Vous cliquez sur « tout refuser », puis vous poursuivez votre lecture. Quelques jours plus tard, des publicités ciblées sur vos dernières recherches s’affichent sur d’autres sites, et votre navigateur conserve des traceurs publicitaires que vous aviez pourtant refusés. Cette situation n’est pas une fatalité technique : lorsqu’un site dépose ou lit des traceurs malgré votre refus, il méconnaît en principe le cadre posé par le règlement général sur la protection des données, la directive vie privée et communications électroniques et l’article 82 de la loi Informatique et Libertés. La Commission nationale de l’informatique et des libertés l’exprime simplement : l’utilisateur doit pouvoir refuser avec « le même degré de simplicité » qu’accepter.
Le contentieux est nourri et les montants en jeu sont élevés. Le 1er septembre 2025, la formation restreinte de la Commission a prononcé deux sanctions restées dans les mémoires : « une amende de 150 millions d’euros » contre un acteur du commerce en ligne, et une « amende de 325 millions d’euros » contre la société Google pour des manquements incluant le dépôt de traceurs sans consentement valide, selon la présentation qu’en donne la direction des affaires juridiques du ministère de l’économie. Ces décisions montrent qu’un refus ignoré peut coûter cher à l’éditeur, et qu’il ouvre des voies de recours à l’internaute.
Cet article explique d’abord les règles que tout éditeur doit respecter avant de déposer un traceur et ce que votre clic sur « tout refuser » lui impose concrètement. Il décrit ensuite la méthode pour constater les faits, exiger l’effacement, saisir la Commission et, le cas échéant, demander réparation devant le juge.
I. Un refus qui doit produire des effets immédiats
A. Aucun traceur non essentiel sans un consentement libre, spécifique, éclairé et univoque
Le principe de départ tient en une phrase, rappelée par la Commission sur sa page de référence : tant que la personne n’a pas donné son accord, aucun cookie ne peut être déposé ni lu sur son terminal. Ce principe découle de l’article 5, paragraphe 3, de la directive du 12 juillet 2002, qui subordonne le stockage d’informations sur l’équipement de l’utilisateur, ou l’accès à des informations déjà stockées, à une « information claire et complète » sur les finalités, notamment, et au droit corrélatif de l’utilisateur de refuser. L’article 82 de la loi du 6 janvier 1978 transpose cette exigence en droit français : tout accès en lecture ou en écriture sur votre terminal, qu’il passe par des cookies, des identifiants publicitaires ou d’autres traceurs, doit en principe être précédé de votre accord, sauf s’il est strictement nécessaire au service que vous avez expressément demandé.
Sont notamment visés les traceurs liés à la publicité personnalisée et ceux des réseaux sociaux, y compris les boutons de partage qui suivent votre navigation d’un site à l’autre. À l’inverse, échappent au consentement préalable les traceurs strictement nécessaires : conservation de votre choix sur les cookies, authentification et sécurité du compte, contenu du panier d’achat, personnalisation de l’interface que vous attendez, équilibrage de charge, ou certains outils de mesure d’audience qui respectent l’ensemble des conditions fixées par la Commission. La qualification de « statistique » ou de « mesure d’audience » apposée par l’éditeur ne suffit pas, à elle seule, à écarter l’obligation de recueillir votre accord.
Le consentement ainsi exigé n’est pas une simple formalité. Le règlement européen le définit comme une manifestation de volonté libre, spécifique, éclairée et univoque, exprimée par une déclaration ou un « acte positif clair ». Quatre adjectifs structurent donc le contrôle du juge : libre, spécifique, éclairé, univoque. Le traitement n’est d’ailleurs licite, sur ce fondement, que si la personne a consenti pour une ou plusieurs « finalités spécifiques ». Concrètement, un accord global arraché en même temps que l’acceptation des conditions générales ne vaut rien : l’acceptation des « conditions générales d’utilisation » ne peut valoir recueil du consentement. De même, la poursuite de la navigation, le défilement de la page ou la simple fermeture du bandeau ne constituent pas un acte positif clair.
C’est à l’éditeur de prouver qu’il a obtenu cet accord : il appartient au responsable du traitement de démontrer que la personne a donné son accord. S’il ne conserve aucune trace du choix exprimé, ou si le parcours proposé orientait la décision, il se trouve en difficulté en cas de contrôle. La Cour de justice de l’Union européenne a fixé un jalon décisif avec son arrêt du 1er octobre 2019, Planet49 (C-673/17) : le consentement n’est pas valablement donné lorsqu’il repose sur une « case cochée par défaut » que l’utilisateur doit décocher pour refuser. La Cour ajoute que l’information due à l’utilisateur inclut la « durée de fonctionnement des cookies » ainsi que l’accès possible des tiers à ces traceurs. Un bandeau qui tait la durée de vie des traceurs ou l’identité des partenaires qui les liront repose donc sur une information incomplète.
La doctrine française s’inscrit dans cette ligne. La Commission a adopté le 17 septembre 2020 des lignes directrices complétées par une recommandation du 17 septembre 2020, qui imposent un refus d’une simplicité égale à l’acceptation. Le Conseil d’État a rejeté le recours d’un syndicat professionnel contre cette doctrine, par sa décision du 8 avril 2022, puis a validé l’illustration de bannière proposée par la Commission dans sa décision du 19 juin 2026, en retenant que la possibilité de refuser y était accessible sur le même écran et avec la même facilité que l’acceptation, avec des termes clairs et un emplacement immédiatement accessible. L’exigence n’est donc pas seulement théorique : elle s’apprécie écran par écran, bouton par bouton.
Cette obligation pèse sur plusieurs acteurs à la fois. Elle s’impose aux éditeurs de sites et d’applications, aux régies publicitaires et aux réseaux sociaux qui fournissent des modules de partage. Lorsque l’éditeur autorise le dépôt de traceurs qui seront ensuite lus par des régies, ces acteurs sont regardés comme déterminant conjointement les finalités et les moyens des opérations de lecture et d’écriture. En pratique, l’éditeur, qui dispose du contact direct avec vous, reste le premier débiteur de l’information et du recueil du choix, mais il ne peut s’exonérer en renvoyant la responsabilité vers ses partenaires techniques.
B. Ce que votre clic sur « tout refuser » impose concrètement à l’éditeur
Cliquer sur « tout refuser » n’est pas un simple avis transmis à l’éditeur : c’est l’expression d’un choix juridiquement contraignant. Dès cet instant, aucun traceur soumis au consentement ne doit être déposé sur votre terminal, et aucun traceur de cette catégorie déjà présent ne doit être lu. Si des traceurs avaient été déposés avant votre choix, par anticipation ou par erreur, l’éditeur doit tirer les conséquences de votre refus et neutraliser leur lecture. La Commission exige en outre que le retrait du consentement obéisse à la même règle : le retrait doit rester possible « à tout moment », avec une simplicité égale au consentement donné. Un site qui exigerait la création d’un compte, l’envoi d’un courrier ou une navigation dans trois sous-menus pour retirer un accord donné en un clic ne respecterait pas cette symétrie.
Le refus doit également être mémorisé. L’éditeur a l’obligation de conserver la trace du choix exprimé, puisqu’il lui appartient de démontrer le consentement lorsqu’il s’en prévaut. S’il vous repose la question à chaque page visitée, ou s’il réactive des traceurs publicitaires dès la visite suivante sans nouveau choix de votre part, ce comportement révèle soit l’absence de mémorisation du refus, soit un contournement pur et simple. Dans les deux cas, les éléments techniques que vous aurez conservés prendront toute leur importance au moment de saisir la Commission ou le juge.
Certaines présentations restent trompeuses alors même qu’un bouton de refus existe. La Commission sanctionne les parcours qui découragent le refus : bouton d’acceptation mis en avant par la couleur, la taille ou l’emplacement, lien de refus relégué dans un texte peu lisible, multiplication des fenêtres intermédiaires avant d’accéder au refus, vocabulaire culpabilisant ou ambigu. Ces interfaces manipulatrices vicient la liberté du choix, et le considérant 42 du règlement, repris par la Commission, prévient qu’un consentement obtenu sans réelle « liberté de choix », ou avec un préjudice en cas de refus, ne serait pas regardé comme librement donné. Un consentement extorqué par un parcours dissymétrique serait ainsi susceptible d’être écarté par le juge ou par la Commission.
Reste la question des sites qui subordonnent l’accès à leurs contenus à l’acceptation des traceurs, pratique parfois appelée mur de traceurs. Elle n’est pas interdite par principe, mais elle obéit à des conditions strictes : l’utilisateur doit disposer d’une compréhension complète et claire de la valeur, de la portée et des conséquences de son choix, et une alternative réelle sans suivi doit en principe lui être proposée. La direction des affaires juridiques du ministère de l’économie rappelle ainsi qu’à l’occasion de la sanction prononcée contre un grand acteur du numérique, la Commission a considéré que le consentement recueilli lors de la création d’un compte n’était pas valable dès lors que les utilisateurs étaient incités à choisir les traceurs publicitaires sans être clairement informés que l’accès aux services était conditionné à leur dépôt. Autrement dit, même derrière un mur affiché, un consentement orienté ou insuffisamment informé serait susceptible d’être invalidé.
Enfin, le refus que vous exprimez sur un site ne règle pas à lui seul le sort des données déjà transmises à des tiers. Les régies publicitaires et les partenaires qui ont lu les traceurs avant ou malgré votre refus détiennent des informations issues de votre navigation, parfois croisées avec d’autres sources pour établir un profil. C’est pourquoi la phase de constat et d’exigences écrites, décrite dans la seconde partie, vise à la fois l’éditeur du site et les tiers identifiables : faire cesser le dépôt irrégulier ne suffit pas, il faut aussi obtenir l’effacement des données indûment collectées et vous opposer à leur utilisation ultérieure. Les démarches présentées ci-après pour obtenir l’effacement de données conservées malgré la fin de la relation ou du consentement s’appliquent directement à ces tiers.
II. Faire constater, faire cesser et obtenir réparation
A. Réunir les preuves puis exiger l’effacement et l’opposition
Avant toute démarche, il faut figer ce que le site fait réellement après votre refus. Les allégations générales ne suffisent ni devant la Commission ni devant le juge : ce sont des captures datées et des constats techniques qui emportent la conviction. Commencez par filmer ou photographier, avec la date visible, le bandeau tel qu’il s’affiche lors de votre première visite, le clic sur « tout refuser » ou sur le réglage équivalent, puis l’état du bandeau après ce choix. Conservez également une copie de la politique de cookies et de la politique de confidentialité du site dans leur version du jour, car l’éditeur pourrait les modifier après votre réclamation.
Le constat technique complète ces captures. Dans les outils de développement de votre navigateur, l’onglet de stockage affiche les cookies et les données locales déposés par le site et par les domaines tiers, avec leurs finalités lorsqu’elles sont renseignées et leurs dates d’expiration. Effectuez la vérification dans une fenêtre de navigation privée, après avoir refusé les traceurs : tout cookie publicitaire ou de suivi persistant dans ces conditions constitue un indice sérieux de non-respect du refus. Renouvelez l’opération lors d’une visite ultérieure pour établir si le refus a été mémorisé ou si les traceurs réapparaissent. Notez les noms des traceurs, les domaines émetteurs et les durées affichées : la Cour de justice exige précisément que l’utilisateur soit informé de la durée de fonctionnement des cookies et de l’accès possible des tiers, de sorte que des durées de plusieurs mois ou années, invisibles au moment du choix, caractérisent une information défaillante.
Adressez ensuite des demandes écrites, d’abord à l’éditeur du site, puis aux tiers identifiables dont les domaines apparaissent dans votre constat. Trois droits se combinent utilement. Le droit d’accès vous permet d’obtenir la confirmation que des données vous concernant sont traitées, une copie de ces données et des informations sur leurs finalités, leurs destinataires et leur durée de conservation. Le droit d’effacement vous permet d’exiger la suppression des données collectées sans base légale, ce qui vise directement les informations issues de traceurs déposés malgré votre refus. Le droit d’opposition vous permet de faire cesser, pour l’avenir, tout traitement à des fins de prospection ou de profilage publicitaire. Formulez chaque demande par un écrit conservé, courriel avec accusé de réception ou lettre recommandée, en joignant une preuve d’identité strictement limitée au besoin de vérification et en décrivant précisément les faits : date et heure du refus, captures jointes, liste des traceurs constatés. Le responsable du traitement doit en principe vous répondre « dans un délai d’un mois », ce délai pouvant être prolongé de deux mois en cas de complexité, à condition de vous en informer.
Si la réponse n’arrive pas, si elle est évasive ou si elle se borne à affirmer une conformité de principe sans répondre à vos constats, adressez une mise en demeure récapitulative. Rappelez le refus exprimé, les traceurs constatés après ce refus, les demandes restées sans effet, et fixez un délai raisonnable pour obtenir l’effacement, la confirmation écrite de la mise en conformité du bandeau et l’information sur les tiers destinataires. Cette mise en demeure n’est pas une condition de recevabilité de la plainte devant la Commission, mais elle démontre votre diligence et prive l’éditeur de l’argument selon lequel il ignorait le dysfonctionnement. Conservez l’ensemble de ces échanges : ils formeront le dossier transmis à la Commission et, le cas échéant, au juge.
Un point mérite une vigilance particulière : l’exercice de vos droits ne doit pas conduire à fournir plus de données que nécessaire. Un éditeur qui exigerait une copie intégrale de votre pièce d’identité, un relevé d’identité bancaire ou des justificatifs sans rapport avec la vérification de votre identité outrepasserait son rôle. Signalez-le dans votre plainte, car une telle exigence peut constituer un manquement distinct. De même, si l’éditeur vous répond que les traceurs litigieux relèvent de la seule responsabilité de ses partenaires, rappelez-lui que la Commission le regarde comme codécideur des finalités et des moyens dès lors qu’il autorise le dépôt : le renvoi vers les tiers ne l’exonère pas.
B. Saisir la Commission puis le juge pour faire sanctionner et obtenir réparation
Lorsque les démarches amiables échouent, la plainte devant la Commission constitue la voie naturelle. Le règlement européen ouvre à toute personne le droit d’introduire une « réclamation auprès d’une autorité de contrôle », en particulier dans l’État de sa résidence habituelle, de son lieu de travail ou du lieu de la violation alléguée. En France, cette réclamation s’effectue en ligne sur le site de la Commission, après l’exercice préalable de vos droits auprès de l’organisme mis en cause : joignez vos constats datés, vos demandes écrites, les réponses reçues et votre mise en demeure. La Commission instruit les plaintes, procède à des contrôles en ligne, adresse des mises en demeure publiques puis, le cas échéant, prononce des sanctions par sa formation restreinte. L’autorité chargée de la plainte vous informe de l’état d’avancement et de l’issue de votre réclamation.
L’échelle des sanctions prononcées ces dernières années donne la mesure du risque encouru par les éditeurs récalcitrants. Le Conseil d’État a validé, par sa décision du 14 mai 2024, « une sanction pécuniaire de 3 millions d’euros à raison d’un manquement constaté au titre de l’article 82 de la loi n° 78-17 du 6 janvier 1978 », prononcée contre un éditeur d’applications mobiles qui n’avait pas recueilli le consentement des utilisateurs avant d’exploiter un identifiant technique de leurs téléphones à des fins publicitaires, avec une injonction de mise en conformité sous astreinte et la publication de la décision. Plus récemment, les délibérations du 1er septembre 2025 (SAN-2025-005 visant l’acteur du commerce en ligne, SAN-2025-004 visant les sociétés du groupe Google), présentées par la direction des affaires juridiques du ministère de l’économie, ont infligé « une amende de 150 millions d’euros » à un acteur du commerce en ligne, pour dépôt sans consentement, information incomplète et mécanismes de refus défaillants, et une « amende de 325 millions d’euros » contre la société Google pour l’affichage de publicités sans accord et le dépôt de traceurs sans consentement valide lors de la création de comptes, avec une injonction de mieux informer les utilisateurs situés en France. Ces décisions, rendues sur le fondement de l’article 82 de la loi Informatique et libertés, montrent que le dépôt de traceurs malgré le refus, l’information tronquée et le parcours de refus dissymétrique concentrent l’essentiel des griefs retenus.
La sanction administrative ne vous indemnise pas directement : pour obtenir réparation, il faut saisir le juge. Le règlement ouvre à chaque personne un « recours juridictionnel effectif » lorsqu’elle considère que ses droits ont été violés par un traitement contraire aux règles européennes. L’action peut être portée devant les juridictions de l’État membre de votre résidence habituelle : si vous résidez à Paris ou en Île-de-France, le tribunal judiciaire de votre domicile est compétent, sans que vous ayez à plaider au siège de l’éditeur. La Commission, dont le siège se trouve à Paris, reçoit quant à elle votre plainte en ligne quel que soit votre lieu de résidence, ce qui simplifie les démarches des Franciliens comme des autres justiciables.
Le fondement de la réparation combine le droit européen et le droit commun de la responsabilité. Le règlement dispose que toute personne ayant subi un dommage matériel ou moral du fait d’une violation du texte peut obtenir « réparation du préjudice subi » auprès du responsable ou du sous-traitant. Le préjudice moral, expressément visé, couvre la perte de contrôle sur vos données, le sentiment d’être suivi malgré un refus explicite et l’exposition à un profilage publicitaire non voulu. Le droit français complète ce fondement par l’article 1240 du code civil : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » C’est à l’éditeur ou au sous-traitant de prouver que le fait à l’origine du dommage ne lui est nullement imputable ; à défaut, sa responsabilité est engagée.
Pour chiffrer votre demande, distinguez le trouble subi et ses manifestations concrètes : durée du suivi malgré le refus, nombre et nature des traceurs, transmission à des régies tierces, persistance après l’exercice du droit d’effacement, temps consacré aux démarches. Les juridictions apprécient souverainement le montant, et les décisions rendues en matière de traceurs restent contrastées selon les espèces : présentez un dossier précis plutôt qu’une demande forfaitaire sans justificatif. Joignez vos constats techniques, la chronologie de vos demandes, la plainte déposée devant la Commission et ses suites, ainsi que tout élément établissant la diffusion de vos données à des tiers. Si une association agréée agit à vos côtés, le règlement lui permet d’exercer vos droits par mandat, y compris le droit à réparation lorsque le droit national le prévoit.
Conclusion
Un clic sur « tout refuser » doit arrêter tout dépôt et toute lecture de traceurs non essentiels, et ouvrir à tout moment un retrait d’une simplicité égale au consentement donné. Lorsqu’un site passe outre, le droit applicable est précis : consentement préalable, libre, spécifique, éclairé et univoque, information complète incluant la durée de vie des traceurs et l’accès des tiers, refus d’une simplicité égale à l’acceptation, preuve à la charge de l’éditeur. La jurisprudence de la Cour de justice et du Conseil d’État, la doctrine de la Commission et les sanctions prononcées en 2024 et 2025, jusqu’à 150 et 325 millions d’euros, confirment que ces exigences sont contrôlées et sanctionnées.
La méthode gagnante tient en quatre temps : constater techniquement le dépôt malgré le refus, exiger par écrit l’accès, l’effacement et la cessation, saisir la Commission d’une plainte documentée, puis demander au juge la réparation du préjudice matériel et moral. Conservez chaque capture, chaque échange et chaque décision : c’est ce dossier, précis et daté, qui transforme un simple agacement face à un bandeau en un recours effectif.