Vous ouvrez un article de presse, et l’écran se fige : pour lire la suite, il faut cliquer sur « Tout accepter ». Aucun bouton « Tout refuser » au même niveau, seulement un lien discret « Personnaliser » qui ouvre trois sous-menus. Sur un site marchand, le bandeau promet que refuser n’empêche pas d’acheter, mais le bouton de refus reste introuvable et chaque visite réaffiche la même demande. Sur votre messagerie, des publicités prennent la forme de courriels glissés entre vos messages, sans que vous ayez donné votre accord. Ces scènes relèvent toutes d’une même question : un site peut-il conditionner l’accès à ses contenus ou à ses services au dépôt de traceurs publicitaires sur votre terminal ?
La réponse du droit européen et français est exigeante pour les éditeurs. Le dépôt et la lecture de traceurs nécessitent en principe un consentement préalable, libre, spécifique, éclairé et univoque, et le refus doit être aussi simple que l’acceptation. La Commission nationale de l’informatique et des libertés (CNIL) contrôle ces pratiques et sanctionne lourdement : le 1er septembre 2025, elle a infligé à Google des amendes d’un montant total de 325 millions d’euros, d’une part pour des publicités affichées entre les courriels des utilisateurs de Gmail sans leur accord, d’autre part pour des traceurs déposés lors de la création d’un compte Google sans consentement valable. Cette décision, qui s’ajoute à des sanctions déjà prononcées contre les mêmes sociétés en 2020 et en 2021 pour des manquements en matière de traceurs, montre que le bandeau de cookies n’est pas un décor : c’est un objet de conformité, de preuve et de contentieux.
Cet article explique d’abord dans quels cas un site doit recueillir votre accord avant de déposer des traceurs et ce qu’est un consentement valable, puis comment réagir face à un bandeau trompeur ou à un accès bloqué : rassembler les preuves, exercer vos droits, saisir la CNIL et, le cas échéant, demander réparation au juge. Il s’adresse aux internautes confrontés à ces pratiques comme aux éditeurs de sites qui veulent sécuriser leur bandeau.
I. Le site doit obtenir votre accord avant de déposer des traceurs, sauf exceptions limitées
A. Un consentement préalable, libre, spécifique, éclairé et univoque
Le régime des cookies et autres traceurs repose sur deux couches de règles qui se cumulent : la directive dite « ePrivacy » pour l’accès au terminal, et le règlement général sur la protection des données (RGPD) dès lors que des données personnelles sont traitées. L’article 5, paragraphe 3, de la directive 2002/58/CE pose le principe, rappelé par la CNIL : le dépôt et la lecture de traceurs exigent en principe l’information claire et complète de l’utilisateur puis son accord préalable, avant tout stockage sur son terminal ou tout accès aux informations qui s’y trouvent déjà. En droit français, ce principe est transposé à l’article 82 de la loi du 6 janvier 1978 dite Informatique et Libertés : l’utilisateur doit être informé de manière claire et complète, puis donner son accord, car « Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement ».
Le consentement n’est pas une simple formalité. Le RGPD le définit à son article 4, paragraphe 11, comme toute manifestation de volonté, libre, spécifique, éclairée et univoque, exprimée par une déclaration ou un acte positif clair (présentation du RGPD par la CNIL). Chacun de ces adjectifs compte. Le consentement est libre quand la personne dispose d’un véritable choix, sans contrainte ni conséquence négative démesurée en cas de refus. Il est spécifique quand il est donné finalité par finalité : accepter la mesure d’audience ne vaut pas accepter la publicité ciblée, et accepter les traceurs d’un partenaire ne vaut pas accepter ceux de cinquante autres. Il est éclairé quand l’information précède le choix : qui dépose quoi, pour quelles finalités, pendant combien de temps, avec quels destinataires. Il est univoque quand il résulte d’un acte positif clair, et non d’un silence, d’une inaction ou d’une case pré-cochée.
La Cour de justice de l’Union européenne l’a jugé sans détour dans l’arrêt dit Planet49 du 1er octobre 2019 (affaire C-673/17) : le consentement doit procéder d’un comportement actif de l’utilisateur. La Cour juge que le consentement suppose un comportement actif de l’utilisateur et qu’une case cochée par défaut, que l’internaute devrait décocher pour refuser, ne satisfait pas cette exigence (CJUE, 1er octobre 2019, C-673/17, Planet49). Le considérant 32 du RGPD le confirme le confirme : ni le silence, ni les cases cochées par défaut, ni l’inactivité ne valent consentement (présentation du RGPD par la CNIL). Concrètement, un bandeau qui dépose des traceurs publicitaires dès l’affichage de la page, avant tout clic, ou qui interprète la poursuite de la navigation comme un accord, ne recueille aucun consentement valable.
Le principe du consentement préalable connaît toutefois des exceptions étroites, que la CNIL détaille sur sa page consacrée au cadre applicable. Sont dispensés d’accord les traceurs qui ont pour finalité exclusive de permettre ou de faciliter la communication électronique, comme ceux qui conservent le choix exprimé sur les cookies lui-même, ainsi que ceux qui sont strictement nécessaires à la fourniture d’un service expressément demandé par l’utilisateur, comme le panier d’achat, l’authentification à un espace personnel ou l’équilibrage de charge. Certains traceurs de mesure d’audience peuvent également être exemptés, mais à des conditions cumulatives strictes : finalité limitée à la mesure statistique, absence de croisement avec d’autres traitements, anonymisation ou garanties équivalentes, durée de conservation réduite. Dès qu’un traceur sert la publicité, la personnalisation des contenus, le partage vers des réseaux sociaux ou l’analyse comportementale revendue à des partenaires, l’exemption disparaît et le consentement redevient obligatoire. L’éditeur qui invoque une exemption doit être prêt à la démontrer, finalité par finalité, car c’est lui qui supporte la charge de la preuve.
Cette charge de la preuve est un point central du dispositif. L’article 7, paragraphe 1, du RGPD fait peser la preuve du consentement sur le responsable du traitement, qui doit pouvoir démontrer que la personne concernée a donné son accord. La CNIL en tire la conséquence opérationnelle dans ses lignes directrices sur les cookies et autres traceurs : les organismes qui exploitent des traceurs doivent pouvoir justifier à tout moment, preuves à l’appui, que le consentement recueilli était bien libre, éclairé, spécifique et univoque, comme l’exigent les lignes directrices de la CNIL sur les cookies et autres traceurs. Conserver le journal des consentements, avec la date, l’heure, le texte présenté, les finalités acceptées et la version du bandeau, n’est donc pas une option : c’est la condition pour se défendre en cas de contrôle. Symétriquement, la CNIL suggère aux éditeurs de conserver aussi la trace des refus pendant une certaine durée, afin de ne pas solliciter l’internaute à chacune de ses visites. Pour l’utilisateur qui conteste, cette exigence est une arme : face à un éditeur incapable de produire la preuve d’un accord valable, le manquement est établi.
B. Refuser doit être aussi simple qu’accepter : murs de traceurs, interfaces trompeuses et consentement biaisé
Le consentement n’est libre que si le refus est réel et simple. La CNIL l’exprime comme une règle d’ergonomie juridique dans sa foire aux questions sur les traceurs : refuser doit rester aussi simple qu’accepter. Le refus doit pouvoir résulter soit du silence de l’internaute qui ferme le bandeau sans choisir, soit d’une action aussi simple que celle qui permet d’accepter, typiquement un bouton « Tout refuser » placé au même niveau que le bouton « Tout accepter ». Un parcours qui impose d’accepter en un clic mais exige de refuser en ouvrant trois fenêtres successives, en décochant une à une des dizaines de finalités ou des centaines de partenaires, fausse le choix par construction. Les interfaces qui orientent la décision par le design, boutons « Tout accepter » surlignés face à un lien de refus en gris pâle, cases de personnalisation enfouies, formulations qui culpabilisent ou qui présentent l’acceptation comme nécessaire au fonctionnement du site, relèvent des mêmes griefs. Depuis octobre 2023, Google lui-même a fini par ajouter, dans le parcours de création de compte, un bouton permettant de refuser aussi facilement que d’accepter les traceurs publicitaires, sans que cela suffise à régulariser l’ensemble : la CNIL a constaté que le défaut d’un consentement éclairé persistait, les utilisateurs n’étant pas clairement informés que l’accès aux services était conditionné au dépôt de traceurs à finalité publicitaire.
La question la plus disputée reste celle des « murs de traceurs », ou cookie walls : l’éditeur bloque l’accès au site ou à l’application tant que l’utilisateur n’a pas accepté les traceurs. Le Conseil d’État a tranché le cadre en 2020. Saisi des lignes directrices de la CNIL du 4 juillet 2019, il a annulé, par sa décision du 19 juin 2020 n° 434684 (texte sur Légifrance), le passage qui énonçait une interdiction générale et absolue de cette pratique. La Haute juridiction a estimé que la CNIL ne pouvait déduire une telle interdiction générale des seuls textes, et que la licéité d’un mur de traceurs s’apprécie au cas par cas, au regard notamment de l’existence d’alternatives réelles proposées à l’utilisateur et des conséquences attachées au refus. Cette annulation partielle n’est donc pas un blanc-seing : elle déplace le contrôle vers l’examen concret. Un site d’information qui bloque tout accès sans proposer d’alternative, par exemple un abonnement ou une version sans traceurs, prend un risque élevé, car le consentement extorqué sous contrainte d’accès n’est pas libre. À l’inverse, un éditeur qui propose un choix effectif entre accepter les traceurs, souscrire une offre payante équivalente ou accéder à une version limitée sans suivi personnalisé se place sur un terrain plus solide, à condition que l’information soit loyale et que les trois branches de l’alternative soient réelles et équivalentes en contenu essentiel.
Dans le prolongement des murs de traceurs, la CNIL a engagé une réflexion publique sur le modèle dit « consentir ou payer », qui subordonne l’accès sans traceurs publicitaires au paiement d’un abonnement. Sans interdire le modèle par principe, l’autorité examine notamment si le prix demandé est raisonnable, si l’offre payante est équivalente en contenu, si l’utilisateur est correctement informé et si le consentement reste effectif. Pour un éditeur, proposer une telle alternative ne dispense d’aucune autre obligation : bandeau conforme, information complète, retrait simple, preuve du consentement. Pour l’utilisateur, l’existence d’une alternative payante n’éteint pas ses droits si le parcours d’acceptation reste biaisé ou si l’information est trompeuse.
Un angle souvent négligé concerne les traceurs déposés par des outils américains de mesure d’audience ou de publicité, au premier rang desquels Google Analytics. Au-delà du consentement, ces outils impliquent fréquemment un transfert de données vers les États-Unis, soumis à un régime propre : garanties appropriées, information des personnes, analyse des risques d’accès par les autorités du pays tiers. La CNIL a sanctionné à plusieurs reprises des organismes français pour avoir maintenu Google Analytics sans garanties suffisantes après l’invalidation du Privacy Shield. Si votre site recourt à de tels outils, la mise en conformité doit traiter ensemble le bandeau de consentement et le transfert international, car un consentement même régulier ne couvre pas un transfert dépourvu de garanties. Ce point est développé dans notre analyse consacrée aux transferts de données vers les États-Unis via un prestataire cloud et à leur régularisation devant la CNIL, qui détaille les clauses, les mesures complémentaires et la documentation à réunir.
II. Face à un bandeau non conforme, prouver, saisir la CNIL et demander réparation
A. Constituer la preuve, exercer vos droits et mettre l’éditeur en demeure
La première étape consiste à figer ce que vous voyez. Le contentieux des cookies se joue sur l’interface : un bandeau sans bouton de refus au premier niveau, un refus plus compliqué que l’acceptation, des traceurs déposés avant tout choix, un mur bloquant l’accès. Réalisez des captures d’écran datées de l’ensemble du parcours, page d’arrivée avec le bandeau, absence de bouton de refus au premier niveau, nombre de clics nécessaires pour refuser, liste des finalités et des partenaires pré-activés, blocage éventuel de l’accès. Conservez l’adresse exacte des pages, la date et l’heure, le navigateur utilisé. Si vous disposez des outils, exportez la liste des cookies déposés avant tout clic et après refus, ainsi que les requêtes vers des tiers publicitaires. Ces éléments établissent les faits que l’éditeur devra contredire avec son propre journal de consentement, qu’il est tenu de produire.
Exercez ensuite vos droits directement auprès de l’éditeur du site, qui est responsable du traitement. Le RGPD vous ouvre plusieurs leviers. Vous pouvez retirer votre consentement à tout moment, et l’article 7, paragraphe 3, du RGPD garantit un retrait aussi simple que le consentement : un site qui permet d’accepter en un clic doit permettre de retirer en un geste équivalent, par exemple depuis un lien permanent de gestion des cookies en pied de page. Vous pouvez demander l’accès aux données collectées via les traceurs, leur effacement et l’opposition à la prospection. Adressez une demande écrite, précise et datée au responsable du site, en identifiant le traitement en cause, par exemple les traceurs publicitaires déposés lors de votre visite du 12 octobre, et en joignant vos captures. L’éditeur doit répondre dans un délai d’un mois en principe. Son silence ou une réponse évasive nourrira la suite.
Saisissez ensuite la CNIL. Le RGPD ouvre à toute personne concernée le droit d’introduire une réclamation auprès d’une autorité de contrôle, via la plainte en ligne auprès de la CNIL si elle estime que le traitement de ses données constitue une violation du règlement. La plainte en ligne doit être précise : identité de l’éditeur, adresse du site, description du parcours non conforme, captures jointes, copie de votre demande préalable à l’éditeur et de sa réponse ou de son silence. La CNIL ne traite pas chaque plainte par une sanction individuelle : elle instruit, contrôle, met en demeure et, le cas échéant, sanctionne. Votre dossier a d’autant plus de poids qu’il est documenté et qu’il rejoint, le cas échéant, des plaintes similaires, comme celle de l’organisation NOYB qui a conduit à la sanction Google de 2025 après des contrôles menés entre 2022 et 2023. Conservez le récépissé de plainte et toute la correspondance : ces pièces démontreront au juge la persistance du manquement.
En parallèle, mettez l’éditeur en demeure par écrit de se conformer : cesser tout dépôt de traceurs sans consentement préalable, installer un bouton de refus au même niveau que l’acceptation, permettre un retrait simple et permanent, purger les données collectées sans base légale et justifier des garanties pour les transferts éventuels. Fixez un délai raisonnable, de quinze jours à un mois, et annoncez les suites : plainte CNIL déjà déposée, action en cessation et en réparation. Cette mise en demeure interrompt les discussions informelles, fait courir les délais et établit la mauvaise foi en cas d’inaction. Pour un professionnel dont le site est en cause, recevoir une telle mise en demeure est le signal d’un audit immédiat : journal des consentements, paramétrage de la plateforme de consentement, liste des traceurs réellement déposés, contrats avec les prestataires publicitaires, mentions d’information.
B. Sanctions de la CNIL et réparation devant le juge
La CNIL dispose de pouvoirs gradués : rappel à l’ordre, injonction de mise en conformité sous astreinte, amende administrative. Le RGPD exige des amendes effectives, proportionnées et dissuasives (échelle des sanctions rappelée par la CNIL), en tenant compte de la nature, de la gravité et de la durée de la violation, du nombre de personnes concernées, du caractère délibéré ou négligent et des mesures prises pour atténuer le dommage. La sanction prononcée contre Google le 1er septembre 2025 illustre l’échelle atteinte : 200 millions d’euros à l’encontre de Google LLC et 125 millions d’euros à l’encontre de Google Ireland Limited, soit 325 millions au total, calculés sur les seuls utilisateurs résidant en France. Le premier grief portait sur des publicités affichées entre les courriels des onglets « Promotions » et « Réseaux sociaux » de Gmail sans le consentement requis pour la prospection électronique, en violation de l’article L. 34-5 du code des postes et des communications électroniques, qui interdit la prospection directe adressée à une personne « qui n’a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen ». Le second grief portait sur le dépôt de traceurs publicitaires lors de la création d’un compte Google sans consentement libre et éclairé, en violation de l’article 82 de la loi Informatique et Libertés. La formation restreinte a assorti les amendes d’une injonction de régulariser sous six mois, sous astreinte de 100 000 euros par jour de retard et par société. Elle a retenu que le manquement sur les traceurs concernait plus de 74 millions de comptes, dont 53 millions avaient vu s’afficher les publicités litigieuses, et souligné la négligence des sociétés alors qu’elles avaient déjà été sanctionnées en 2020 et en 2021 pour des manquements en matière de traceurs. Cette décision est publique et peut être invoquée comme précédent de place : elle fixe le standard du consentement exigible et le niveau de sanction encouru.
La sanction administrative ne vous indemnise pas : pour obtenir réparation, il faut agir devant le juge. Le RGPD vous donne deux fondements complémentaires. D’une part, chaque personne concernée dispose, selon le RGPD, d’un recours juridictionnel effectif lorsqu’elle estime que ses droits ont été violés, et l’action peut être portée devant les juridictions de l’État membre de votre résidence habituelle. D’autre part, toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement peut en obtenir réparation auprès du responsable du traitement ou du sous-traitant. Le préjudice moral est donc réparable en tant que tel : profilage publicitaire subi pendant des mois, sentiment de surveillance, perte de contrôle de ses données, démarches répétées pour faire respecter un refus ignoré. Son évaluation relève du juge, au vu des pièces : durée du manquement, nombre de traceurs et de partenaires, sensibilité des données inférées, persistance après mise en demeure, suites données à la plainte CNIL. L’action en réparation se prescrit par «Les actions personnelles ou mobilières se prescrivent par cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer», conformément à l’article 2224 du code civil : conservez les preuves dès le premier constat, car le délai court à partir de la connaissance des faits.
Devant le tribunal judiciaire, vos demandes peuvent combiner la cessation de l’illicite sous astreinte, par exemple la mise en place d’un bouton de refus au premier niveau et la purge des données collectées sans consentement, et l’indemnisation du préjudice matériel et moral. L’éditeur se défendra en produisant son journal des consentements, ses mentions d’information et le paramétrage de sa plateforme : s’il ne peut démontrer un accord valable, préalable et spécifique, sa position est fragile, puisque la charge de la preuve lui incombe. Les décisions de la CNIL, même prononcées contre d’autres sociétés, éclairent le tribunal sur le standard de conformité applicable et sur la gravité des pratiques. Lorsque le litige oppose un consommateur à un professionnel, les règles protectrices du code de la consommation et la clause éventuellement abusive qui conditionnerait un service au consentement publicitaire pourront être discutées en complément du RGPD, selon les faits.
Sur le terrain du droit commun, trois fondements complètent le RGPD. L’article 9 du code civil dispose que «Chacun a droit au respect de sa vie privée», ce qui autorise le juge à prescrire toute mesure propre à faire cesser l’atteinte, en plus de la réparation. L’article 1240 du code civil rappelle que «Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » : le dépôt de traceurs sans consentement, documenté par vos constats, caractérise la faute. Enfin, face à un bandeau qui trompe l’internaute sur la portée de ses choix, l’article L. 121-1 du code de la consommation, qui interdit les pratiques commerciales déloyales, peut être invoqué lorsque le site s’adresse à des consommateurs.
Pour les éditeurs de sites, la conformité se construit en cinq chantiers. D’abord, cartographier les traceurs réellement déposés, y compris ceux des lecteurs vidéo, boutons sociaux, outils statistiques et régies : l’inventaire déclaré doit correspondre à la réalité technique, pas à la documentation commerciale du prestataire. Ensuite, configurer la plateforme de consentement pour qu’aucun traceur soumis à accord ne se déclenche avant le choix, avec un bouton de refus au même niveau que l’acceptation, un choix par finalité, une information complète au premier niveau et un lien de retrait permanent. Puis verrouiller les contrats avec les prestataires qui déposent leurs propres traceurs : qualification des rôles, instructions documentées, garanties pour les transferts hors Union européenne, coopération en cas d’exercice des droits. Ensuite, tenir le journal des consentements et des refus, horodatés et rattachés à la version du bandeau, et purger les données collectées sans base valable. Enfin, tester le parcours comme un utilisateur : navigation sans choix, refus en un clic, persistance du refus, retrait effectif, absence de dépôt avant consentement. Un audit annuel, après chaque refonte du site ou changement de prestataire publicitaire, évite que la conformité ne se dégrade en silence.
En conclusion, un site ne peut ni vous imposer les traceurs publicitaires comme prix de l’accès, ni interpréter votre silence comme un accord, ni rendre le refus plus difficile que l’acceptation. Le consentement doit être préalable, libre, spécifique, éclairé et univoque, prouvé par l’éditeur, et retirable aussi simplement qu’il a été donné. La sanction Google de septembre 2025 démontre que la CNIL contrôle ces exigences jusqu’aux parcours des plus grandes plateformes et sanctionne la négligence réitérée. Si vous êtes confronté à un bandeau verrouillé, à un mur de traceurs ou à des publicités imposées sans accord, documentez les faits, exercez vos droits par écrit, saisissez la CNIL et faites chiffrer votre préjudice : la cessation et la réparation sont des demandes que le juge peut ordonner ensemble. Et si vous éditez un site, traitez le bandeau pour ce qu’il est devenu : une pièce maîtresse de votre conformité, dont chaque clic, chaque refus et chaque preuve doivent être tracés.