Vous avez cliqué sur « Tout refuser » en arrivant sur un site, et pourtant les publicités qui vous poursuivent semblent connaître vos dernières recherches au détail près. Un canapé consulté le matin réapparaît en encart publicitaire l’après-midi sur un site d’actualité qui n’a aucun lien avec le marchand. Votre navigation continue d’alimenter des régies que vous pensiez avoir écartées. Ce décalage entre le refus affiché et la collecte réelle n’est ni une fatalité technique ni une zone grise du droit : lorsqu’un site dépose ou lit des traceurs publicitaires malgré votre refus, il méconnaît une interdiction claire, et plusieurs leviers permettent de le faire cesser puis d’obtenir réparation.
Le principe tient en une phrase, posée par la Commission nationale de l’informatique et des libertés : refuser le dépôt ou la lecture des cookies doit être aussi simple que l’accepter, avec un même degré de simplicité entre les deux gestes. Autrement dit, un bouton Tout accepter bien visible face à un refus enfoui au troisième écran de paramétrage ne satisfait pas la loi. La même autorité précise qu’avant le consentement, aucun cookie soumis à cette exigence ne peut être déposé ni lu sur le terminal. Le refus n’est donc pas une simple préférence que l’éditeur pourrait contourner : c’est un ordre de ne pas déposer, et de ne pas lire.
Cet article décrit d’abord les règles que tout éditeur de site ou d’application doit respecter avant de déposer un traceur soumis au consentement, puis la méthode concrète pour réagir quand votre refus est ignoré : constater les faits de manière exploitable, exiger l’arrêt et l’effacement, saisir la CNIL et, le cas échéant, demander au juge la réparation de votre préjudice. Les montants en jeu devant l’autorité peuvent atteindre des dizaines de millions d’euros pour les plus grands acteurs, et les particuliers obtiennent devant les tribunaux des indemnisations de leur préjudice moral lorsque la violation est établie et documentée.
I. Ce que le site devait respecter avant de déposer le moindre traceur
A. Un consentement préalable, libre et révocable aussi simplement qu’il a été donné
En droit français, les règles sur les cookies et autres traceurs relèvent de l’article 82 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, qui transpose en droit interne les exigences européennes issues de la directive dite « ePrivacy ». La CNIL rappelle que le consentement prévu par ces dispositions renvoie à la définition du règlement général sur la protection des données, le RGPD : il doit être libre, spécifique, éclairé et univoque, et l’utilisateur doit pouvoir le retirer à tout moment avec la même simplicité qu’il l’a accordé.
Concrètement, quatre conditions cumulatives encadrent tout dépôt d’un traceur non strictement nécessaire au service demandé. Premièrement, le consentement doit être préalable : aucun cookie soumis au consentement ne peut être déposé ou lu avant que vous ayez exprimé votre choix. Un site qui dépose des traceurs publicitaires dès l’affichage de la page, avant tout clic sur le bandeau, viole déjà cette règle, même si un bandeau figure à l’écran. Deuxièmement, le consentement doit résulter d’un acte positif clair. Le considérant 32 du règlement (UE) 2016/679 sur la protection des données l’énonce sans détour : « Il ne saurait dès lors y avoir de consentement en cas de silence, de cases cochées par défaut ou d’inactivité. » La poursuite de la navigation, le défilement de la page ou l’absence de réponse au bandeau ne valent jamais acceptation.
Troisièmement, le consentement doit être libre, ce qui suppose un choix réel. La Cour de justice de l’Union européenne l’a jugé dès le 1er octobre 2019 dans l’arrêt Planet49 (affaire C-673/17), dont le dossier officiel peut être consulté sur le site de la Cour : une case pré-cochée que l’utilisateur doit décocher pour refuser ne traduit pas un consentement valable. Dans le prolongement, la CNIL exige que refuser soit aussi simple qu’accepter, avec un même degré de simplicité entre les deux boutons. Un parcours qui impose un clic pour accepter et une dizaine de manipulations dans des sous-menus pour refuser fausse le choix et prive le consentement recueilli de toute valeur. Quatrièmement, le consentement doit pouvoir être retiré à tout moment, et l’article 7, paragraphe 3, du RGPD pose la formule de référence : « Il est aussi simple de retirer que de donner son consentement. » Un site qui permet d’accepter en un clic mais n’offre aucun moyen visible de revenir sur ce choix méconnaît cette exigence.
Pour expliciter ces principes, la CNIL a adopté le 17 septembre 2020 des lignes directrices sur les cookies et autres traceurs, complétées par une recommandation proposant des modalités pratiques de recueil. Ces documents distinguent les traceurs dispensés de consentement, ceux qui ont pour finalité exclusive de permettre ou de faciliter la communication électronique ou qui sont strictement nécessaires au service expressément demandé, comme un panier d’achat ou un choix de langue, de tous les autres : mesure d’audience recoupant les visites entre sites, personnalisation publicitaire, partage vers les réseaux sociaux. Ces derniers exigent une information préalable sur leur finalité, leur durée et l’identité des partenaires qui les liront, puis un consentement recueilli selon les modalités décrites. Un bandeau qui se borne à annoncer que « ce site utilise des cookies » sans détailler les finalités ni proposer un refus effectif ne remplit pas cette obligation d’information, posée par le page de la CNIL qui expose l’état du droit applicable aux traceurs.
B. Une preuve à la charge de l’éditeur, des responsabilités partagées et des sanctions dissuasives
Lorsque vous contestez un dépôt de traceurs, ce n’est pas à vous de démontrer que le site a fauté dans l’abstrait : c’est à l’éditeur de prouver qu’il a valablement recueilli votre consentement. L’article 7, paragraphe 1, du RGPD impose au responsable du traitement d’être en mesure de démontrer que la personne concernée a donné son consentement. La CNIL décline cette exigence en pratique : séquestre du code de recueil auprès d’un tiers, publication horodatée d’une empreinte du code, conservation des configurations successives de la plateforme de gestion du consentement, audits réguliers par des tiers mandatés. Un éditeur incapable de produire la trace de votre choix, avec sa date, sa portée et la version du bandeau présenté, se trouve en difficulté devant l’autorité de contrôle comme devant le juge.
Cette responsabilité ne pèse pas seulement sur l’éditeur visible du site. Quand l’éditeur autorise le dépôt de cookies qui seront ensuite lus par des régies publicitaires ou des partenaires de mesure, ces acteurs déterminent ensemble les finalités et les moyens des opérations de lecture et d’écriture sur votre terminal. Ils sont alors regardés comme responsables conjoints du traitement. Cette qualification a une conséquence directe pour vous : votre demande d’effacement ou d’opposition peut être adressée à chacun d’eux, et chacun doit pouvoir justifier de la base de ses opérations. Le renvoi systématique vers « nos partenaires » sans désignation précise ni moyen de contact ne satisfait pas l’obligation d’information.
Le manquement à ces règles expose à des sanctions administratives prononcées par la formation restreinte de la CNIL, qui peuvent atteindre, selon les cas, plusieurs millions d’euros et jusqu’à un pourcentage du chiffre d’affaires mondial pour les violations du RGPD. L’exemple le plus parlant concerne un grand moteur de recherche : par une délibération du 7 décembre 2020, la CNIL avait prononcé des amendes de 60 et de 40 millions d’euros contre ses deux sociétés européenne et américaine, notamment parce que le refus des cookies n’était pas aussi simple que leur acceptation. Les deux sociétés ont contesté cette décision devant le Conseil d’État, qui a rejeté leur recours par une décision du 28 janvier 2022 rendue sous le numéro 449209, publiée au recueil Lebon et consultable sur Légifrance : « La requête des sociétés Google LLC et Google Ireland Limited est rejetée. », selon le dispositif publié sur Légifrance Dans la foulée de cette jurisprudence, la CNIL a adressé à partir de mai 2021 des dizaines de mises en demeure à des organismes dont les bandeaux ne permettaient pas de refuser aussi simplement qu’accepter, puis a prononcé une sanction de 150 millions d’euros contre le même acteur. La presse de consommateurs a relayé ces vagues de contrôles, rappelant que les signalements des internautes déclenchent des mises en demeure effectives. Retenez l’enseignement pratique : un refus compliqué n’est pas un détail d’ergonomie, c’est le manquement le plus sanctionné de ces dernières années en matière de traceurs.
La durée de conservation des traceurs fait partie du contrôle. Les lignes directrices et la pratique de la CNIL limitent la durée de vie des traceurs soumis au consentement, et le consentement lui-même doit être renouvelé périodiquement : un choix exprimé il y a plusieurs années ne couvre pas indéfiniment les dépôts ultérieurs, surtout après une refonte du bandeau ou l’ajout de nouvelles finalités. Si le site vous oppose un consentement ancien pour justifier des dépôts récents, exigez la date exacte du recueil, la version du bandeau et la liste des finalités couvertes à l’époque. L’absence de réponse précise sur ces trois points fragilise sérieusement sa position.
II. Faire cesser la collecte ignorée et obtenir réparation
A. Constater les faits, exiger l’arrêt et l’effacement auprès de l’éditeur
Avant toute démarche, constituez un dossier de preuves simple et daté. Capturez le bandeau cookies tel qu’il s’affiche à votre première visite, en navigation privée, avec la date et l’heure visibles, puis filmez ou capturez le parcours de refus complet : nombre de clics, intitulés des boutons, absence de bouton « Tout refuser » au premier niveau. Conservez une copie de vos choix enregistrés si le site propose un centre de préférences. Puis documentez la poursuite de la collecte : dans les outils de votre navigateur, l’onglet de stockage affiche les cookies déposés par le site et par des domaines tiers après votre refus ; notez leurs noms, leurs domaines et leur date d’expiration. Relevez ensuite les indices d’exploitation : publicités ciblées faisant suite à une recherche précise, recommandations manifestement liées à une navigation que vous aviez refusé de partager. Chaque capture doit être horodatée et conservée dans son format d’origine, sans retouche. Ces éléments serviront devant la CNIL comme devant le juge, qui apprécie la réalité de la violation à partir de pièces concrètes et datées.
Adressez ensuite une demande écrite à l’éditeur du site, de préférence par un canal qui laisse une trace : formulaire de contact avec accusé de réception, courrier électronique dont vous conservez l’envoi, ou lettre recommandée avec accusé de réception pour les dossiers importants. Identifiez-vous précisément et formulez trois demandes distinctes : la cessation immédiate de tout dépôt et de toute lecture de traceurs soumis au consentement sur votre terminal, l’effacement des données déjà collectées à partir de ces traceurs ainsi que de tout profil qui en serait issu, et la communication des mesures prises avec la liste des partenaires destinataires de vos données pour que vous puissiez exercer vos droits auprès d’eux. Joignez vos captures et rappelez la date et les conditions de votre refus. Si le site désigne un délégué à la protection des données, écrivez-lui en copie : ses coordonnées doivent figurer dans la politique de confidentialité.
La CNIL subordonne en principe la recevabilité de votre plainte à cette démarche préalable : vous devez d’abord avoir saisi l’organisme, qui dispose alors d’un délai pour répondre. L’autorité l’indique dans sa page consacrée aux plaintes : l’organisme doit répondre dans les meilleurs délais, et sous un mois maximum. Si vous n’avez reçu aucune réponse après un mois, ou si la réponse est insatisfaisante, la voie de la plainte est ouverte. Conservez donc la preuve de votre envoi initial et le décompte du délai : une plainte déposée sans démarche préalable risque d’être déclarée irrecevable ou renvoyée vers l’éditeur, ce qui retarde le traitement de plusieurs semaines.
Testez ensuite le retrait du consentement avec la même rigueur que le refus initial. Rendez-vous dans le centre de préférences ou le module de gestion des traceurs du site, retirez votre accord pour les finalités publicitaires et de mesure croisée, puis vérifiez dans le stockage de votre navigateur que les cookies correspondants ont été supprimés et qu’aucun nouveau traceur de ces catégories n’est déposé lors des pages suivantes. Capturez chaque étape avec sa date. Si le retrait ne produit aucun effet visible, ou si le site ne propose aucun moyen accessible de revenir sur votre choix, cette circonstance constitue un manquement distinct, prévu par l’article 7 du RGPD, qui impose un retrait aussi simple que le consentement. Joignez ces éléments à votre demande écrite : ils démontrent que la violation est actuelle et persistante, ce qui justifie des mesures urgentes devant le juge comme une instruction prioritaire de votre plainte par la CNIL.
Si votre demande concerne aussi l’exercice de vos droits sur les données elles-mêmes, et pas seulement les traceurs, la méthode probatoire est la même que celle décrite dans notre article consacré aux organismes qui refusent de remettre la copie des données personnelles : exiger l’accès, saisir la CNIL puis le juge, comme l’explique notre analyse des refus de copie et des recours contre l’organisme qui garde vos données. La présente situation s’en distingue par un point : ici, l’éditeur ne refuse pas seulement de répondre, il poursuit activement une collecte que votre refus aurait dû interrompre, ce qui caractérise un manquement continu et aggrave le préjudice.
B. Saisir la CNIL, puis le juge pour faire interdire la pratique et être indemnisé
La plainte devant la CNIL se dépose en ligne depuis le service de plainte de l’autorité, après création d’un compte qui permet de suivre l’instruction et d’échanger avec l’agent chargé du dossier. Joignez l’ensemble de votre dossier : captures du bandeau et du parcours de refus, relevé des cookies déposés après refus, copie de votre demande à l’éditeur avec sa date d’envoi, réponse éventuelle de l’organisme, et description précise des publicités ou contenus ciblés constatés depuis. Expliquez en quoi le refus n’était pas aussi simple que l’acceptation, ou en quoi des traceurs ont été déposés avant tout choix ou malgré un refus explicite. L’autorité vérifie d’abord la recevabilité et la complétude de votre plainte, puis instruit : contrôles en ligne du site, demandes d’observations à l’éditeur, mise en demeure de se conformer dans un délai fixé, et, en cas de persistance ou de gravité particulière, saisine de la formation restreinte qui peut prononcer une sanction publique. Votre plainte individuelle rejoint souvent des signalements convergents qui déclenchent des contrôles sectoriels, comme l’ont montré les vagues de mises en demeure de 2021 et 2022.
La sanction administrative ne vous indemnise pas directement : pour obtenir réparation de votre propre préjudice, c’est au juge judiciaire qu’il faut s’adresser. Le fondement européen est l’article 82, paragraphe 1, du RGPD : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » Les actions en réparation sont portées devant les juridictions compétentes selon le droit national, ce qui vise en France le tribunal judiciaire du domicile du demandeur pour les litiges de consommation courante comme pour les atteintes aux droits de la personnalité. Le droit interne conforte ce fondement européen : l’article 9 du code civil dispose que « Chacun a droit au respect de sa vie privée. » et permet aux juges, sans préjudice de la réparation du dommage subi, de prescrire toutes mesures propres à empêcher ou faire cesser l’atteinte, y compris en référé en cas d’urgence. Et l’article 1240 du même code pose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Une collecte de traceurs poursuivie malgré un refus explicite réunit ces éléments : un fait illicite, un dommage d’intrusion et un lien direct entre les deux. À Paris et en Île-de-France, le tribunal judiciaire de Paris concentre une part importante de ce contentieux des données personnelles et de la presse numérique, avec une chambre spécialisée dont les décisions récentes illustrent concrètement l’indemnisation du préjudice moral.
Un jugement du tribunal judiciaire de Paris du 9 octobre 2025, rendu sous le numéro de répertoire général 24/03844 et consultable sur la base officielle des décisions de justice, en donne la mesure. Dans cette affaire, une société d’édition juridique avait publié en ligne des décisions de justice comportant les nom, prénom et adresse d’un particulier, sans son consentement et sans autre fondement légitime. Le tribunal a retenu une faute, caractérisé un préjudice d’anxiété lié à la crainte de représailles et une atteinte à la réputation, puis a condamné la société à payer « la somme de 5.000 euros à titre de dommage et intérêts en réparation de son préjudice moral », selon le texte de la décision publiée. Les faits diffèrent d’un dossier de traceurs, mais le raisonnement est transposable : une collecte poursuivie malgré un refus explicite constitue une faute, et l’exploitation publicitaire de la navigation que vous aviez voulu garder privée caractérise un préjudice moral d’intrusion et de perte de contrôle sur vos données, que le juge apprécie à partir de vos pièces.
Pour structurer votre demande indemnitaire, distinguez trois postes. Le préjudice moral d’intrusion dans la vie privée et de perte de contrôle sur vos données constitue le poste central : navigation observée, centres d’intérêt déduits, reciblage publicitaire subi pendant des semaines ou des mois malgré un refus. Le préjudice temporel et les démarches imposées, temps passé à paramétrer, à réclamer, à déposer plainte, peuvent être chiffrés à partir de vos échanges datés. Le cas échéant, un préjudice matériel direct, achat déclenché par un reciblage que vous aviez refusé ou surcoût lié à une offre personnalisée à votre détriment, doit être justifié facture à l’appui. Le juge n’accorde que les préjudices prouvés dans leur principe et documentés dans leur étendue : un tableau chronologique reliant chaque pièce à chaque période de collecte illicite renforce considérablement la demande. L’éditeur tentera de se retrancher derrière le consentement de ses partenaires, l’obsolescence de vos captures ou la prétendue anonymisation des mesures d’audience ; vos relevés de cookies tiers, vos échanges avec le délégué à la protection des données et l’absence de preuve du consentement par l’éditeur répondent point par point à ces moyens de défense. Sur le terrain de la faute, l’article 1240 du code civil s’applique dès lors que le fait illicite, le dommage et le lien entre les deux sont établis par vos pièces.
Deux précautions encadrent enfin votre action. D’une part, ne confondez pas les traceurs strictement nécessaires, que le site peut déposer sans consentement, avec les traceurs publicitaires ou de mesure croisée, qui exigent votre accord préalable : une demande qui viserait indistinctement tous les cookies du site serait rejetée pour la partie nécessaire et affaiblirait l’ensemble. D’autre part, agissez vite mais sans précipitation : les journaux de consentement et les versions de bandeaux évoluent, et vos captures perdent de leur force si elles sont tardives ou indatées. Un dossier constitué dans les jours qui suivent le constat, avec des pièces horodatées et une demande écrite à l’éditeur, place la CNIL comme le juge dans les meilleures conditions pour qualifier les faits.
Conclusion
Cliquer sur « Tout refuser » doit produire un effet réel : aucun traceur publicitaire ou de mesure croisée déposé ou lu avant votre choix, ni après votre refus, avec un parcours de refus aussi simple que celui de l’acceptation et un retrait possible à tout moment avec la même facilité. Quand un site ignore ce refus, le droit vous donne une méthode complète : constater avec des pièces horodatées, exiger par écrit la cessation, l’effacement et l’identification des partenaires, saisir la CNIL après le délai d’un mois sans réponse satisfaisante, puis demander au juge l’interdiction de la pratique, que l’article 9 du code civil permet de prescrire, et la réparation de votre préjudice moral et matériel. Les sanctions prononcées contre les plus grands éditeurs et les indemnisations accordées aux particuliers montrent que ces recours aboutissent lorsque la violation est établie et documentée. Constituez votre dossier dès le premier constat : c’est lui qui transforme un refus ignoré en manquement sanctionné et en préjudice réparé.