Votre société reçoit une mise en demeure de la Commission nationale de l’informatique et des libertés parce que le bandeau cookies de votre site ne permet pas de refuser aussi simplement que d’accepter. Le courrier vise l’article 82 de la loi du 6 janvier 1978, fixe un délai d’un mois pour vous mettre en conformité et annonce, à défaut, la saisine de la formation restreinte en vue d’une sanction pécuniaire. Cette situation, devenue courante depuis les campagnes de contrôle ciblées de la CNIL, mérite une réponse méthodique : comprendre le grief, auditer chaque traceur, corriger le parcours de consentement, reconstituer la preuve et piloter le délai. La jurisprudence récente du Conseil d’État, notamment la décision du 19 juin 2026 sur la symétrie du refus, resserre l’étau autour des interfaces ambiguës et valide la lecture exigeante de l’autorité. À l’inverse, les éditeurs qui corrigent vite, documentent leurs choix et démontrent un consentement libre et éclairé sortent le plus souvent de la procédure au stade de la mise en demeure, sans sanction publique.
Ce guide pratique couvre l’ensemble du sujet : le socle légal du consentement aux traceurs, le standard concret du bouton refuser, l’audit du bandeau et de la plateforme de gestion du consentement, le régime des sanctions illustré par les montants prononcés contre des acteurs majeurs, puis les recours ouverts aux internautes, car un éditeur avisé doit mesurer l’exposition des deux côtés. Chaque affirmation déterminante renvoie au texte applicable ou à la décision citée, dans sa version vérifiée à la date de rédaction.
I. Comprendre le grief de la CNIL et le droit applicable aux traceurs
A. Le consentement préalable, libre et prouvé : article 82 et règlement général sur la protection des données
Le fondement de toute mise en demeure cookies tient en deux textes qui se cumulent. D’abord, l’article 82 de la loi du 6 janvier 1978, dans sa version en vigueur depuis le 1er juin 2019, dispose que « Tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète » de la finalité de toute lecture ou écriture sur son terminal et des moyens de s’y opposer. Le même article ajoute que « Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement ». Trois conséquences pratiques découlent de cette rédaction : l’information précède le dépôt, le consentement suit l’information, et la poursuite de la navigation ne vaut jamais consentement. Seules deux exceptions échappent à cette exigence : les traceurs dont « Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique » et ceux « Soit, est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur ». Tout le reste, mesure d’audience non exemptée, publicité, personnalisation, partage vers des réseaux sociaux, relève du consentement préalable.
Ensuite, le règlement (UE) 2016/679 du 27 avril 2016 définit ce consentement valable. Son article 4, paragraphe 11, vise toute manifestation de volonté, libre, spécifique, éclairée et univoque, exprimée par une déclaration ou par un acte positif clair ». Chacun de ces adjectifs porte une exigence de contrôle : libre signifie sans contrainte ni conditionnement de l’accès au service, spécifique suppose un consentement par finalité et non global, éclairée renvoie à l’information préalable sur l’identité du responsable et les finalités, univoque exclut les cases pré-cochées et les consentements déduits du silence. L’article 6, paragraphe 1, point a), du même règlement fait du consentement l’un des fondements qui rendent le traitement licite, et l’article 7 organise sa discipline probatoire : le responsable du traitement doit être en mesure de démontrer que la personne concernée a donné son consentement ». Cette charge de la preuve pèse sur l’éditeur du site, jamais sur le visiteur. Le même article 7 ajoute que la personne concernée a le droit de retirer son consentement à tout moment » et que il est aussi simple de retirer son consentement que de le donner ». Un site qui rend le retrait laborieux, enfoui dans trois niveaux de paramètres, méconnaît donc directement le règlement, indépendamment du bandeau initial.
L’information préalable exigée par l’article 82 se double, lorsque les traceurs traitent des données personnelles, de l’obligation de transparence du règlement européen : identité du responsable, finalités poursuivies, destinataires, durées de conservation et droits de la personne, y compris le droit de retirer son consentement et de saisir l’autorité de contrôle. Concrètement, la politique de confidentialité doit détailler chaque finalité sollicitée dans le bandeau, la durée de vie de chaque traceur et les tiers qui reçoivent les données, régies publicitaires et réseaux sociaux notamment. Les durées longues, treize mois au maximum selon la doctrine de la CNIL pour les traceurs soumis au consentement, doivent être justifiées et respectées par une suppression effective à l’échéance. Un bandeau qui renvoie vers une page générique, muette sur les destinataires réels ou sur les durées, fragilise la démonstration du caractère éclairé du consentement et fournit à la CNIL un grief supplémentaire, autonome du grief de symétrie.
La CNIL résume ce cadre sur sa page consacrée aux cookies et traceurs : le consentement doit être préalable au dépôt ou à la lecture, procéder d’un choix réel, et pouvoir être retiré simplement à tout moment. L’autorité rappelle aussi que l’éditeur doit être en mesure de prouver le recueil du consentement, ce qui suppose un journal horodaté des choix, la version du bandeau présentée et les finalités acceptées ou refusées. En pratique, la mise en demeure que vous recevez articule presque toujours les deux griefs : dépôt ou lecture avant tout choix, d’une part, et asymétrie entre accepter et refuser, d’autre part. Le premier grief se prouve par un simple contrôle technique ; le second s’apprécie à l’écran, selon la méthode validée par le juge administratif.
B. Refuser aussi simplement qu’accepter : le standard vérifié par le juge
La formule est connue : refuser les traceurs doit être aussi simple que les accepter ». La CNIL en a fait l’axe de ses campagnes de mises en demeure : une quarantaine d’acteurs mis en demeure à l’été suivant la première vague, avec un taux de mise en conformité affiché de 80 %, puis de nouvelles vagues visant des acteurs privés nationaux et internationaux ainsi que des organismes publics à fort trafic. L’autorité prévient que les organismes n’ayant pas répondu encourent des sanctions pécuniaires pouvant aller jusqu’à 2 % de leur chiffre d’affaires ». Ce plafond de 2 % correspond au régime de l’article 82, distinct du plafond de 4 % applicable aux manquements les plus graves du règlement européen.
Le Conseil d’État a précisé le contenu de cette symétrie dans sa décision du 19 juin 2026, rendue sur le recours d’une association qui contestait au contraire le caractère trop laxiste d’une illustration de la recommandation de la CNIL du 17 septembre 2020. Le juge valide l’illustration parce que « la possibilité de refuser est accessible sur le même écran et avec la même facilité que le mécanisme permettant d’exprimer le consentement et avec une taille comparable », et parce que « les termes figurant sur le lien sont clairs et explicites ». Cette décision fournit la grille d’audit que tout éditeur mis en demeure doit appliquer à son bandeau : même écran, même facilité gestuelle, taille comparable, intitulés explicites. Un lien « continuer sans accepter » relégué en haut à droite en petits caractères a été jugé acceptable dans cette illustration précise, mais seulement parce que l’ensemble des conditions était réuni ; un lien fuyant, un double clic contre un seul pour accepter, ou un bouton « tout accepter » mis en avant face à un « personnaliser » en retrait, exposent à la qualification inverse. La même décision rappelle le fondement de la doctrine de la CNIL, qui « établit et publie des lignes directrices, recommandations ou référentiels destinés à faciliter la mise en conformité des traitements » : lignes directrices modificatives du 1er octobre 2020 et recommandation du 17 septembre 2020, toujours applicables.
Quatre configurations concentrent la quasi-totalité des mises en demeure. Premièrement, l’absence de bouton refuser au premier niveau : un bandeau qui n’offre que « tout accepter » et « personnaliser » contraint le visiteur à un parcours pour refuser et rompt la symétrie. Deuxièmement, le dépôt anticipé : des traceurs publicitaires ou de mesure non exemptée sont écrits avant tout clic, parfois dès le chargement de la page ; ce grief, purement technique, se constate en quelques minutes et les éditeurs concernés ont fait l’objet de sanctions, comme l’illustrent les affaires jugées en 2022 et 2024. Troisièmement, le refus ignoré : le visiteur clique « tout refuser » mais les traceurs restent déposés ou sont redéposés à la page suivante, souvent à cause d’une plateforme de consentement mal paramétrée ou d’un marquage qui ne bloque pas réellement les scripts. Quatrièmement, le mur de traceurs : l’accès au contenu ou au service est subordonné à l’acceptation, sans alternative réelle ; la CNIL n’admet une telle contrepartie que dans des conditions étroites, avec une alternative équitable et un choix loyalement présenté. Si votre mise en demeure vise l’une de ces configurations, la correction doit porter sur le mécanisme lui-même, pas seulement sur le texte du bandeau.
Le paramétrage de la plateforme de consentement mérite une attention particulière car la plupart des refus ignorés naissent d’un déclenchement mal configuré des balises. Chaque traceur doit être associé à la finalité correspondante dans l’outil, avec un blocage effectif avant le choix : le script ne doit ni s’exécuter ni déposer quoi que ce soit tant que l’internaute n’a pas accepté la finalité concernée. Vérifiez ce blocage navigateur fermé, en navigation privée, sur les trois parcours d’entrée principaux, car un traceur bloqué sur la page d’accueil mais actif sur les pages profondes ou sur la version mobile suffit à caractériser la persistance du manquement. Testez aussi le renouvellement du choix après treize mois et le réenregistrement après modification de la liste des partenaires, deux moments où les plateformes mal réglées redéposent des traceurs sans solliciter un nouveau consentement. Enfin, contrôlez que la liste des partenaires affichée dans le second niveau correspond exactement aux destinataires réels des données : un partenaire masqué ou un intitulé générique du type prestataires techniques sans identification ruine la démonstration du consentement éclairé.
Les applications mobiles relèvent des mêmes règles : l’identifiant publicitaire du terminal et les traceurs des kits de développement intégrés aux applications sont des lectures ou écritures soumises au consentement préalable, comme l’a confirmé la sanction de 3 millions d’euros validée en 2024 contre un éditeur d’applications. L’audit doit donc couvrir le site et l’application, avec un paramétrage cohérent des deux parcours de choix.
II. Régulariser dans le délai et verrouiller la conformité durable
A. L’audit en trente jours : cartographie, plateforme de consentement, preuve et contrats
Une mise en demeure de la CNIL impartit généralement un mois pour vous conformer. Ce délai court et la réponse attendue suppose une méthode resserrée, conduite en cinq chantiers menés en parallèle. Le premier chantier est la cartographie : recenser chaque traceur déposé ou lu sur chaque parcours, ordinateur et mobile, en distinguant l’éditeur, la finalité, la durée de vie et le destinataire des données. Les outils de mesure d’audience ne sont exemptés de consentement que s’ils respectent strictement les conditions de l’exemption, notamment l’absence de croisement avec d’autres traitements et une durée limitée ; dans le doute, sollicitez le consentement. Le deuxième chantier est le parcours utilisateur : placer sur le premier écran deux boutons de même format, « tout accepter » et « tout refuser », complétés par une personnalisation par finalité accessible en un clic, sans case pré-cochée, avec un retrait du consentement aussi simple que son octroi, par exemple depuis un module persistant en pied de page. Le troisième chantier est la preuve : chaque choix doit générer un enregistrement horodaté mentionnant la version du bandeau, les finalités acceptées et refusées, et le moyen du recueil ; conservez ces journaux, car l’article 7 du règlement fait peser sur vous la démonstration du consentement. Le quatrième chantier est contractuel : la plateforme de gestion du consentement et chaque régie ou prestataire qui dépose des traceurs pour votre compte agissent comme sous-traitants ou responsables conjoints selon les cas ; le contrat doit prévoir l’objet, la durée, la nature et les finalités du traitement, les instructions documentées, la coopération aux audits et l’effacement ou la restitution en fin de contrat, faute de quoi le manquement du prestataire vous reste imputable en tant qu’éditeur. Le cinquième chantier est documentaire : inscrivez le traitement lié aux traceurs au registre des activités, actualisez la politique de confidentialité avec la liste des finalités et des destinataires, et préparez un dossier de réponse à la CNIL qui décrit, capture d’écran à l’appui, l’avant et l’après.
La réponse à la CNIL doit être écrite, datée et pièces jointes : description des corrections déployées avec leur date de mise en ligne, attestations de paramétrage de la plateforme, extraits de journaux de consentement anonymisés, et engagement de maintien. Lorsque la mise en conformité est complète dans le délai, la procédure s’éteint le plus souvent sans sanction, ce qui correspond à l’objectif affiché des campagnes : 80 % des acteurs mis en demeure s’étaient conformés lors du premier bilan public. Lorsque la correction est partielle ou tardive, la formation restreinte peut être saisie ; elle statue alors au vu de la gravité, de la durée, du nombre de personnes concernées, de la coopération et des avantages tirés du manquement. Les dirigeants d’organismes publics sont également concernés : les campagnes récentes visent aussi les sites à fort trafic du secteur public, et l’exemplarité attendue y est au moins égale.
Le registre des activités de traitement, imposé par l’article 30 du règlement, matérialise cette discipline : chaque traitement lié aux traceurs y figure avec sa base légale, ses finalités, ses destinataires, ses durées et ses mesures de sécurité. Les organismes de moins de 250 personnes ne sont pas dispensés dès lors que le traitement est régulier, ce qui est le cas d’un site qui dépose des traceurs en continu ; la dispense ne couvre que les traitements occasionnels sans risque. Parallèlement, conservez les preuves de consentement pendant la durée nécessaire à la démonstration de la conformité, avec une politique d’archivage écrite, car un journal effacé trop tôt équivaut à une absence de preuve en cas de contrôle ultérieur. Enfin, si la sanction est malgré tout prononcée, elle peut être contestée devant le Conseil d’État par un recours en annulation dans les deux mois de sa notification, sans préjudice d’une demande de sursis à exécution lorsque la publication immédiate causerait un préjudice grave et difficilement réparable ; ce recours ne suspend pas l’injonction de mise en conformité, qui continue de courir sous astreinte.
Organisez le mois imparti en trois temps. La première semaine sert au constat : capturez l’existant avant toute modification, pages, mobile et application, avec datation, car ces éléments prouveront ensuite la réalité de la correction et borneront la durée du manquement allégué. La deuxième et la troisième semaine portent le déploiement : nouveau bandeau, reparamétrage de la plateforme, purge des traceurs irrégulièrement déposés et information des partenaires. La dernière semaine est consacrée à la vérification contradictoire : faites contrôler le nouveau parcours par une personne qui n’a pas participé au chantier, rejouez les trois parcours d’entrée, vérifiez les journaux de preuve et arrêtez le dossier de réponse. Joignez à ce dossier un tableau de correspondance entre chaque grief de la mise en demeure et la correction apportée, avec sa date de mise en ligne. Une réponse qui suit cette structure démontre la coopération de l’organisme, critère que la formation restreinte prend en compte dans le sens de la clémence, tandis qu’une réponse tardive, partielle ou purement déclarative, sans pièce vérifiable, oriente vers la sanction.
Deux erreurs doivent être évitées pendant l’audit. La première consiste à confier le chantier au seul prestataire technique sans pilotage juridique : la plateforme de consentement est un outil, la qualification des finalités et la preuve relèvent de l’éditeur. La seconde consiste à corriger la page d’accueil en oubliant les sous-domaines, les applications mobiles et les lecteurs vidéo intégrés, qui déposent leurs propres traceurs et relèvent du même article 82. Un contrôle de la CNIL porte sur l’ensemble des points d’entrée, et une mise en demeure qui mentionne le site vise en pratique tout le périmètre éditorial.
B. Sanctions, plaignants et juge : mesurer l’exposition pour calibrer la réponse
Si la mise en demeure reste sans effet, la sanction encourue relève de l’article 20 de la loi du 6 janvier 1978, qui permet à la formation restreinte de prononcer « une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu ». Les plafonds sont portés à 20 millions d’euros et 4 % pour les manquements les plus graves du règlement européen, mais les griefs tirés de l’article 82 relèvent du premier niveau. La sanction peut s’accompagner d’une injonction de mise en conformité sous astreinte et d’une publication de la décision, anonymisée à l’issue d’un délai de deux ans lorsque le juge valide cette proportionnalité.
Trois décisions du Conseil d’État donnent l’échelle. Par la délibération n° SAN-2020-012 du 7 décembre 2020, la CNIL avait infligé des amendes de 60 et 40 millions d’euros à deux sociétés du groupe Google pour des manquements relatifs aux cookies sur le moteur de recherche ; le Conseil d’État, le 28 janvier 2022, a rejeté le recours : « La requête des sociétés Google LLC et Google Ireland Limited est rejetée. » La décision confirme au passage la compétence de la CNIL pour sanctionner ces traitements malgré le mécanisme de guichet unique, point qui sécurise toutes les mises en demeure postérieures. Plus tôt, la sanction de 50 millions d’euros du 21 janvier 2019, fondée sur le défaut d’information et de consentement valable, avait été validée le 19 juin 2020 par le Conseil d’État. Enfin, le 14 mai 2024, le juge a rejeté le recours d’un éditeur d’applications sanctionné de 3 millions d’euros pour un manquement à l’article 82, avec injonction « sous astreinte de 20 000 euros par jour de retard » et publication de la décision ; le Conseil d’État a estimé qu’eu égard à la gravité, aux avantages tirés et au nombre d’utilisateurs, l’amende n’était pas disproportionnée. Ces montants montrent que la taille de l’acteur ne protège pas et que l’astreinte journalière rend toute inertie coûteuse.
L’exposition ne se limite pas à la CNIL. Tout internaute qui constate un manquement peut d’abord saisir l’éditeur, qui doit répondre dans les meilleurs délais, et sous un mois maximum », puis adresser une plainte à la CNIL si la réponse fait défaut ou ne satisfait pas. Le règlement européen ouvre en outre trois voies : le toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle, le droit à un recours juridictionnel effectif contre un responsable du traitement ou un sous-traitant et le toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. Les lecteurs qui souhaitent le parcours détaillé côté plaignant peuvent se reporter à notre guide pour déposer une réclamation CNIL efficace, saisir le juge et obtenir réparation, ainsi qu’à nos analyses des cas voisins : site qui ignore le clic tout refuser et dépose les traceurs de force et traceurs déposés avant même le choix de l’internaute. Pour l’éditeur mis en demeure, cette pression croisée signifie qu’une correction incomplète alimente à la fois la procédure de sanction et des demandes indemnitaires distinctes devant le juge judiciaire, qui apprécie souverainement le préjudice.
Devant la formation restreinte, la procédure est contradictoire : l’organisme reçoit un rapport, dispose d’un délai pour observations écrites et peut être entendu en séance avant toute décision. Les moyens tirés de la compétence de la CNIL ont été systématiquement rejetés pour les griefs relevant de l’article 82, y compris dans des traitements transfrontaliers, de sorte que la défense utile porte sur la réalité des faits, la qualification des traceurs, la proportionnalité du montant et la coopération postérieure. La publicité de la sanction, qui peut être ordonnée pendant deux ans avec anonymisation à l’issue, constitue souvent un préjudice réputationnel supérieur à l’amende elle-même ; les demandes de huis clos ou d’anonymisation immédiate ne prospèrent que dans des circonstances particulières, dûment établies. Intégrez donc ce risque réputationnel dans le calcul qui conduit à investir dans la correction immédiate plutôt que dans une contestation dilatoire.
En synthèse opérationnelle, traitez la mise en demeure comme un audit imposé dont le résultat conditionne la suite de la procédure et le montant de l’éventuelle sanction : photographiez l’existant avant toute modification, corrigez le parcours et la technique, archivez la preuve de chaque consentement, encadrez vos prestataires par écrit, puis répondez dans le délai avec un dossier vérifiable. Les éditeurs qui démontrent un refus aussi simple que l’acceptation, un dépôt strictement postérieur au choix et des journaux de preuve complets rejoignent le cas validé par le Conseil d’État en juin 2026 et ferment la procédure au stade amiable. Ceux qui se contentent d’un habillage du bandeau s’exposent à la sanction pécuniaire, à l’astreinte et à la publication, outre les réclamations individuelles qui suivront. En matière de traceurs, la conformité se prouve à l’écran et dans les journaux, jamais dans les intentions : chaque jour de retard documente le manquement au lieu de le réparer.