. D’abord, la charge de la preuve pèse sur le site : « Dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant ». En cas de contrôle ou de litige, c’est à l’éditeur de produire la trace de votre accord, pas à vous de prouver que vous n’avez jamais accepté. Ensuite, le retrait doit être simple : « Il est aussi simple de retirer que de donner son consentement ». Un site qui accepte en un clic mais n’offre le retrait qu’après création d’un compte ou au bout d’un parcours labyrinthique méconnaît cette règle.
La Cour de justice de l’Union européenne a tranché deux situations que les éditeurs invoquaient souvent. Dans l’arrêt Planet49 du 1er octobre 2019, elle juge que le consentement n’est pas valablement donné quand le stockage d’informations sur l’équipement terminal, par l’intermédiaire de cookies, est autorisé au moyen d’une case cochée par défaut que l’utilisateur doit décocher pour refuser. Les cases pré-cochées sont donc interdites, et la solution vaut que les informations stockées constituent ou non des données personnelles. Le même arrêt impose au site de vous informer sur la durée de fonctionnement des cookies ainsi que sur la possibilité pour des tiers d’y accéder. Dans l’arrêt Orange Romania du 11 novembre 2020, la Cour ajoute qu’il appartient au responsable du traitement de démontrer que la personne a, par un comportement actif, manifesté son consentement au traitement de ses données, après avoir reçu une information présentée sous une forme compréhensible et aisément accessible, en des termes clairs et simples lui permettant de déterminer facilement les conséquences de son accord, de sorte que le consentement soit donné en pleine connaissance de cause. Le consentement doit en outre être donné finalité par finalité : accepter la mesure d’audience ne vaut pas acceptation de la publicité ciblée. Un bouton unique qui mélange tout, sans choix distinct, ne recueille aucun consentement spécifique. Côté éditeur, démontrer l’accord suppose de conserver la trace du texte présenté, des finalités cochées, de la date et du terminal. Un simple journal interne ne suffit pas si le bandeau ne permettait aucun refus effectif. C’est pourquoi vos propres captures datées pèsent si lourd. Un contrat ou un formulaire dont les clauses sont susceptibles d’induire en erreur sur la possibilité de refuser ne démontre aucun consentement valable. Cette exigence éclaire le cas des plateformes de gestion du consentement, ces fenêtres de paramétrage fournies par un prestataire intermédiaire : si la liste des partenaires est interminable, les finalités empilées ou le bouton de refus global absent, l’éditeur ne pourra pas se retrancher derrière son prestataire. C’est lui qui choisit l’outil, le configure et reste responsable des traceurs déposés sur son site, y compris ceux de ses partenaires publicitaires, dont l’accès éventuel à vos données doit vous être signalé avant tout accord.
B. Le bouton « Tout refuser » au même niveau que « Tout accepter »
De ces principes découle une exigence très concrète, martelée par la CNIL : refuser les traceurs doit être aussi simple que les accepter. Un bandeau qui n’affiche qu’un bouton « Tout accepter » et relègue le refus dans un second niveau de paramétrage, parfois après plusieurs écrans, ne respecte pas cette symétrie. La CNIL a adressé de nombreuses mises en demeure sur ce fondement aux éditeurs qui compliquaient le refus, avant de prononcer des sanctions financières. Ses lignes directrices du 4 juillet 2019 et sa recommandation du 17 septembre 2020, dite « cookies et autres traceurs », détaillent les modalités pratiques attendues des éditeurs, et ses questions-réponses officielles précisent régulièrement l’interprétation de ces textes (voir les pages officielles de la CNIL sur les traceurs).
La question des « cookie walls » – l’accès au site bloqué tant que vous ne consentez pas – mérite une présentation exacte. Saisi des lignes directrices de la CNIL, le Conseil d’État a, le 19 juin 2020, annulé le passage qui posait une interdiction générale et absolue de cette pratique par un instrument de droit souple : la CNIL avait, selon le juge, excédé ce qu’elle peut légalement faire dans un tel instrument (Conseil d’État, 19 juin 2020, n° 434684). Mais le même arrêt ne valide pas les murs de traceurs : il laisse intact le rappel de la position du Comité européen de la protection des données, qui les estime non conformes, et chaque situation reste examinée au cas par cas au regard du caractère libre du consentement. Un site qui vous contraint à payer ou à accepter pour lire un contenu gratuit s’expose donc toujours à une analyse sévère, sans pouvoir se prévaloir d’une autorisation générale.
Les sanctions prononcées montrent que le risque financier est réel pour les éditeurs. Le 7 décembre 2020, la formation restreinte de la CNIL a infligé 60 millions d’euros à Google LLC et 40 millions d’euros à Google Ireland, soit 100 millions au total, pour des cookies publicitaires déposés sans consentement préalable ni information satisfaisante, avec une astreinte de 100 000 euros par jour de retard à l’issue d’un délai de trois mois pour se mettre en conformité. Saisi par les deux sociétés, qui soutenaient que seule l’autorité irlandaise était compétente pour un traitement transfrontalier, le Conseil d’État a rejeté le recours le 28 janvier 2022 : la CNIL était compétente pour sanctionner ces manquements à l’article 82, et les amendes sont restées dues (Conseil d’État, 28 janvier 2022, n° 449209). Le 29 décembre 2022, la CNIL a sanctionné la société Voodoo à hauteur de 3 millions d’euros pour l’utilisation, sans consentement, d’un identifiant technique à des fins publicitaires sur les terminaux des utilisateurs, avec injonction de mise en conformité sous trois mois et astreinte de 20 000 euros par jour de retard : le Conseil d’État a là aussi rejeté le recours le 14 mai 2024 (Conseil d’État, 14 mai 2024, n° 472221). La CNIL a également sanctionné la société éditrice du site vanityfair.fr pour des cookies déposés sans consentement. La CNIL procède par vagues : elle annonce un thème de contrôle, adresse des mises en demeure avec un délai de mise en conformité – trois mois dans l’affaire Google –, puis sanctionne les éditeurs qui n’ont pas corrigé. Corriger après la mise en demeure réduit la sanction mais n’efface pas les manquements de la période antérieure, constatés par les agents. Conservez donc vos preuves même si le site finit par afficher un bouton de refus : elles couvrent la période où l’infraction a été commise. Ces décisions dessinent une ligne constante : dépôt sans consentement, information insuffisante et refus entravé conduisent à la sanction. Lors de ses contrôles, la CNIL ne se contente pas de lire la politique cookies affichée en bas de page : ses agents reproduisent le parcours réel du visiteur, comptent les clics séparant l’arrivée sur le site du refus effectif, et vérifient qu’aucun traceur non exempté n’est déposé avant l’accord. Les constats portent sur ce qui se passe à l’écran, pas sur les promesses du site. Le même grief se formule à l’étranger – les internautes américains parlent de « dark patterns » et exigent un « reject all » aussi accessible que le « accept all » – ce qui confirme que l’attente des utilisateurs, et non seulement la doctrine des autorités, va vers la symétrie des boutons.
II. Le site persiste : prouver le manquement, saisir la CNIL, demander réparation
A. Figer la preuve avant qu’elle disparaisse
Un bandeau se modifie en quelques minutes : l’éditeur mis en cause peut ajouter un bouton « Tout refuser » dès réception de votre courrier et prétendre ensuite qu’il a toujours existé. La preuve doit donc être figée immédiatement, avec des éléments datés et vérifiables. Capturez l’écran d’accueil du site avec l’URL visible et la date, le texte exact du bandeau, les boutons proposés et l’absence de bouton de refus au premier niveau. Filmez si possible le parcours complet : nombre de clics nécessaires pour refuser contre un seul clic pour accepter, cases pré-cochées, mentions ambiguës telles que « en poursuivant votre navigation, vous acceptez ». Notez l’heure et conservez les fichiers originaux sans les retoucher. Vérifiez également, depuis votre navigateur, quels cookies sont déposés avant tout choix de votre part, et conservez une copie de cette liste avec sa date.
Écrivez ensuite à l’éditeur du site, par un canal qui laisse une trace : formulaire de contact avec accusé de réception, courrier électronique conservé, ou lettre recommandée avec accusé de réception pour les dossiers sérieux. Demandez le retrait de votre consentement pour chaque finalité, l’arrêt des dépôts et l’effacement des données déjà collectées, en rappelant que le retrait doit être aussi simple que l’accord donné. Cette démarche remplit deux fonctions : elle fait cesser le traçage pour l’avenir et elle constitue une pièce qui démontrera, en cas de litige, que l’éditeur a été informé et n’a pas réagi. Si le site ignore votre demande ou répond par un message générique, conservez soigneusement cet échange ou ce silence.
Pour un litige à enjeu – profilage intensif, revente de données, préjudice professionnel – faites établir un constat par un commissaire de justice, qui décrira le bandeau, le parcours de refus et les traceurs déposés avec une force probante supérieure à vos propres captures. Recommencez vos vérifications à distance de la première : si le site s’est mis en conformité entre-temps, vos premières captures datées restent la preuve de la période d’infraction, et la correction tardive ne l’efface pas. C’est d’ailleurs un raisonnement que les autorités appliquent : une mise en conformité après les faits n’empêche pas la sanction pour la période antérieure. Faites constater les faits par un commissaire de justice dès que l’enjeu le justifie : il décrit le matériel, le navigateur, le bandeau affiché, chaque clic du parcours de refus et les traceurs présents avant et après, et annexe ses captures à son procès-verbal. Ce constat constitue la pièce la plus solide du dossier, devant le juge comme devant la CNIL, et son coût peut être intégré aux frais réclamés à l’adversaire qui succombe. Testez si possible depuis une navigation privée et, lorsque c’est pertinent, depuis un second terminal : certains sites affichent un parcours différent selon l’appareil ou conservent un refus sur un navigateur tout en continuant le traçage sur un autre. Notez ces différences, avec dates et appareils, car elles montrent que le refus n’est ni effectif ni global.
B. Trois voies qui se combinent : l’éditeur, la CNIL, le juge
La première voie est l’exercice direct de vos droits auprès de l’éditeur, décrite ci-dessus : retrait du consentement, opposition au traitement à des fins de prospection – le RGPD vous reconnaît un droit d’opposition absolu en matière de prospection – et demande d’effacement des données collectées sans base valable (voir le texte du règlement sur le site officiel de l’Union européenne). Fixez un délai raisonnable de réponse, par exemple un mois, et indiquez qu’à défaut vous saisirez la CNIL. Beaucoup de dossiers se règlent à ce stade, surtout face à des éditeurs de taille moyenne soucieux d’éviter un contrôle.
La deuxième voie est la plainte devant la CNIL. Le RGPD prévoit que « toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise, si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement ». En pratique, la plainte se dépose en ligne sur le site de la CNIL, via la rubrique « Internet » du service des plaintes, en joignant vos captures, votre courrier à l’éditeur et sa réponse ou son silence. Décrivez précisément les faits : quel site, quelles dates, quel bandeau, quel parcours de refus, quels traceurs déposés sans accord. La CNIL instruit, peut contrôler le site, adresser une mise en demeure puis sanctionner, comme les exemples Google, Voodoo ou Vanity Fair l’illustrent. Après votre plainte, la CNIL instruit : elle peut demander des observations à l’éditeur, diligenter un contrôle en ligne ou sur place, puis adresser une mise en demeure de se conformer dans un délai déterminé. Si l’éditeur persiste, la formation restreinte peut infliger une amende, une injonction sous astreinte et ordonner la publication de sa décision, anonymisée à l’issue d’un délai de deux ans comme dans les affaires Google et Voodoo. Chaque étape est notifiée et l’éditeur peut se défendre, ce qui explique la durée de ces procédures : votre plainte produit ses effets même si la sanction n’intervient que des mois plus tard. Retenez toutefois une limite claire : la CNIL sanctionne l’éditeur au nom de l’intérêt général, elle ne vous verse aucune indemnité. Pour être indemnisé, il faut saisir le juge.
C’est la troisième voie, l’action en justice, qui répare votre préjudice personnel. Le RGPD dispose que « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ». Le préjudice moral – le sentiment d’être suivi à la trace, le temps perdu à lutter contre le bandeau, l’exposition de vos habitudes de navigation à des tiers publicitaires – ouvre droit à réparation dès lors qu’il est démontré et rattaché à la violation. Le droit français commun conforte cette action : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer ». Devant le tribunal judiciaire, vous pouvez demander à la fois la cessation du traçage et l’effacement des données sous astreinte, et des dommages et intérêts. Les juges du fond n’hésitent pas à combiner ces mesures : le tribunal judiciaire d’Aix-en-Provence a ainsi, le 5 août 2025, condamné une société qui conservait indûment des données personnelles, dont des données de santé, à verser 1 000 euros à chacun des demandeurs pour leur préjudice moral, ordonné l’effacement complet de leurs données sous deux mois avec une astreinte provisoire de 50 euros par jour de retard pendant trois mois, et exigé la notification de cet effacement aux destinataires des fichiers (RG n° 22/03891, texte intégral vérifié le 16 septembre 2026). Cette décision ne portait pas sur des cookies, mais elle montre la méthode des tribunaux face aux violations de données : indemnisation du préjudice moral même modeste, injonction d’effacement et astreinte pour garantir l’exécution. Chiffrez votre préjudice avec des pièces, même modestes : temps passé à paramétrer chaque site, démarches écrites restées sans réponse, exposition de votre navigation à des dizaines de partenaires publicitaires, nécessité de recourir à un constat. Les juges indemnisent le préjudice moral prouvé sans exiger un dommage spectaculaire. Surveillez le délai pour agir : « Les actions personnelles ou mobilières se prescrivent par cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer ». Conservez donc vos preuves dès la découverte du traçage, sans attendre la fin d’une procédure devant la CNIL, car les deux démarches avancent en parallèle. Quand le traçage sert ensuite un score automatisé qui vous fait refuser un crédit, la même méthode – exercice des droits, plainte devant la CNIL puis demande de réparation – s’applique, avec en plus le droit d’obtenir une intervention humaine et un réexamen de la décision.
Devant le tribunal judiciaire, structurez vos demandes en deux volets : la cessation de l’illicite – retrait des traceurs, effacement des données collectées sans consentement, bandeau conforme – sous astreinte par jour de retard ; et la réparation de votre préjudice, moral et le cas échéant matériel, avec un chiffrage appuyé sur vos pièces. L’astreinte provisoire, fixée par le jugement, est ensuite liquidée par le juge au regard du comportement de l’éditeur : elle incite fortement à exécuter vite. Vous pouvez agir même si votre plainte devant la CNIL est encore en cours, et même si l’éditeur s’est entre-temps mis en conformité pour l’avenir : la mise en conformité ne répare ni le passé ni votre préjudice personnel. En conclusion, face à un site qui refuse le refus, trois réflexes protègent vos droits : exiger d’abord un bouton de refus au même niveau que l’acceptation, parce que le consentement doit être un acte positif, libre et éclairé, jamais un piège d’ergonomie ; figer ensuite la preuve par des captures datées et un écrit à l’éditeur, parce qu’un bandeau se modifie en quelques minutes ; combiner enfin la plainte devant la CNIL, qui sanctionne, et l’action devant le juge, qui indemnise et ordonne l’effacement sous astreinte. Les montants des sanctions – jusqu’à 100 millions d’euros confirmés par le Conseil d’État – et les condamnations civiles à effacement prouvent que ces démarches aboutissent. Un bandeau sans bouton « Tout refuser » n’est pas un détail de design : c’est un manquement que le droit sait nommer et sanctionner.
Besoin d’un avis rapide sur votre dossier
Vous faites face à un site qui impose ses traceurs, complique le refus ou ignore votre demande de retrait en matière de numérique et données personnelles ? Maître Reda KOHEN, avocat au Barreau de Paris, vous reçoit en consultation téléphonique : appelez le 06 46 60 58 22 ou écrivez via le formulaire de contact du cabinet pour un avis rapide sur votre dossier.