Vous cliquez sur « tout refuser », la page se charge, et pourtant votre navigateur enregistre une dizaine de traceurs publicitaires. Le bandeau disparaît comme si votre choix avait été pris en compte, mais les cookies sont déjà là, déposés avant même votre clic ou malgré votre refus explicite. Cette situation concerne un nombre considérable de sites français : des vagues de contrôles de la Commission nationale de l’informatique et des libertés ont visé des dizaines d’organismes dont les bandeaux ne permettaient pas de refuser aussi simplement qu’accepter. Face à ce dépôt forcé, le droit européen et le droit français posent une règle simple : aucun traceur qui n’est pas strictement nécessaire ne peut être déposé ou lu sans votre accord préalable, et votre refus doit produire un effet réel. Encore faut-il savoir prouver le manquement, exiger l’effacement, saisir la Commission et demander réparation devant le juge. Cet article décrit la méthode complète, étape par étape, avec les textes applicables en 2026.

I. Votre clic « tout refuser » aurait dû bloquer tout dépôt de traceurs

Quand vous refusez les cookies, le site doit respecter ce choix immédiatement. Le dépôt malgré le refus constitue une violation caractérisée du régime du consentement, sanctionnée par la Commission et réparable devant le juge.

A. Aucun traceur non nécessaire ne peut être déposé sans votre accord préalable

Le règlement général sur la protection des données définit le «consentement» comme «toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ». Quatre adjectifs structurent cette définition : libre, spécifique, éclairé, univoque. Chacun correspond à un contrôle concret. Le consentement est libre quand vous disposez d’une véritable possibilité de refuser sans subir de préjudice. Il est spécifique quand il porte précisément sur chaque finalité, et non sur un paquet indistinct mêlant mesure d’audience, publicité ciblée et partage avec des partenaires. Il est éclairé quand l’information sur les finalités, les responsables et la durée vous est fournie avant le dépôt. Il est univoque quand il résulte d’un acte positif clair, jamais du silence ou de l’inaction.

Ce régime européen est relayé en droit français par l’article 82 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, qui transpose en droit interne les exigences de la directive 2002/58 sur la vie privée et les communications électroniques sur le stockage et l’accès aux informations sur votre terminal. La Commission explique sur sa page dédiée aux traceurs que le consentement exigé par ces dispositions renvoie directement à la définition et aux conditions posées par le règlement européen : le droit français des traceurs et le droit européen du consentement forment un seul bloc (voir la présentation de la Commission sur ce que dit la loi). Concrètement, seuls les traceurs qui ont pour finalité exclusive de permettre ou de faciliter la communication électronique, ou qui sont strictement nécessaires à la fourniture d’un service que vous avez expressément demandé, échappent au recueil préalable de votre accord. Tout le reste — publicité personnalisée, mesure d’audience non exemptée, partage avec des régies, géolocalisation à des fins marketing, boutons sociaux qui tracent votre navigation — exige votre consentement avant tout dépôt et avant toute lecture.

La règle du caractère préalable est absolue. La doctrine de la Commission est constante : aucun cookie soumis au consentement ne peut être déposé ni lu sur votre terminal tant que vous n’avez pas donné votre accord (voir la présentation de la Commission sur ce que dit la loi). Un site qui dépose des traceurs publicitaires pendant l’affichage du bandeau, avant que vous ayez cliqué, viole cette règle même si un bouton d’acceptation figure sur la page. De même, un site qui dépose des traceurs après votre clic de refus viole votre refus de manière frontale. La Commission ajoute qu’un nouvel accord doit être sollicité dès qu’une finalité nouvelle s’ajoute aux finalités initiales : l’accord donné un jour pour la mesure d’audience ne couvre pas la publicité ciblée ajoutée six mois plus tard, ni les nouveaux partenaires listés dans une politique mise à jour sans nouveau recueil. Chaque finalité nouvelle appelle un nouveau choix.

La Cour de justice de l’Union européenne a donné à cette exigence d’un acte positif une portée décisive dans son arrêt du 1er octobre 2019, Planet49 (affaire C-673/17), dont le texte est accessible sur EUR-Lex. La Cour y juge qu’un accord exprimé au moyen d’une case cochée par défaut n’implique aucun comportement actif de l’utilisateur et ne vaut donc pas consentement. Elle retient que le consentement ne peut plus être présumé et doit résulter d’un comportement actif, et rappelle que le considérant 32 du règlement exclut tout consentement en cas de silence, de cases cochées par défaut ou d’inactivité. Transposée à votre situation, cette jurisprudence signifie trois choses. D’abord, votre silence face au bandeau — poursuivre votre navigation sans cliquer — ne vaut jamais acceptation. Ensuite, un paramétrage qui coche par avance les curseurs publicitaires puis vous demande de les décocher un par un ne recueille pas un consentement valable. Enfin, le fait de cliquer sur un bouton de jeu, de commande ou de lecture ne vaut pas accord pour les traceurs : l’activation d’un bouton de participation à un jeu promotionnel ne suffit pas à établir le consentement au dépôt de cookies. Le seul geste qui vaut accord est un acte positif portant précisément sur les traceurs, après information sur leurs finalités.

Le responsable du traitement supporte la charge de la preuve. Le règlement dispose que Dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant. La Commission en déduit que tout acteur qui se prévaut d’un consentement doit pouvoir en rapporter la preuve (voir la présentation de la Commission sur ce que dit la loi). Devant la Commission ou devant le juge, ce n’est donc pas à vous de démontrer que vous n’avez pas consenti : c’est au site de produire la trace horodatée de votre accord — version du bandeau, texte présenté, choix coché, date et heure, finalités couvertes. S’il ne produit rien, ou s’il produit un journal qui contredit votre capture d’écran, le manquement est établi. Cette répartition de la charge de la preuve change tout pour les victimes de dépôts forcés : vos propres preuves (captures, enregistrements du stockage du navigateur, journaux réseau) servent à déclencher le contrôle, puis le site doit justifier son recueil.

Distinguer les rôles éclaire aussi la chaîne des responsabilités. La Commission indique que l’obligation de recueil s’impose notamment aux éditeurs qui autorisent le dépôt de cookies ensuite lus par des régies publicitaires, et que ces éditeurs et régies sont alors regardés comme responsables conjoints du traitement dès lors qu’ils déterminent ensemble les finalités et les moyens des opérations de lecture et d’écriture sur votre équipement (voir la présentation de la Commission sur ce que dit la loi). Quand vous constatez des traceurs tiers — régies, réseaux sociaux, prestataires de mesure — déposés malgré votre refus, l’éditeur du site ne peut pas se retrancher derrière ses partenaires : il a autorisé le dépôt, il devait le bloquer à défaut d’accord, et il répond du manquement aux côtés des tiers qui ont déterminé les finalités. Cette responsabilité conjointe élargit vos recours : votre mise en demeure et votre plainte peuvent viser l’éditeur et, quand vous les identifiez, les tiers lecteurs.

Reste la question des traceurs exemptés, que les sites invoquent souvent pour justifier des dépôts que vous n’avez pas autorisés. L’exemption est étroite : elle couvre les traceurs indispensables au fonctionnement — équilibrage de charge, mémorisation du panier, authentification, personnalisation strictement demandée — et certaines mesures d’audience respectant des conditions précises de finalité, de durée et d’absence de croisement. Un traceur publicitaire, un traceur de ciblage comportemental, un traceur de partage de données avec des dizaines de partenaires ne sont jamais exemptés. Si le site soutient que les cookies déposés malgré votre refus étaient techniques, exigez la liste exacte, finalité par finalité, avec la justification de l’exemption pour chacun. En pratique, les dépôts forcés constatés après un clic de refus portent presque toujours sur des traceurs soumis au consentement, ce qui rend la contestation de l’exemption superflue : le refus explicite tranche le débat.

B. Refuser doit être aussi simple qu’accepter, et votre refus doit être effectif

La seconde règle est symétrique de la première : non seulement le site doit attendre votre accord, mais il doit vous offrir un refus d’une simplicité égale à l’acceptation. La Commission formule l’exigence en posant que l’acceptation et le refus du dépôt et de la lecture des cookies doivent présenter le même degré de simplicité (voir la présentation de la Commission sur ce que dit la loi). Elle rappelle le fondement européen de cette symétrie : aux termes du considérant 42 du règlement, le consentement n’est pas libre si vous ne disposez pas d’une véritable liberté de choix ou si vous ne pouvez pas refuser sans subir de préjudice. Un parcours qui propose l’acceptation en un clic bien visible et qui enfouit le refus derrière deux ou trois écrans de paramétrage biaise votre choix et vicie le consentement, car l’internaute pressé clique sur la solution la plus rapide. La réponse opérationnelle est donnée dans les questions-réponses officielles : à défaut de bouton de refus au premier niveau, le site doit présenter une autre solution permettant de refuser aussi aisément qu’accepter (voir les questions-réponses de la Commission sur les traceurs). Concrètement, un bouton de refus placé au premier niveau d’information, au même niveau et avec le même aspect que le bouton d’acceptation, constitue le moyen clair et simple de référence pour exprimer votre choix.

Cette exigence n’est pas restée théorique. La Commission a mené des campagnes de contrôles ciblées sur ce point précis. Elle indique que depuis mai 2021, une soixantaine d’organismes qui ne permettaient pas de refuser aussi simplement qu’accepter ont été mis en demeure, puis que ses contrôles suivants ont conduit à une trentaine de nouvelles mises en demeure visant des bandeaux toujours non conformes (voir le bilan de la Commission sur le refus des cookies). Ces chiffres montrent que votre cas individuel s’inscrit dans une pratique sanctionnée à grande échelle : un bandeau sans refus au premier niveau, ou avec un refus à plusieurs clics quand l’acceptation se fait en un seul, caractérise le manquement le plus poursuivi de ces dernières années. Quand vous décrivez votre parcours — nombre de clics pour accepter, nombre de clics pour refuser, aspect comparé des boutons, information disponible au premier niveau — vous parlez exactement le langage des mises en demeure.

Le refus doit en outre être effectif techniquement, pas seulement affiché. Trois configurations reviennent dans les signalements. Première configuration : le dépôt avant tout choix. Vous ouvrez la page, le bandeau s’affiche, et l’inspection du stockage révèle déjà des traceurs publicitaires ou des identifiants tiers. Ce dépôt anticipé viole la règle du préalable, indépendamment de la suite. Deuxième configuration : le dépôt malgré le refus. Vous cliquez sur le refus, le bandeau se ferme, mais les traceurs restent ou réapparaissent à la page suivante, parfois après un rechargement qui réécrit les mêmes identifiants. Ce maintien viole votre refus et, quand les données collectées sont ensuite transmises à des partenaires, il prolonge la violation à chaque lecture. Troisième configuration : le refus contourné. Le site affiche un refus apparent mais recharge les traceurs sous un autre nom, via un sous-domaine ou un script qui recrée l’identifiant supprimé. Cette recréation prive d’effet votre opposition et votre retrait et constitue un manquement aggravé. Dans les trois cas, la preuve se construit de la même manière : état du stockage avant le choix, capture du clic de refus, état du stockage après le choix et après navigation sur deux ou trois pages, journal des requêtes réseau vers les domaines tiers. Ces pièces datées établissent le caractère systématique du dépôt, pas une simple erreur d’affichage.

Le retrait du consentement obéit à la même logique de simplicité. Le règlement énonce qu’« Il est aussi simple de retirer que de donner son consentement », et la Commission recommande que le mécanisme de retrait reste accessible tout au long de la navigation, dans une zone visible où vous vous attendez à le trouver. Un site qui vous a fait accepter en un clic mais qui exige la création d’un compte, l’envoi d’un courrier ou la navigation dans quatre niveaux de paramètres pour retirer votre accord viole cette symétrie. De même, la durée de conservation de votre choix doit rester raisonnable : la Commission indique qu’une conservation des choix pendant environ six mois constitue généralement une bonne pratique (voir les questions-réponses de la Commission sur les traceurs). Un site qui vous redemande votre accord toutes les semaines pour vous pousser à accepter, ou qui conserve un accord arraché pendant des années, s’écarte de cette pratique de référence. Notez ces éléments quand vous documentez votre dossier : fréquence des sollicitations, absence de lien de retrait permanent, conservation excessive.

Enfin, l’acceptation de conditions générales ne vaut jamais consentement aux traceurs. La Commission tranche ce point : souscrire aux conditions générales d’utilisation ne constitue pas une modalité valable de recueil du consentement (voir la présentation de la Commission sur ce que dit la loi). Un site ne peut donc pas soutenir que votre inscription, votre commande ou votre simple utilisation du service valait accord pour la publicité ciblée. Le consentement aux traceurs doit se manifester par une action positive distincte, portant précisément sur les traceurs, après information sur leurs conséquences. Cette séparation protège aussi les utilisateurs connectés : même titulaire d’un compte, même client fidèle, vous conservez le droit de refuser les traceurs non nécessaires sans que le service souscrit en pâtisse. Toute dégradation du service en représailles du refus — blocage de l’accès, fonctionnalités bridées, sollicitations répétées — caractérise une atteinte à la liberté du consentement et doit être documentée comme telle.

II. Prouver le dépôt forcé, exiger l’effacement, saisir la Commission et obtenir réparation

Un refus ignoré ne se contente pas de se raconter : il se prouve avec des pièces techniques simples, puis se traite par une mise en demeure, une plainte et, quand le préjudice le justifie, une action en réparation.

A. Constituer la preuve en dix minutes puis exiger la cessation et l’effacement

La preuve d’un dépôt forcé ne demande aucun outil coûteux : votre navigateur suffit. Ouvrez une fenêtre de navigation privée pour partir d’un état neutre, puis ouvrez les outils de développement (touche F12 sur la plupart des navigateurs) et affichez l’onglet de stockage — cookies, stockage local, stockage de session — ainsi que l’onglet réseau. Chargez la page d’accueil du site sans cliquer sur le bandeau et photographiez l’état du stockage : relevez les noms des cookies, leurs domaines émetteurs et leurs finalités apparentes. Puis cliquez sur le bouton de refus — ou suivez le parcours de refus imposé en comptant chaque clic — et capturez cet écran avec la date et l’heure visibles. Rechargez ensuite la page, visitez deux ou trois pages internes, et relevez à nouveau le stockage : les traceurs qui subsistent ou réapparaissent malgré votre refus sont le cœur du manquement. Exportez le journal réseau filtré sur les domaines tiers pour montrer les transmissions vers les régies. Conservez les en-têtes montrant les identifiants envoyés. Enregistrez une courte vidéo de l’ensemble si possible : un film continu du chargement, du clic de refus et du stockage persistant vaut mieux qu’une série de captures contestées.

Complétez ce dossier de preuves par trois éléments juridiques. D’abord, la version exacte du bandeau : texte du premier niveau, boutons proposés, aspect comparé de l’acceptation et du chemin de refus, lien vers la politique de cookies, liste des finalités et des partenaires si elle est accessible. Ensuite, l’historique de la relation : date de votre premier refus, sollicitations répétées, éventuelle impossibilité de retirer votre accord, captures des écrans successifs. Enfin, les conséquences : publicités ciblées reçues après le refus, messages de prospection liés aux partenaires du site, ralentissements ou profilage ressenti. Ce troisième volet prépare l’évaluation du préjudice : le dépôt forcé n’est pas seulement une irrégularité abstraite, c’est une collecte et souvent une diffusion de vos données de navigation à des tiers que vous aviez explicitement écartés.

Sur cette base, adressez une mise en demeure au responsable du site — l’éditeur identifié dans les mentions légales — en recommandé avec accusé de réception ou par tout moyen conférant date certaine. Exigez quatre engagements sous un délai précis de quinze jours : la cessation immédiate de tout dépôt et de toute lecture de traceurs non exemptés sans votre accord ; l’effacement des données déjà collectées sur le fondement du prétendu consentement et la justification de la transmission d’instructions d’effacement aux partenaires destinataires ; la mise en conformité du bandeau avec un refus d’une simplicité égale à l’acceptation et un mécanisme de retrait accessible en permanence ; la communication des mesures correctives et de la preuve du nouveau recueil. Rappelez que « Dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant » et que vous contestez tout accord valable. Joignez vos captures essentielles, pas l’intégralité du journal : la mise en demeure doit être lisible et ferme, le dossier complet restant disponible pour la Commission et le juge.

Le fondement de l’effacement est solide. Le règlement ouvre « le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant » quand, notamment, « la personne concernée retire le consentement sur lequel est fondé le traitement » et qu’« il n’existe pas d’autre fondement juridique au traitement ». Or un dépôt opéré sans accord valable ne repose sur aucun fondement : le consentement fait défaut et aucun autre fondement — intérêt légitime, contrat, obligation légale — ne peut couvrir des traceurs publicitaires que le droit subordonne à votre accord. L’effacement porte sur les données stockées chez l’éditeur et, quand l’éditeur les a transmises, sur l’obligation d’informer les destinataires pour qu’ils effacent à leur tour les copies et les liens. Si le site vous oppose un intérêt légitime à la mesure d’audience ou à la publicité, répondez par la hiérarchie des textes : pour les traceurs soumis à l’article 82, seul votre accord vaut fondement, et l’intérêt légitime ne s’y substitue pas. Cette articulation entre l’effacement et l’absence de fondement distingue utilement votre demande d’une simple préférence : c’est l’illicéité du traitement qui commande l’effacement, pas votre seul inconfort. Devant le juge, l’effacement et l’injonction font l’objet d’une appréciation concrète : dans un arrêt du 14 février 2018 sur le déréférencement, la première chambre civile rappelle que « la juridiction saisie d’une demande de déréférencement est tenue de porter une appréciation sur son bien-fondé et de procéder, de façon concrète, à la mise en balance des intérêts en présence ». Une demande d’effacement précise, documentée et ciblée sur des traceurs identifiés satisfait cette exigence ; une injonction générale et automatique serait en revanche écartée.

Quand la prospection suit le dépôt forcé, un second fondement renforce votre dossier. La Commission rappelle que le responsable d’un démarchage commercial par voie électronique doit respecter le principe du consentement préalable posé par le code des postes et des communications électroniques et qu’il doit pouvoir rapporter la preuve d’un consentement valable de l’internaute (voir les questions-réponses de la Commission sur les traceurs). Si, après votre refus, vous recevez des messages commerciaux des partenaires du site, conservez-les avec leurs en-têtes : ils démontrent la chaîne complète — dépôt forcé, transmission à des tiers, exploitation commerciale sans accord. Cette chaîne aggrave le manquement et nourrit le préjudice : vos données de navigation ont circulé et servi à vous solliciter alors que vous aviez dit non. Les lecteurs confrontés à une prospection qui se poursuit malgré un compte fermé trouveront dans l’analyse des conservations et de l’effacement après fermeture de compte le prolongement naturel de cette démonstration, car les deux situations reposent sur la même logique : sans accord valable, la conservation et l’exploitation doivent cesser et les données doivent être effacées.

Restez rigoureux sur le champ du litige. Ne transformez pas un dépôt de cookies en contentieux de réputation ou de propriété intellectuelle : le terrain est celui de la protection des données et du consentement, avec ses textes, sa Commission et ses sanctions propres. Ne présentez pas une simple recommandation comme une obligation : les lignes directrices s’imposent dans leur rappel du droit, tandis que la recommandation propose des modalités pratiques dont le site peut s’écarter s’il garantit un résultat équivalent — mais le résultat, lui, est obligatoire : un refus d’une simplicité égale à l’acceptation et aucun dépôt sans accord. Ne confondez pas non plus les traceurs nécessaires, qui ne requièrent pas d’accord, et les traceurs soumis au consentement : votre mise en demeure gagne en crédibilité quand elle liste précisément les traceurs contestés, domaine par domaine, au lieu de demander la suppression de tout le stockage y compris le panier et l’authentification. Cette précision fait la différence entre un signalement exploitable et une plainte vague.

B. Saisir la Commission, faire sanctionner et demander réparation au juge

Si la mise en demeure reste sans réponse ou si le site persiste, saisissez la Commission. Le règlement ouvre à « toute personne concernée » le « droit d’introduire une réclamation auprès d’une autorité de contrôle », en particulier dans l’État de votre résidence ou du lieu de la violation. En France, la plainte se dépose en ligne auprès de la Commission, après — sauf urgence — une démarche préalable auprès du responsable du site : votre mise en demeure restée vaine remplit cette condition. Joignez un dossier structuré : identité du site et mentions légales, description du parcours daté (nombre de clics pour accepter contre nombre de clics pour refuser, captures du bandeau), preuves du dépôt avant choix et malgré refus (états du stockage, journaux réseau, vidéo), copie de la mise en demeure et de la réponse éventuelle, liste des traceurs tiers identifiés, conséquences constatées. Demandez expressément la constatation des manquements à l’article 82 et aux articles 4 et 7 du règlement, l’injonction de mise en conformité sous astreinte et, si les faits le justifient, une sanction. La Commission peut contrôler sur place et en ligne, mettre en demeure publiquement, prononcer des injonctions et des amendes, et publier ses décisions : vos pièces techniques déterminent la rapidité de l’instruction.

Le pouvoir de sanction de la Commission repose sur des bases solides. Le Conseil constitutionnel a jugé qu’une autorité administrative indépendante, agissant dans le cadre de prérogatives de puissance publique, peut exercer un pouvoir de sanction dans la mesure nécessaire à l’accomplissement de sa mission, dès lors que la loi assortit ce pouvoir de garanties pour les droits et libertés (voir la décision du 12 juin 2018 sur la loi relative à la protection des données personnelles). Il a en outre validé l’articulation entre l’avertissement ou la mise en demeure du président et les sanctions de la formation restreinte, en écartant le grief de cumul inconstitutionnel. Concrètement, la mise en demeure que vous appelez de vos vœux dans votre plainte constitue l’antichambre normale de la sanction : le site est d’abord sommé de se conformer sous délai, puis la formation restreinte peut prononcer injonction et amende en cas de persistance. Cette gradation explique la méthode des vagues de mises en demeure décrites plus haut et la fermeté des sanctions prononcées contre les organismes récalcitrants.

Votre plainte individuelle rejoint un contentieux de masse que la Commission traite par vagues. Les campagnes rappelées plus haut — une soixantaine de mises en demeure puis une trentaine de nouvelles — montrent que le grief du refus compliqué est instruit de manière standardisée : la Commission compare les parcours, vérifie la symétrie des boutons, constate les dépôts avant accord et sanctionne les écarts. Citer ces vagues dans votre plainte n’est pas de la rhétorique : c’est situer votre cas dans une grille de lecture que l’autorité applique déjà. Précisez en quoi votre parcours reproduit le schéma sanctionné — acceptation en un clic, refus en deux écrans, dépôt avant choix — et en quoi il l’aggrave éventuellement — recréation d’identifiants après suppression, transmission à des dizaines de partenaires, refus sans effet après plusieurs tentatives. Quand le site appartient à un groupe déjà mis en demeure ou sanctionné sur ce thème, mentionnez-le : la réitération pèse dans l’appréciation de la gravité.

Parallèlement à la voie administrative, la voie judiciaire permet d’obtenir la cessation et la réparation. Le règlement dispose que « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ». Le dépôt forcé de traceurs cause d’abord un préjudice moral : perte de contrôle sur vos données de navigation, sentiment d’être surveillé malgré un refus explicite, temps consacré à configurer, effacer et réclamer. Il peut causer un préjudice matériel : prospection non sollicitée, surfacturation de services, décisions de ciblage — offres, prix, contenus — fondées sur un profil constitué sans accord. Chiffrez ces postes avec des pièces : factures, relevés, captures des sollicitations, attestation du temps passé, constats techniques quand l’enjeu le justifie. Demandez au juge l’injonction de cesser tout dépôt sans accord, l’effacement sous astreinte et la réparation : même quand les montants restent modérés à titre individuel, la condamnation porte une injonction qui protège tous les visiteurs et une indemnité qui reconnaît la violation de votre autonomie.

La Cour de cassation a récemment précisé les conditions de cette réparation sur le fondement de l’article 82 du règlement. Dans un arrêt du 24 juin 2026, la chambre sociale rappelle, en visant la jurisprudence de la Cour de justice, que « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation ». La victime « est tenue d’établir non seulement la violation de dispositions de ce règlement, mais également que cette violation lui a causé un dommage matériel ou moral ». En revanche, aucune condition de gravité minimale du préjudice ne peut être exigée, et les juges nationaux « doivent appliquer les règles internes de chaque État membre relatives à l’étendue de la réparation pécuniaire », laquelle « doit permettre de compenser intégralement le préjudice concrètement subi ». Appliqué aux cookies, cet enseignement est direct : ne vous contentez pas de démontrer le dépôt malgré le refus, démontrez aussi ce qu’il vous a coûté — temps passé, sollicitations subies, profil diffusé — avec des pièces datées. Un dossier qui chiffre chaque poste selon les règles internes de la réparation intégrale obtient l’indemnité ; un dossier qui se borne à invoquer la violation risque le rejet, comme l’employeur de l’espèce qui avait été condamné sans que le salarié démontre l’existence ni l’étendue de son préjudice.

L’action peut viser l’éditeur seul ou, quand l’enjeu le justifie, l’éditeur et les tiers destinataires en responsabilité conjointe, puisque la Commission regarde les éditeurs qui autorisent des dépôts lus par des régies comme des responsables conjoints dès lors qu’ils déterminent ensemble les finalités et les moyens des opérations sur votre terminal (voir la présentation de la Commission sur ce que dit la loi). Cette construction permet de remonter la chaîne : l’éditeur qui a laissé ses partenaires déposer malgré votre refus répond avec eux, et le juge peut répartir la charge indemnitaire entre coauteurs. En pratique, viser l’éditeur suffit souvent : il est identifié, solvable et en mesure d’ordonner à ses partenaires la coupure des collectes et l’effacement des données transmises. Réservez l’assignation des tiers aux dossiers où les flux sont massifs et documentés — dizaines de partenaires, transmissions continues, préjudice caractérisé — car chaque défendeur supplémentaire allonge l’instruction et exige des constats individualisés.

Anticipez les défenses classiques. Le site plaidera le traceur strictement nécessaire : exigez la démonstration finalité par finalité et rappelez que la publicité et le partage avec des régies n’entrent jamais dans l’exemption. Il plaidera l’erreur ponctuelle ou le dysfonctionnement de la plateforme de gestion du consentement : opposez la répétition — dépôts constatés sur plusieurs jours, après plusieurs refus, sur plusieurs pages — et l’absence de registre de consentement probant, alors que tout acteur qui se prévaut d’un consentement doit pouvoir en rapporter la preuve (voir la présentation de la Commission sur ce que dit la loi). Il plaidera votre consentement implicite par la poursuite de la navigation : opposez l’arrêt Planet49, selon lequel le silence, les cases cochées par défaut et l’inactivité ne valent jamais consentement, et le fait que votre refus explicite exclut toute présomption. Il plaidera la recommandation comme simple guide : répondez que le résultat est obligatoire — un refus d’une simplicité égale à l’acceptation et aucun dépôt sans accord — et que son parcours ne l’atteint pas. Chacune de ces réponses s’appuie sur une source officielle que vous citez dans vos écritures, pas sur un commentaire doctrinal.

N’oubliez pas l’articulation avec la prospection et la conservation. Quand le dépôt forcé alimente des messages commerciaux, la preuve du consentement à la prospection fait défaut du même coup, et la Commission exige du prospecteur la démonstration d’un consentement valable de l’internaute (voir les questions-réponses de la Commission sur les traceurs). Quand les données collectées sont conservées des mois après votre refus et votre demande d’effacement, le manquement initial se double d’une violation du droit à l’effacement, puisque les données auraient dû être effacées dans les meilleurs délais dès lors que vous aviez retiré tout accord et qu’« il n’existe pas d’autre fondement juridique au traitement ». Cette gradation — dépôt sans accord, transmission sans accord, conservation malgré opposition — structure vos demandes : cessation, effacement en cascade chez les partenaires, sanction administrative et réparation judiciaire. Elle évite aussi l’écueil du préjudice symbolique : chaque étage ajoute une pièce et un poste de préjudice, du temps perdu à la diffusion non maîtrisée de votre profil de navigation.

En pratique, agissez vite mais dans l’ordre : preuves techniques le jour même, mise en demeure dans la semaine, plainte à la Commission à l’expiration du délai, action judiciaire quand le préjudice ou la persistance le commande. Ne laissez pas le site effacer vos preuves en modifiant son bandeau : vos captures datées figent la version fautive, et la mise en conformité ultérieure n’efface ni les manquements passés ni votre droit à réparation. Conservez les originaux — fichiers, journaux, accusés — jusqu’à l’issue complète, car la Commission et le juge statuent sur pièces et la charge de démontrer un accord valable pèse sur le site, pas sur vous.

Votre clic de refus n’est pas un vœu : c’est un ordre que le site doit exécuter. Le droit européen exige un accord libre, spécifique, éclairé et univoque avant tout dépôt non nécessaire, la Commission impose un refus d’une simplicité égale à l’acceptation, la Cour de justice refuse tout consentement présumé, et le règlement vous ouvre la plainte et la réparation. Face à un bandeau qui ignore votre choix, la méthode tient en quatre gestes : prouver le dépôt avec votre navigateur, exiger par écrit la cessation et l’effacement, saisir la Commission avec un dossier structuré, et demander au juge l’injonction et l’indemnité. Documenté ainsi, un simple refus ignoré devient un dossier solide, adossé aux textes et aux vagues de sanctions qui ont déjà condamné ces pratiques.

Besoin d’un avis rapide sur votre dossier

Vous rencontrez un refus de cookies ignoré ou un dépôt de traceurs malgré votre opposition en matière de numérique et données personnelles. Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier et vous indique la marche à suivre. Consultation téléphonique : 80 EUR TTC. Joignez le cabinet au 06 46 60 58 22 ou écrivez via la page formulaire de contact.