Vous ouvrez un site pour lire un article, comparer un prix ou suivre une commande, et un bandeau s’impose : un gros bouton Tout accepter , un lien discret Paramétrer , aucun bouton Tout refuser . Vous cliquez sur Paramétrer et vous découvrez une liste de curseurs pré-activés, des cases déjà cochées, un bouton Enregistrer qui conserve tout par défaut, ou un mur qui bloque l’accès au site tant que vous n’avez pas accepté. Quelques semaines plus tard, les publicités ciblées vous suivent partout, votre navigation est mesurée au clic près, et votre adresse IP comme vos identifiants publicitaires circulent entre des dizaines de partenaires que vous n’avez jamais choisis.
Cette situation n’est pas une fatalité technique, et elle n’est pas couverte par une prétendue obligation d’accepter. En droit français et européen, le dépôt de traceurs soumis au consentement exige un accord préalable, libre et éclairé, et le refus doit être aussi simple que l’acceptation. Quand un site impose ses cookies et bloque le refus, il commet un manquement précis, documenté par des sanctions publiques qui se chiffrent en dizaines puis en centaines de millions d’euros. La victime dispose d’une méthode : prouver le manquement avec des captures exploitables, exiger la mise en conformité, saisir la Commission nationale de l’informatique et des libertés, puis demander réparation au juge pour le préjudice réellement subi.
Cet article décrit d’abord ce que le site doit permettre et ce qui lui est interdit, à partir des textes et des décisions rendues, puis la méthode complète pour agir : constituer la preuve, exercer vos droits, déposer une plainte efficace devant la CNIL et obtenir, quand les conditions sont réunies, une sanction du site et une indemnisation. Les faits et les chiffres cités datent de septembre 2026 au plus tard ; les montants de sanctions et les positions de la Commission doivent être vérifiés à la date de votre démarche, car la doctrine de la CNIL évolue par vagues de contrôles.
I. Le site doit vous laisser refuser aussi simplement qu’accepter
Le principe est simple à énoncer et exigeant à appliquer : aucun traceur soumis au consentement ne peut être déposé ou lu avant que vous ayez dit oui, et votre non doit produire un effet immédiat. Tout le contentieux des bandeaux trompeurs découle de cette asymétrie entre un oui capté en un clic et un non rendu impraticable.
A. Un accord préalable, libre et donné par un geste clair
Le règlement européen définit le consentement comme « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ». Chaque adjectif compte : libre signifie sans contrainte ni préjudice en cas de refus, spécifique signifie finalité par finalité et non en bloc indistinct, éclairée signifie après une information compréhensible sur qui dépose quoi et pour quoi faire, univoque signifie un geste qui ne laisse aucun doute sur le sens du choix.
Le considérant 32 du même règlement précise le geste attendu : Le consentement doit résulter d’un acte positif clair, par lequel la personne manifeste de façon libre, spécifique, éclairée et univoque son accord. Le texte ajoute immédiatement la conséquence qui fonde tout le contentieux des bandeaux : ni le silence, ni les cases cochées par défaut, ni l’inactivité ne valent consentement. Une case pré-cochée, un curseur pré-activé, une poursuite de navigation interprétée comme un accord : aucune de ces situations ne vaut consentement.
La Cour de justice de l’Union européenne l’a jugé dans l’arrêt Planet49 du 1er octobre 2019 (affaire C-673/17), rendu sur renvoi préjudiciel de la Cour fédérale de justice allemande, dont l’objet porte sur la déclaration de consentement au moyen d’une case pré-cochée : le consentement au dépôt de cookies ne peut pas résulter d’une case cochée par défaut que l’utilisateur devrait décocher pour refuser. L’exigence vaut pour les cookies publicitaires comme pour tout traceur soumis au consentement, et elle s’applique quelle que soit la présentation graphique choisie par l’éditeur du site. Le Conseil d’État, reprenant l’interprétation de la Cour de justice dans l’arrêt C-673/17, retient qu’« Un consentement donné au moyen d’une case cochée par défaut n’implique pas un comportement actif de la part de l’utilisateur et ne peut dès lors être considéré comme procédant d’un acte positif clair permettant valablement le recueil du consentement ».
En droit français, l’article 82 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés transpose cette exigence pour les opérations d’accès ou d’inscription d’informations dans le terminal de l’utilisateur : hors exceptions strictement définies, notamment les traceurs strictement nécessaires à la fourniture du service expressément demandé, le dépôt et la lecture exigent le consentement préalable de l’utilisateur, après une information claire et complète. Les traceurs de mesure d’audience peuvent bénéficier d’une exemption encadrée par la Commission, sous conditions de finalité, de durée et d’information avec possibilité d’opposition ; les traceurs publicitaires, de ciblage et de partage avec des partenaires n’en bénéficient pas. Quand un site dépose des cookies publicitaires dès l’arrivée sur la page, avant tout clic, il viole directement cette règle, et la preuve se fait par un simple constat : le navigateur affiche les cookies avant toute interaction avec le bandeau.
Le même article 82 fonde les sanctions les plus lourdes prononcées en France pour des manquements aux cookies. Le Conseil d’État, dans sa décision du 28 janvier 2022 (n° 449209), a validé une amende de 60 millions d’euros contre Google LLC et de 40 millions d’euros contre Google Ireland Limited « pour manquement à l’article 82 de la loi du 6 janvier 1978 », assortie d’une injonction de mise en conformité sous « astreinte de 100 000 euros par jour de retard ». Le Conseil d’État avait déjà, le 19 juin 2020 (n° 430810, publié au recueil Lebon), rejeté le recours de Google contre une sanction de 50 millions d’euros fondée sur les manquements aux obligations d’information et de consentement. Ces montants montrent que le juge administratif contrôle la réalité du consentement et non l’habillage du bandeau.
Concrètement, un bandeau conforme présente, dès le premier niveau, un bouton d’acceptation et un bouton de refus au même niveau d’ergonomie : même visibilité, même nombre de clics, aucune étape supplémentaire pour dire non. Le second niveau, accessible depuis le bandeau, détaille les finalités une par une avec des choix désactivés par défaut et un bouton d’enregistrement qui respecte strictement les choix exprimés. L’utilisateur doit pouvoir retirer son consentement aussi facilement qu’il l’a donné, par un mécanisme permanent et visible, et le site doit conserver la preuve des choix exprimés pour les produire en cas de contrôle.
B. Les pratiques interdites : murs, cases pré-cochées et refus entravé
La Commission a érigé en règle de contrôle le principe selon lequel Refuser les cookies doit être aussi simple qu’accepter . Cette formule n’est pas un slogan : elle fonde des vagues de mises en demeure. La Commission constate que depuis mai 2021, une soixantaine d’organismes ne permettant pas aux internautes de refuser les cookies aussi simplement que de les accepter ont été mis en demeure , puis qu’à la suite de contrôles persistants la présidente a adressé une trentaine de nouvelles mises en demeure pour non-conformité , en relevant que des bandeaux d’information ne sont toujours pas conformes car ils ne permettent pas à l’utilisateur de refuser le dépôt de cookies aussi simplement que de l’accepter .
Les configurations sanctionnées se répètent d’un site à l’autre et doivent être reconnues pour être prouvées. Première famille : l’absence de bouton de refus au premier niveau, avec un Tout accepter mis en avant et un Paramétrer qui mène à un parcours complexe. Deuxième famille : les choix pré-activés, curseurs ou cases, qui inversent la charge du refus et imposent à l’utilisateur de tout désactiver un par un. Troisième famille : le dépôt anticipé, avant tout choix, ou la poursuite du dépôt après un clic sur Refuser ou Tout refuser , qui rend le bouton mensonger. Quatrième famille : le mur de traceurs, qui conditionne l’accès au contenu au clic sur Accepter , sans alternative réelle ni refus effectif. Cinquième famille : l’information trompeuse, qui présente les traceurs publicitaires comme nécessaires ou techniques , ou qui omet la liste des partenaires et leurs finalités.
Le contentieux contre les lignes directrices de la Commission confirme que ces exigences ont une portée normative que les éditeurs ne peuvent pas écarter d’un revers de main. Dans sa décision du 8 avril 2022 (n° 452668, publié au recueil Lebon), le Conseil d’État a examiné le recours du Syndicat national du marketing à la performance contre la recommandation cookies et autres traceurs de la CNIL : le juge a précisé la portée des différents instruments de droit souple de la Commission et les conditions dans lesquelles les éditeurs peuvent les contester. L’enseignement pratique est double : les lignes directrices et recommandations éclairent l’interprétation que la formation restreinte retiendra lors d’une sanction, et un éditeur qui s’en écarte doit être en mesure de démontrer par d’autres moyens que son dispositif recueille un consentement libre et éclairé. Pour l’utilisateur, cela signifie que l’argument du site notre bandeau suit nos propres règles ne vaut rien face à un refus entravé constaté.
L’actualité la plus récente renforce encore cette lecture. Le 1er septembre 2025, la CNIL a infligé à Google des amendes totalisant 325 millions d’euros, soit 200 millions contre Google LLC et 125 millions contre Google Ireland Limited, en retenant notamment un manquement lié au dépôt de cookies publicitaires lors de la création d’un compte sans consentement valable, les utilisateurs étant orientés vers les cookies de publicité personnalisée au détriment d’un choix équilibré, sans information claire sur le caractère conditionnant du dépôt. La formation restreinte a ordonné la mise en conformité sous six mois, sous peine pour chaque société d’une pénalité de 100 000 euros par jour de retard, et a relevé la négligence des sociétés déjà sanctionnées en 2020 et 2021 pour des manquements relatifs aux cookies. Un site qui reproduit en 2026 un parcours orientant vers l’acceptation ne peut plus prétendre ignorer la règle.
Deux précisions de périmètre évitent les faux débats. D’une part, le retrait du consentement doit être possible à tout moment et sans frais, et le responsable du traitement doit en informer la personne avant l’accord ; un site qui rend le retrait introuvable ou qui continue de déposer des traceurs après le retrait commet un manquement distinct, cumulable avec le défaut de recueil initial. D’autre part, le fait que le site soit gratuit ou financé par la publicité ne crée aucune dispense : la gratuité n’équivaut pas à un consentement, et le modèle économique de l’éditeur ne figure pas parmi les bases légales qui permettent de déposer des traceurs sans accord. Seules les exemptions prévues par les textes, interprétées strictement, dispensent du consentement, et c’est à l’éditeur de démontrer qu’il entre dans l’une d’elles.
II. Bloqué par un bandeau trompeur : prouver, exiger, faire sanctionner et obtenir réparation
Constater le manquement ne suffit pas : il faut le transformer en dossier. Les plaintes qui aboutissent devant la Commission et les demandes qui prospèrent devant le juge partagent les mêmes qualités : une chronologie précise, des captures datées et lisibles, des démarches préalables identifiées, et une demande formulée dans les bons termes aux bons destinataires.
A. Constituer la preuve et mettre le site face à ses obligations
La preuve commence par la capture du parcours complet, réalisée si possible en navigation privée pour partir d’un état neutre. Photographiez ou filmez l’arrivée sur le site avant tout clic, en montrant l’absence ou la présence du bandeau, la formulation exacte des boutons et l’absence de bouton de refus au premier niveau. Ouvrez ensuite le module de paramétrage et capturez chaque écran : choix pré-activés, intitulés des finalités, liste des partenaires, absence de bouton Tout refuser , nombre de clics nécessaires pour refuser. Puis cliquez sur Refuser ou son équivalent et vérifiez dans les outils du navigateur, onglet stockage ou application, si des traceurs subsistent ou réapparaissent, ainsi que dans les requêtes réseau vers des domaines publicitaires. Chaque capture doit comporter la date, l’URL complète et, si possible, l’horodatage du système ; une vidéo continue du parcours, de l’arrivée jusqu’au constat post-refus, vaut mieux qu’une série d’images isolées dont l’ordre peut être discuté.
Conservez également la preuve du dépôt anticipé : ouvrez le site sans toucher au bandeau et relevez les cookies déjà présents et les requêtes vers des régies. Si le site conditionne l’accès au contenu à l’acceptation, capturez le mur et l’impossibilité d’accéder au service sans cliquer sur Accepter . Si vous aviez précédemment accepté puis retiré votre consentement, conservez les deux constats et la démonstration que le dépôt a continué après le retrait. Notez votre configuration, navigateur et version, extensions de blocage éventuellement désactivées pour le test, afin que le constat soit reproductible par un tiers.
La deuxième étape consiste à exercer vos droits directement auprès de l’éditeur, par écrit, avant ou parallèlement à la plainte. Le droit d’accès prévu par le règlement permet d’obtenir la copie des données et les informations sur les finalités, les destinataires et la durée de conservation, et la méthode décrite dans cet article de fond, demande écrite conservée, délai d’un mois, puis plainte et recours en cas de silence, s’applique pleinement aux données collectées via les traceurs. Demandez à l’éditeur la copie des données collectées par ses traceurs, la liste des destinataires et partenaires, la base légale invoquée pour chaque finalité, et la preuve du consentement qu’il prétend avoir recueilli. Exigez l’effacement des données collectées sans consentement valable et l’arrêt du dépôt, en visant l’article 82 de la loi du 6 janvier 1978 et les articles 6 et 7 du règlement. Envoyez cette demande par un canal qui laisse une trace, courrier électronique avec accusé ou lettre recommandée, et conservez l’intégralité des échanges, y compris l’absence de réponse à l’expiration du délai d’un mois.
La troisième étape est la plainte devant la Commission, déposée via le service de plainte en ligne qui propose des formulaires adaptés à chaque situation. La Commission attend une plainte construite : identité de l’éditeur et URL concernées, récit chronologique daté, captures jointes avec leur date, copie de la demande adressée à l’éditeur et de sa réponse ou du constat de silence, et demande précise, à savoir la mise en conformité du bandeau et l’effacement des données indûment collectées. Une plainte qui se limite à ce site ne respecte pas le RGPD sans pièce ni date a peu de chances d’être instruite utilement ; une plainte qui démontre, captures à l’appui, l’absence de refus au premier niveau, le dépôt avant clic et la poursuite après refus, rejoint directement les vagues de contrôles en cours. Si la Commission ne donne pas suite dans des conditions que vous estimez irrégulières, le recours contre ses décisions implicites ou explicites relève du Conseil d’État, juge administratif suprême, saisi selon les règles du contentieux administratif, sous réserve de l’intérêt à agir et des délais de recours.
Quatre erreurs reviennent dans les dossiers qui échouent et doivent être évitées. Première erreur : vider son navigateur ou réinstaller sans avoir exporté les preuves, ce qui détruit le constat du dépôt. Deuxième erreur : accepter pour voir le contenu puis prétendre n’avoir jamais consenti, sans démontrer le caractère contraint du clic. Troisième erreur : multiplier les plaintes identiques sans pièces nouvelles, au lieu d’enrichir un dossier unique et suivi. Quatrième erreur : confondre le signalement à la plateforme publicitaire ou au navigateur avec la démarche contre l’éditeur responsable du bandeau : le responsable du traitement reste l’éditeur du site, même quand les traceurs appartiennent techniquement à des tiers, et c’est contre lui que la demande et la plainte doivent être dirigées en premier.
B. Sanctions de la CNIL et réparation devant le juge : ce que vous pouvez réellement obtenir
La Commission dispose d’une gradation d’outils que le plaignant doit connaître pour calibrer sa demande. La mise en demeure publique ordonne la mise en conformité dans un délai fixé, sous la menace d’une sanction ; l’injonction peut être assortie d’une astreinte journalière, comme les 100 000 euros par jour de retard prononcés contre Google en 2020 et repris en 2025 ; l’amende administrative sanctionne le manquement passé et son montant tient à la gravité, à la durée, au nombre de personnes concernées et à la situation de l’organisme. Les montants validés par le Conseil d’État, 50 millions en 2020 puis 60 et 40 millions en 2022, et les 325 millions prononcés le 1er septembre 2025, montrent une échelle qui frappe les acteurs majeurs mais dont la logique s’applique à tout éditeur : un bandeau non conforme expose à une sanction publique, et la récidive après mise en demeure aggrave systématiquement la réponse.
Pour autant, la sanction administrative ne vous indemnise pas : elle punit l’éditeur au nom de l’ordre public de la protection des données. Votre réparation relève du juge, sur le fondement du droit à réparation prévu par l’article 82 du règlement, qui ouvre à toute personne ayant subi un dommage du fait d’une violation du règlement le droit d’obtenir du responsable du traitement ou du sous-traitant la réparation de son préjudice. La Cour de justice exige la démonstration d’un préjudice réel : une simple violation, même établie, n’ouvre pas une indemnisation automatique, et le demandeur doit prouver le manquement, le dommage et le lien entre les deux. Cette exigence, rappelée par la jurisprudence récente sur la réparation des violations du règlement, commande toute la stratégie probatoire : sans préjudice démontré, le tribunal peut constater la violation sans allouer de dommages-intérêts.
Les préjudices indemnisables en matière de traceurs sont d’abord moraux : perte de contrôle sur ses données, suivi publicitaire subi pendant des mois, sentiment d’être surveillé, temps passé à tenter de paramétrer un refus qui ne fonctionne pas. Ils peuvent être matériels quand le profilage a conduit à des offres discriminantes, à une majoration tarifaire ou à une exclusion d’un service. La quantification doit rester mesurée et documentée : décrivez précisément la durée d’exposition, le nombre de sites ou de partenaires concernés, les démarches entreprises et leur échec, les conséquences concrètes sur votre navigation et, le cas échéant, les décisions prises à partir de votre profil. Les tribunaux apprécient les demandes chiffrées avec sobriété et pièces à l’appui mieux que les demandes forfaitaires élevées sans démonstration.
Le choix du juge dépend de votre qualité et de votre objectif. Contre un éditeur professionnel, le consommateur peut agir devant le tribunal judiciaire pour obtenir l’arrêt du trouble, l’effacement et des dommages-intérêts, en invoquant la violation de l’article 82 de la loi du 6 janvier 1978 et des articles 6, 7 et 82 du règlement, avec les constats et la plainte CNIL à l’appui. L’action peut être portée seul ou dans un cadre collectif selon les dispositifs applicables à votre situation, et l’assistance d’un avocat est recommandée dès que le préjudice allégué ou la complexité technique du dossier le justifie. Devant le juge, demandez en priorité la cessation du manquement sous astreinte et l’effacement, puis l’indemnisation : une demande qui ne vise que l’argent sans demander l’arrêt du dépôt affaiblit la démonstration du préjudice continu. Joignez systématiquement le constat technique, la demande à l’éditeur, la plainte à la Commission et sa suite, car le juge apprécie la cohérence du parcours et la bonne foi du demandeur.
Deux cas frontières appellent une vigilance particulière. Le premier est le site étranger qui vise le public français : le règlement s’applique au traitement lié à l’offre de biens ou de services à des personnes sur le territoire de l’Union ou au suivi de leur comportement au sein de l’Union, et la Commission s’est reconnue compétente pour sanctionner des sociétés établies hors de France quand le traitement concerne des utilisateurs situés en France, position validée par le Conseil d’État dans les affaires Google. Le second est l’application mobile, où les traceurs prennent la forme de kits de développement et d’identifiants publicitaires : les principes sont identiques, consentement préalable et refus simple, mais la preuve passe par les réglages du système, les captures des autorisations et, si nécessaire, un constat technique assisté. Dans les deux cas, ne présumez ni la compétence, ni le juge pertinent, ni le montant de l’indemnisation : chaque élément doit être vérifié à partir des textes et des décisions applicables à votre situation exacte.
En pratique, le dossier qui aboutit suit un ordre simple : constat technique daté du bandeau et du dépôt, demande écrite à l’éditeur avec délai, plainte en ligne devant la Commission avec pièces jointes, puis action devant le juge pour la cessation et la réparation, en s’appuyant sur la méthode du droit d’accès et de ses suites en cas de silence de l’organisme. Chaque étape nourrit la suivante, et l’ensemble forme un dossier où le manquement est prouvé, la demande est précise et le préjudice est démontré. C’est ce dossier, et non l’indignation seule, qui conduit la Commission à contrôler et le juge à indemniser.
En conclusion, un site ne peut ni vous imposer ses cookies ni rendre le refus impraticable : le consentement doit résulter d’un geste clair, le refus doit être aussi simple que l’acceptation, et tout dépôt sans accord valable constitue un manquement sanctionné par des décisions publiques dont les montants, du rejet du recours de Google contre 50 millions d’euros aux 100 millions validés en 2022, se mesurent désormais en centaines de millions d’euros. Face à un bandeau trompeur, la méthode tient en quatre temps : prouver par des captures datées et reproductibles, exiger par écrit auprès de l’éditeur, saisir la Commission par une plainte documentée, puis demander au juge la cessation sous astreinte, l’effacement et la réparation du préjudice démontré. Engagez ces démarches sans tarder, car les traces techniques s’effacent et les délais de recours courent, et conservez chaque pièce, car un dossier ordonné vaut mieux qu’une plainte massive sans preuve.
Besoin d’un avis rapide sur votre dossier
Vous faites face à un site qui impose ses cookies ou bloque le refus en matière de numérique et données personnelles ? Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier et vous indique la démarche adaptée, constat technique, demande à l’éditeur, plainte devant la CNIL et réparation devant le juge. Pour un premier échange, appelez le 06 46 60 58 22 ou écrivez via la page formulaire de contact.