Vous cliquez sur « Tout accepter » parce qu’il faut trois clics pour refuser, quand le bouton « refuser » existe. Le site mémorise votre navigation, affiche de la publicité ciblée, revend parfois vos centres d’intérêt à des partenaires que vous n’avez jamais identifiés. Ce parcours d’obstacle n’est pas un détail d’ergonomie : en France, le dépôt de traceurs non nécessaires sans votre consentement préalable constitue un manquement à l’article 82 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, et la Commission nationale de l’informatique et des libertés (CNIL) sanctionne lourdement. Le 1er septembre 2025, elle a ainsi infligé à Google une amende de 325 millions d’euros, notamment pour des traceurs déposés sans consentement valide lors de la création d’un compte. Cet article explique quels traceurs exigent votre accord préalable, à quoi ressemble un refus conforme, comment rassembler les preuves, saisir la CNIL et demander réparation devant le juge en 2026.
I. Aucun traceur publicitaire ne peut être déposé avant votre accord libre et éclairé
A. L’information complète et le consentement préalable conditionnent tout dépôt
Le principe est posé par la directive 2002/58/CE du 12 juillet 2002, dite « ePrivacy », dont l’article 5, paragraphe 3, impose le consentement préalable de l’utilisateur avant le stockage d’informations sur son terminal ou l’accès à des informations déjà stockées, sauf traceurs strictement nécessaires à la communication ou au service expressément demandé. En droit français, l’article 82 de la loi du 6 janvier 1978, qui transpose cette disposition, dispose : « Tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant », puis énumère « la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal » et « Des moyens dont il dispose pour s’y opposer ». Le même texte ajoute que « Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement ». Cette citation figure mot pour mot au point 6 de la décision du Conseil d’État du 28 janvier 2022, n° 449209, qui rejette le recours de Google contre une sanction de 100 millions d’euros.
Concrètement, la CNIL rappelle que les traceurs soumis au consentement incluent « notamment » les cookies liés à la publicité personnalisée et ceux des réseaux sociaux générés par leurs boutons de partage, ainsi que le fingerprinting, les pixels invisibles et tout identifiant servant à calculer une empreinte unique du terminal. Seuls échappent au recueil préalable les traceurs ayant pour finalité exclusive de permettre ou faciliter la communication par voie électronique ou strictement nécessaires à la fourniture d’un service demandé, par exemple le panier d’achat ou l’authentification : le Conseil d’État rappelle que ces dispositions ne sont pas applicables si l’accès ou l’inscription « Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique » ou « Soit, est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur ». Un bandeau qui dépose des traceurs publicitaires dès l’arrivée sur la page, avant tout clic, viole donc l’exigence de consentement préalable, quelle que soit la qualité rédactionnelle de sa politique cookies.
Le consentement ainsi exigé renvoie à la définition du règlement (UE) 2016/679 du 27 avril 2016 (RGPD) : son article 4, point 11, définit le consentement comme « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ». Chacun de ces quatre adjectifs compte. Un consentement n’est pas libre si l’accès au site est conditionné à l’acceptation sans alternative réelle ; il n’est pas spécifique si un seul bouton couvre pêle-mêle mesure d’audience, publicité personnalisée et partage aux partenaires ; il n’est pas éclairé si les finalités et les destinataires restent vagues ; il n’est pas univoque si des cases sont pré-cochées ou si la simple poursuite de la navigation vaut acceptation. L’article 7 du RGPD ajoute trois garanties : le responsable « est en mesure de démontrer que la personne concernée a donné son consentement », « La personne concernée a le droit de retirer son consentement à tout moment » et « Il est aussi simple de retirer que de donner son consentement ». Enfin, pour apprécier le caractère libre, « il y a lieu de tenir le plus grand compte de la question de savoir, entre autres, si l’exécution d’un contrat, y compris la fourniture d’un service, est subordonnée au consentement au traitement de données à caractère personnel qui n’est pas nécessaire à l’exécution dudit contrat ». Autrement dit, subordonner l’accès à un contenu à l’acceptation de traceurs publicitaires fragilise gravement la validité du consentement, comme l’a retenu la CNIL contre Google en septembre 2025 : les utilisateurs qui créaient un compte étaient orientés vers les traceurs de publicité personnalisée, au détriment des traceurs de publicité générique, sans être clairement informés que l’accès aux services était conditionné au dépôt de traceurs publicitaires, de sorte que le consentement recueilli dans ce cadre n’était pas valable.
L’obligation pèse sur les éditeurs de sites et d’applications, mais aussi sur les régies publicitaires et les réseaux sociaux dont les modules sont intégrés aux pages. La CNIL précise que ces acteurs sont réputés responsables conjoints du traitement dès lors qu’ils déterminent ensemble les finalités et les moyens des opérations de lecture et d’écriture sur le terminal des utilisateurs, et que les éditeurs, en contact direct avec l’utilisateur, sont généralement les mieux placés pour informer et recueillir le consentement. Pour une entreprise qui exploite un site, cette chaîne de responsabilités se règle par écrit : clauses de répartition des rôles, registre des traitements, audit des partenaires. Les dirigeants qui négocient ces montages ont intérêt à faire relire leurs contrats commerciaux et leurs chaînes de sous-traitance par un avocat, car la désignation du responsable conditionne toute la suite du contentieux.
Face à un géant établi en Irlande, certains sites répondent que seule l’autorité irlandaise serait compétente, en invoquant le guichet unique du RGPD. L’argument a été plaidé et écarté : dans l’affaire Google, le Conseil d’État a jugé que la formation restreinte tenait de l’article 16 de la loi du 6 janvier 1978 compétence pour sanctionner les manquements à l’article 82, transposant la directive ePrivacy, et il a rejeté le moyen tiré de l’article 56 du RGPD comme la demande de question préjudicielle. Pour l’internaute, la conséquence est simple : c’est bien la CNIL qui peut être saisie d’un bandeau non conforme affiché en France, quel que soit le pays d’établissement européen de l’éditeur, dès lors que le manquement relève de l’article 82.
B. Refuser doit être aussi simple qu’accepter, sur le même écran
Le 17 septembre 2020, la CNIL a adopté des lignes directrices sur les cookies et autres traceurs, complétées par une recommandation proposant des modalités pratiques de recueil du consentement. Le principe cardinal, martelé depuis dans chaque campagne de contrôle, tient en une phrase : refuser les cookies doit être aussi simple que les accepter. Concrètement, le bouton « Tout refuser » doit figurer au même niveau, dans le même format et sur la même interface que « Tout accepter » : un refus relégué dans un second écran de paramétrage, noyé parmi des curseurs par finalité, ne satisfait pas à l’exigence. De même, l’utilisateur doit pouvoir retirer son choix avec la même simplicité qu’il l’a donné, grâce à une icône ou un lien de retrait facilement accessible, et non en fouillant une politique de confidentialité de vingt pages.
Les juridictions ont validé cette lecture, avec une nuance importante sur les murs de traceurs. Par une décision du 19 juin 2020, le Conseil d’État a annulé partiellement les lignes directrices de 2019 : il a jugé que la CNIL ne pouvait pas interdire dans ses lignes directrices les murs de traceurs, cette pratique consistant à bloquer l’accès à un site en cas de refus des cookies, parce qu’elle avait outrepassé ce qu’un acte de droit souple permettait, sans trancher pour autant la question au fond. Le juge a en revanche validé les autres points contestés sur le recueil du consentement, notamment l’exigence d’une information spécifique pour chaque finalité et la facilité de refus ou de retrait. Puis, le 8 avril 2022, le Conseil d’État a rejeté les recours contre la question-réponse n° 12 des lignes directrices modificatives (décision n° 452668), consolidant le cadre actuel : « Les requêtes du Syndicat national du marketing à la performance et du Collectif des acteurs du marketing digital sont rejetées. »
La répression confirme que ces exigences ne sont pas théoriques. Le 7 décembre 2020, la formation restreinte de la CNIL avait prononcé contre Google LLC et Google Ireland Limited des amendes de 60 et 40 millions d’euros pour manquement à l’article 82, avec injonction de mise en conformité sous astreinte ; le Conseil d’État, le 28 janvier 2022, a rejeté leur recours : « La requête des sociétés Google LLC et Google Ireland Limited est rejetée. » Le 29 décembre 2022, la CNIL a sanctionné la société Voodoo d’une amende de 3 millions d’euros pour un manquement à l’article 82, assortie d’une injonction de mise en conformité sous astreinte de 20 000 euros par jour de retard ; le 14 mai 2024, le Conseil d’État a rejeté le recours de l’éditeur : « La requête de la société Voodoo est rejetée. » La sanction Voodoo illustre aussi l’arsenal qui accompagne l’amende : la délibération attaquée comportait une injonction de mise en conformité sous astreinte de 20 000 euros par jour de retard et la publication de la décision, et le Conseil d’État a confirmé l’ensemble en rejetant le recours. Et le 1er septembre 2025, la formation restreinte a condamné Google à 325 millions d’euros et Shein à 150 millions d’euros, dans la continuité du plan d’action lancé en 2019, visant notamment le dépôt de traceurs sans le consentement de l’internaute. Face à un bandeau qui impose, l’internaute n’est donc pas démuni : le droit applicable est stabilisé, et l’autorité n’hésite plus à frapper les plus grands acteurs.
II. Exiger le choix réel, saisir la CNIL, demander réparation
A. Documenter le manquement, exercer vos droits, déposer une plainte utile
Avant tout recours, constituez un dossier de preuves daté. Capturez le bandeau tel qu’il s’affiche à la première visite, en navigation privée et sans compte connecté : photographiez l’absence de bouton « refuser » au premier niveau, le nombre de clics nécessaires pour refuser, et conservez l’horodatage. Notez si des traceurs publicitaires sont déposés avant tout choix : les outils de développement du navigateur (onglet stockage ou application) permettent de lister les cookies inscrits dès le chargement de la page. Conservez aussi la liste des partenaires cités, ou son absence, ainsi que toute preuve que le retrait du consentement est plus compliqué que son octroi. Pour fiabiliser le constat, effectuez vos captures en navigation privée, sans être connecté à un compte, puis videz le stockage et recommencez : si les mêmes traceurs publicitaires réapparaissent avant tout clic, la preuve du dépôt préalable est établie. Relevez aussi le comportement du site après un refus : des traceurs qui persistent malgré un « tout refuser » démontrent que le choix affiché ne produit aucun effet. Enfin, ne négligez pas les autres faces du même problème : dans la sanction du 1er septembre 2025, la CNIL a également reproché à Google l’affichage de publicités prenant la forme de courriels dans Gmail sans le consentement requis par l’article L. 34-5 du code des postes et des communications électroniques. Un parcours de création de compte ou une messagerie qui monnaye votre attention sans accord relève de la même logique et se documente de la même façon. Ces éléments serviront à la fois pour la demande adressée à l’éditeur et pour l’éventuelle plainte.
Écrivez ensuite à l’éditeur du site. Exigez la suppression des données collectées sans consentement valable, la liste des destinataires auxquels elles ont été communiquées, et la preuve du paramétrage correctif. Cette démarche préalable n’est pas une simple politesse : elle fixe le point de départ des délais, démontre votre bonne foi et fournit, en cas de silence ou de réponse évasive, une pièce supplémentaire. Si l’organisme ne répond pas ou refuse de donner suite, les voies de recours ouvrent deux directions complémentaires, décrites dans notre dossier sur le droit d’accès et les organismes qui ne répondent pas : la plainte devant la CNIL et l’action devant le juge.
La plainte devant la CNIL repose sur l’article 77 du RGPD : « Sans préjudice de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise, si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement. » En France, la plainte se dépose en ligne sur le site de la CNIL, en joignant vos captures et votre courrier à l’éditeur. « L’autorité de contrôle auprès de laquelle la réclamation a été introduite informe l’auteur de la réclamation de l’état d’avancement et de l’issue de la réclamation », y compris la possibilité d’un recours juridictionnel. Soyez précis : identifiez le site, décrivez le parcours de refus clic par clic, chiffrez si possible l’ampleur (nombre de traceurs déposés avant choix, partenaires listés), et formulez une demande claire — mise en conformité du bandeau, injonction, sanction. La CNIL traite en priorité les plaintes documentées qui révèlent une pratique systémique : la sanction Google de septembre 2025 faisait suite à une plainte de l’organisation NOYB déposée le 24 août 2022, suivie de contrôles menés entre 2022 et 2023. À l’issue de la procédure, la formation restreinte peut prononcer un rappel à l’ordre, une injonction de mise en conformité sous astreinte et une amende administrative, comme dans les affaires Google et Voodoo rappelées plus haut. La plainte ne vous indemnise pas personnellement, mais elle fait cesser la pratique et prépare le terrain judiciaire.
B. Obtenir réparation du préjudice devant le juge judiciaire
Le dépôt de traceurs sans consentement valable cause un préjudice propre : profilage publicitaire non désiré, exposition de votre navigation à des dizaines de partenaires inconnus, temps perdu à traquer un bouton de refus introuvable, sentiment de surveillance. Le RGPD ouvre à ce titre un droit à réparation. Son article 82 dispose : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » Le préjudice moral est donc expressément réparable, sans qu’un dommage financier soit nécessaire. Le même article précise que « Tout responsable du traitement ayant participé au traitement est responsable du dommage causé par le traitement qui constitue une violation du présent règlement », qu’un sous-traitant n’est responsable que s’il a méconnu ses obligations propres ou outrepassé les instructions licites, et qu’un acteur « Un responsable du traitement ou un sous-traitant est exonéré de responsabilité, au titre du paragraphe 2, s’il prouve que le fait qui a provoqué le dommage ne lui est nullement imputable ». En matière de cookies, l’éditeur du site et la régie publicitaire, responsables conjoints du dépôt et de la lecture, peuvent être recherchés ensemble, chacun étant « tenu responsable du dommage dans sa totalité afin de garantir à la personne concernée une réparation effective ».
L’action s’exerce devant le juge judiciaire, indépendamment de la plainte CNIL : l’article 79 du RGPD prévoit que « Sans préjudice de tout recours administratif ou extrajudiciaire qui lui est ouvert, y compris le droit d’introduire une réclamation auprès d’une autorité de contrôle au titre de l’article 77, chaque personne concernée a droit à un recours juridictionnel effectif si elle considère que les droits que lui confère le présent règlement ont été violés ». L’action « peut aussi être intentée devant les juridictions de l’État membre dans lequel la personne concernée a sa résidence habituelle », ce qui permet à un internaute domicilié en France d’agir devant le tribunal judiciaire de son domicile, y compris contre un acteur établi dans un autre État membre. Pour mettre toutes les chances de votre côté, articulez trois étages : la violation (dépôt avant consentement ou consentement non libre, au regard de l’article 82 de la loi du 6 janvier 1978 et des articles 4 et 7 du RGPD), le préjudice (décrivez concrètement le profilage subi, la diffusion à des partenaires, la durée d’exposition, le temps perdu, l’atteinte ressentie), et le lien entre les deux (vos captures datées, la réponse de l’éditeur, l’éventuelle décision ou mise en demeure de la CNIL). Le rejet par le Conseil d’État du recours de Google contre les amendes de 60 et 40 millions d’euros prononcées le 7 décembre 2020 fournit un point d’appui solide à votre démonstration : la plus haute juridiction administrative a validé l’analyse de la CNIL sur le défaut d’information et de consentement préalables, et une décision de justice qui constate la violation éclaire ensuite le juge judiciaire sur la faute. Chiffrez votre demande avec mesure : les juridictions indemnisent le préjudice moral en fonction de sa démonstration, non par application d’un barème automatique. Joignez systématiquement vos preuves de première visite, votre courrier à l’éditeur et, le cas échéant, l’accusé de réception de votre plainte CNIL.
En pratique, la stratégie gagnante combine les deux leviers : la plainte CNIL pour faire cesser la pratique et obtenir, parfois, une sanction publique qui établit la violation ; l’action judiciaire pour obtenir votre indemnisation personnelle. Ni l’une ni l’autre n’exige que vous soyez un technicien des traceurs : ce que le juge attend, c’est un parcours documenté, une violation rattachée aux textes et un préjudice raconté avec précision. Et si le bandeau litigieux appartient à un site que vous exploitez vous-même, inversez la lecture : auditez votre interface au regard des critères de cette première partie avant qu’un internaute méthodique ou la CNIL ne le fasse à votre place.
Un site qui vous contraint d’accepter ses traceurs pour lire son contenu, qui cache le refus au fond d’un menu ou qui dépose des cookies publicitaires avant tout clic méconnaît l’article 82 de la loi du 6 janvier 1978 et les articles 4, 7, 77, 79 et 82 du RGPD, tels que les appliquent la CNIL et le Conseil d’État : refus aussi simple que l’acceptation, information par finalité, consentement préalable démontrable. La séquence utile tient en quatre gestes : capturer le parcours imposé, écrire à l’éditeur, déposer une plainte CNIL documentée, puis agir devant le tribunal de votre domicile pour obtenir réparation du préjudice moral. Les sanctions confirmées en 2022, comme la validation par le Conseil d’État des lignes directrices sur le recueil du consentement, puis celles de 2024 et de septembre 2025, montrent que l’autorité frappe vite et fort ; les textes montrent que le juge peut indemniser. Devant un bandeau qui impose, ne cliquez pas en soupirant : documentez, exigez, saisissez.
Besoin d’un avis rapide sur votre dossier
Pour un avis sur votre dossier en numérique et données personnelles, Maître Reda KOHEN, avocat au Barreau de Paris, vous répond lors d’une consultation téléphonique : 80 EUR TTC. Appelez le 06 46 60 58 22 ou écrivez via la page contact du cabinet.