Vous ouvrez un site pour lire un article, comparer un prix ou suivre un colis. Le bandeau cookies s’affiche à peine, vous n’avez encore rien cliqué, et pourtant votre navigateur a déjà enregistré des traceurs publicitaires, parfois une dizaine, qui signalent votre visite à des régies que vous n’avez jamais rencontrées. Ce dépôt anticipé n’est pas un détail technique : il prive votre choix de tout effet, puisque les données partent avant même que vous ayez pu refuser. La question pratique est alors simple : comment prouver que des cookies ont été déposés avant votre consentement, exiger leur suppression, saisir la CNIL et obtenir réparation du préjudice subi.
La réponse tient en deux temps. D’abord, le droit européen et le droit français imposent un consentement préalable, libre, spécifique, éclairé et univoque avant tout dépôt de traceur non strictement nécessaire, et c’est à l’éditeur du site de prouver qu’il l’a recueilli. Ensuite, lorsque ce verrou saute, la victime dispose d’une chaîne complète de recours : constat technique, demande d’effacement, plainte devant la CNIL qui peut mettre en demeure puis sanctionner, et action en justice pour obtenir réparation, y compris contre la régie publicitaire coresponsable. Cet article expose ces règles et cette méthode, à jour des décisions rendues jusqu’en 2026.
I. Un dépôt avant tout choix est interdit : le consentement doit être préalable, libre et prouvé
A. Ce qu’exige le droit : une information préalable, un acte positif et un refus aussi simple que l’acceptation
Le cadre applicable aux cookies et autres traceurs repose sur deux couches de textes qui se combinent. En droit de l’Union, l’article 5, paragraphe 3, de la directive vie privée et communications électroniques du 12 juillet 2002 pose le principe d’un consentement préalable de l’utilisateur avant le stockage d’informations sur son terminal ou l’accès à des informations déjà stockées, sauf si ces opérations sont strictement nécessaires à la fourniture d’un service expressément demandé ou ont pour finalité exclusive de permettre ou faciliter la communication électronique. En droit français, l’article 82 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés transpose cette exigence : il « transpose ces dispositions en droit français », comme le résume la CNIL sur sa page de référence (CNIL, Cookies et traceurs : que dit la loi). Retenez la logique : tout traceur qui ne sert pas exclusivement à faire fonctionner le service demandé, notamment les cookies de publicité personnalisée et les boutons de partage des réseaux sociaux, exige votre accord avant d’être déposé ou lu.
Ce consentement n’est pas une formalité. Il renvoie à la définition du règlement général sur la protection des données du 27 avril 2016 : une manifestation de volonté libre, spécifique, éclairée et univoque, exprimée par une déclaration ou un « acte positif clair ». Chaque mot compte. Libre signifie sans contrainte ni préjudice en cas de refus. Spécifique signifie un accord donné finalité par finalité, et non un blanc-seing global. Éclairé suppose une information visible, complète et rédigée en termes simples sur les finalités et l’identité des responsables. Univoque exige un geste actif : cliquer sur tout accepter après information, cocher soi-même une case, valider un choix précis. Ni le silence, ni les cases pré-cochées, ni l’inactivité ne valent consentement. La poursuite de la navigation, le défilement de la page ou le fait de ne rien cliquer ne valent donc jamais accord.
De cette définition découlent trois règles pratiques que la CNIL impose aux éditeurs. Premièrement, le consentement doit être préalable au dépôt : aucun cookie soumis au consentement ne peut être déposé ou lu sur votre terminal avant que vous ayez donné votre accord. Un site qui dépose des traceurs publicitaires dès le chargement de la page, avant tout clic sur le bandeau, viole cette règle par construction, et le Conseil d’État l’a confirmé en rappelant « le principe d’un consentement préalable au dépôt des cookies […] ainsi que d’un droit d’opposition » (CE, 10e-9e ch. réunies, 28 janvier 2022, n° 449209). L’accord doit en outre être requis à chaque fois qu’une nouvelle finalité s’ajoute aux finalités initiales. Deuxièmement, le choix doit être réel : l’utilisateur doit pouvoir accepter ou refuser « avec le même degré de simplicité ». Un parcours qui impose trois clics pour refuser contre un seul pour accepter, ou qui relègue le refus dans un second écran austère pendant que l’acceptation s’affiche en grand bouton coloré, fausse la liberté du choix. Troisièmement, le retrait doit être aussi aisé que le don : il doit être aussi simple de retirer son consentement que de le donner. Un site qui accepte votre consentement en un clic mais exige, pour le retirer, de créer un compte, d’écrire au service client ou de fouiller les paramètres du navigateur, manque à cette exigence.
La charge de la preuve pèse sur le professionnel, non sur vous. Lorsque le traitement repose sur le consentement, c’est au responsable du traitement de démontrer que la personne concernée a donné son accord pour ses données. Concrètement, l’éditeur doit conserver la trace horodatée de votre choix : version du bandeau affiché, code utilisé, capture du rendu, configuration de sa plateforme de gestion du consentement. S’il est incapable de produire cette preuve, le consentement est réputé inexistant et le dépôt des traceurs devient fautif. Cette répartition de la preuve est décisive en pratique : vous n’avez pas à démontrer que vous n’avez pas consenti, c’est au site de démontrer que vous avez consenti, de manière libre et éclairée, avant tout dépôt.
B. Ce que les juges ont déjà tranché : cases pré-cochées invalides, doctrine CNIL validée et sanction record contre Google
La Cour de justice de l’Union européenne a posé la première pierre dès le 1er octobre 2019 dans l’arrêt Planet49 (affaire C-673/17, grande chambre). Une société allemande organisait un jeu promotionnel dont la participation supposait de cocher une case : la première, non cochée, concernait l’envoi de prospection, tandis que la seconde, pré-cochée par défaut, autorisait le dépôt de cookies. La Cour a jugé que le consentement ainsi obtenu n’était pas valable : autoriser le dépôt de cookies au moyen d’une « case cochée par défaut » que l’utilisateur doit décocher pour refuser ne constitue pas un consentement valable. La leçon dépasse le cas d’espèce : tout mécanisme qui déduit votre accord de votre inaction, case pré-cochée, poursuite de navigation ou silence, ne produit aucun consentement. La Cour précise d’ailleurs que cette lecture vaut que les informations stockées constituent ou non des données personnelles, ce qui ferme la porte à l’argument selon lequel un simple identifiant technique échapperait aux exigences. Pour le lecteur confronté à un dépôt anticipé, l’arrêt fournit l’arme principale : un traceur déposé avant un acte positif clair de votre part repose sur un consentement inexistant.
L’histoire française du contentieux confirme cette trajectoire. À l’été 2019, la CNIL a adopté ses lignes directrices du 4 juillet 2019 relatives à l’application de l’article 82 de la loi du 6 janvier 1978 aux opérations de lecture et d’écriture dans le terminal des utilisateurs, tout en annonçant une période d’adaptation pour laisser aux opérateurs le temps d’intégrer les nouvelles règles. Deux associations, La Quadrature du Net et Caliopen, ont alors saisi le Conseil d’État pour faire juger que la poursuite de la navigation ne pouvait constituer un consentement valable et pour obtenir une injonction en ce sens. Par sa décision du 16 octobre 2019, le juge administratif a rejeté leur requête : « La requête des associations » La Quadrature du Net » et » Caliopen » est rejetée » (CE, 10e-9e ch. réunies, 16 octobre 2019, n° 433069). Cet échec procédural, lié à la nature des actes attaqués, de simples communiqués présentant un plan d’action, n’a pas affaibli le fond : la CNIL a poursuivi son plan, adopté le 17 septembre 2020 des lignes directrices complétées par une recommandation détaillant les modalités pratiques de recueil du consentement, et engagé ses campagnes de contrôle. L’épisode enseigne une méthode : contester une doctrine générale devant le juge administratif est ardu, tandis que démontrer, preuves à l’appui, qu’un site précis a déposé des traceurs sans votre accord préalable ouvre des recours bien plus directs.
La validation de la doctrine est venue le 19 juin 2020, lorsque le Conseil d’État, saisi par des professionnels du marketing digital, a examiné la délibération du 4 juillet 2019. Le juge n’a annulé que le seul quatrième alinéa de l’article 2 de cette délibération et a rejeté le reste de la contestation : « Le surplus des conclusions de la requête […] est rejeté » (CE, 10e-9e ch. réunies, 19 juin 2020, n° 434684). Les opérateurs ne pouvaient donc plus soutenir que l’exigence d’un accord préalable avant tout dépôt relevait d’une interprétation excessive du régulateur : elle exprime l’état du droit, sous contrôle du juge.
La démonstration la plus éclatante reste la sanction infligée à Google. Par une délibération du 7 décembre 2020, la formation restreinte de la CNIL a prononcé « des amendes administratives d’un montant respectif de 60 et 40 millions d’euros » à l’encontre de Google LLC et de Google Ireland Limited pour manquement à l’article 82 de la loi du 6 janvier 1978 (CE, 10e-9e ch. réunies, 28 janvier 2022, n° 449209). Les deux sociétés ont contesté cette sanction devant le Conseil d’État, plaidant notamment l’incompétence de la CNIL au profit du mécanisme de guichet unique du règlement européen. Le Conseil d’État a balayé l’argument : la répression des manquements à l’article 82, « transposant les objectifs du paragraphe 3 de l’article 5 de la directive 2002/58/CE », relève bien de la CNIL, et la procédure a été jugée régulière. Sur le fond, le juge a rappelé que le régime antérieur posait déjà le principe d’un consentement préalable, d’une information claire et complète et d’un droit d’opposition, de sorte que la sanction ne méconnaissait ni la légalité des peines ni la sécurité juridique. Dispositif : « La requête des sociétés Google LLC et Google Ireland Limited est rejetée. » Trois enseignements pour votre dossier : un dépôt sans accord préalable caractérise un manquement sanctionnable, la CNIL est bien l’autorité compétente pour le poursuivre en France, et les montants peuvent atteindre des dizaines de millions d’euros pour les grands opérateurs, ce qui donne du poids à votre plainte individuelle.
II. Vos recours pas à pas : prouver le dépôt anticipé, exiger, saisir et obtenir réparation
A. Constater et exiger : preuves techniques, demande d’effacement et mise en demeure
Tout commence par la preuve, car un dépôt anticipé ne se voit pas à l’œil nu. Avant toute démarche, constituez un dossier daté. Capturez le bandeau tel qu’il s’affiche à la première visite, en navigation privée, sans avoir cliqué sur quoi que ce soit, avec l’heure visible. Ouvrez ensuite les outils de développement de votre navigateur, onglet stockage ou application, et photographiez la liste des cookies déjà présents avec leurs domaines émetteurs : vous y verrez souvent des noms de régies publicitaires qui n’ont rien à voir avec le site visité. Notez l’adresse exacte de la page, la date et l’heure, le navigateur utilisé, et conservez si possible une courte vidéo du rechargement de la page montrant l’apparition des traceurs avant tout clic. Ces éléments établissent le fait central : des informations ont été stockées ou lues sur votre terminal avant toute manifestation de volonté de votre part. Si le site prétend ensuite que vous aviez consenti, rappelez-lui que la preuve lui incombe et que vos captures contredisent sa version.
Adressez ensuite une demande écrite à l’éditeur du site, dont les coordonnées figurent en principe dans les mentions légales. Exposez les faits avec vos pièces, rappelez que l’article 82 de la loi du 6 janvier 1978 exigeait votre consentement préalable, et formulez trois demandes précises : la suppression des traceurs déposés sans votre accord et des données collectées par leur intermédiaire, la confirmation écrite que plus aucun traceur non nécessaire n’est déposé avant votre choix, et la communication des tiers destinataires de vos données de navigation afin que vous puissiez exercer vos droits auprès d’eux. Fondez la demande d’effacement sur le droit à l’effacement du règlement européen, qui oblige le responsable à effacer vos données dans les meilleurs délais lorsque vous retirez le consentement sur lequel le traitement était fondé. Un identifiant en ligne déposé par un cookie, dès lors qu’il permet de vous suivre de site en site, constitue une donnée personnelle au sens du règlement, de sorte que le droit à l’effacement s’applique à vos identifiants publicitaires. Fixez un délai raisonnable de réponse, d’un mois, qui correspond au délai de droit commun des demandes d’exercice des droits, et envoyez votre courrier par un canal qui laisse une trace, courriel avec accusé ou lettre recommandée.
Si l’éditeur ne répond pas, répond à côté ou refuse, passez à la mise en demeure. Ce courrier, plus ferme, récapitule les faits et les pièces, vise les textes, impartit un dernier délai de quinze jours pour supprimer les traceurs et les données et mettre le bandeau en conformité, et annonce qu’à défaut vous saisirez la CNIL et engagerez une action en réparation. La mise en demeure n’est pas une étape imposée par les textes avant la plainte, mais elle renforce considérablement votre dossier : elle démontre votre bonne foi, fige la mauvaise foi du professionnel et chiffre le point de départ de votre préjudice moral, l’agacement, la perte de temps et le sentiment de surveillance se prolongeant après votre signalement. Conservez-en une copie avec la preuve d’envoi : la CNIL comme le juge y seront attentifs.
Un point mérite une vigilance particulière : l’identité des responsables. La CNIL précise que l’obligation de recueillir le consentement s’impose aussi aux acteurs qui déposent des traceurs par l’intermédiaire des éditeurs, par exemple lorsque ces derniers autorisent le dépôt de cookies qui sont ensuite lus par des régies publicitaires. Ces acteurs sont alors regardés comme des « responsables conjoints du traitement » dès lors qu’ils déterminent ensemble les finalités et les moyens des opérations de lecture et d’écriture sur votre terminal (CNIL, Cookies et traceurs : que dit la loi). Autrement dit, la régie publicitaire qui lit le cookie qu’elle a fait déposer par l’éditeur n’est pas un simple spectateur : elle détermine avec lui les finalités et les moyens du suivi, et répond à ce titre des manquements. Adressez donc vos demandes aux deux, éditeur et régie identifiée dans vos captures, et conservez la preuve de chacun de vos envois. Cette coresponsabilité élargit vos débiteurs et interdit au site de se défausser sur son prestataire.
B. La CNIL et le juge : plainte, sanction et action en réparation contre l’éditeur et la régie
Lorsque l’éditeur persiste, la plainte devant la CNIL constitue le levier le plus accessible. Le règlement européen ouvre ce recours à toute personne concernée, qui peut introduire une réclamation auprès de l’autorité de contrôle de l’État membre de sa résidence habituelle, de son lieu de travail ou du lieu de la violation. En France, cette autorité est la CNIL, et la plainte se dépose en ligne sur le service de plainte de la CNIL, en joignant vos captures, vos courriers et les réponses reçues (CNIL, Déposer une plainte). Décrivez avec précision le manquement : dépôt de traceurs avant tout clic, absence de bouton de refus au premier niveau, impossibilité de retirer le consentement, identité de l’éditeur et des régies relevées dans votre navigateur. La CNIL examine les plaintes reçues et oriente son action : depuis mai 2021, elle a mené des campagnes ciblées sur l’exigence d’un refus aussi simple que l’acceptation, avec une soixantaine d’organismes mis en demeure dans un premier temps, puis une trentaine de nouvelles mises en demeure à l’issue de ses contrôles, soit près de quatre-vingt-dix acteurs visés sur ce seul sujet (CNIL, Refuser les cookies doit être aussi simple qu’accepter). Votre plainte individuelle alimente donc une stratégie de contrôle éprouvée, et non un signalement isolé.
La procédure qui suit obéit à une gradation. Après instruction, la présidente de la CNIL peut adresser une mise en demeure enjoignant à l’organisme de se conformer dans un délai fixé. En cas d’inaction, elle saisit la formation restreinte, qui statue après une procédure contradictoire et peut prononcer une injonction de mise en conformité, éventuellement sous astreinte, ainsi qu’une amende administrative. Le Conseil d’État, dans l’affaire Google précitée, décrit ce pouvoir : la formation restreinte peut prononcer « une astreinte dont le montant ne peut excéder 100 000 euros par jour de retard », outre l’amende (CE, 28 janvier 2022, n° 449209). Vous n’obtiendrez pas personnellement le montant de l’amende, qui est versé au Trésor public, mais la sanction publique constate officiellement le manquement et facilite votre action en réparation. Notez aussi que la décision de la CNIL peut être contestée devant le Conseil d’État par le professionnel sanctionné, comme Google l’a fait en vain, tandis que vous conservez, en cas d’insatisfaction sur le sort de votre réclamation, un recours juridictionnel contre l’autorité de contrôle prévu par le règlement.
Le second levier, souvent sous-estimé, est l’action directe devant le juge judiciaire pour obtenir réparation. Le règlement garantit à chaque personne concernée un droit au recours juridictionnel effectif lorsqu’elle estime que ses droits ont été violés par un traitement illicite, et y ajoute un droit à indemnisation : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement peut obtenir réparation auprès du responsable du traitement ou du sous-traitant. Le dépôt de cookies avant votre choix, en violation de l’article 82 de la loi française combiné aux règles du consentement du règlement, constitue une telle violation. Le préjudice moral, perte de contrôle sur vos données de navigation, profilage publicitaire subi pendant des mois, temps consacré aux démarches, est indemnisable même sans perte financière, et le préjudice matériel peut résulter d’achats déclenchés par un ciblage non consenti ou de frais engagés pour faire valoir vos droits. Assignez l’éditeur et, lorsque vos preuves l’identifient, la régie coresponsable, en produisant vos captures, vos courriers, la mise en demeure restée vaine et, si elle existe, la décision de la CNIL. Les montants alloués en matière de cookies restent variables selon les juridictions, mais la multiplication des constats officiels, arrêt Planet49, lignes directrices validées, sanction Google confirmée, rend la faute de plus en plus difficile à contester pour les sites qui persistent à déposer leurs traceurs avant votre clic.
Les professionnels du commerce en ligne sont du reste prévenus par les pouvoirs publics eux-mêmes : la fiche officielle consacrée aux règles du e-commerce rappelle aux vendeurs leurs obligations d’information et renvoie expressément vers les règles de la CNIL applicables aux cookies et autres traceurs (Service public, Faire du commerce en ligne : règles à respecter). Un site marchand qui dépose des traceurs publicitaires avant votre choix ne peut donc prétendre ignorer la règle. Si votre litige porte au contraire sur un site qui bloque tout accès tant que vous n’acceptez pas les traceurs, la situation relève du mur de traceurs, que nous traitons dans notre analyse du site qui bloque l’accès en cas de refus des cookies : les preuves et les recours s’y articulent différemment, autour de l’absence de choix réel plutôt que de l’antériorité du dépôt (lire notre analyse du mur de traceurs).
Conclusion
Un cookie déposé avant votre choix n’est jamais un fait accompli : c’est un manquement caractérisé à l’exigence d’un consentement préalable, libre, spécifique, éclairé et univoque, sanctionné par la Cour de justice depuis l’arrêt Planet49, encadré par la doctrine de la CNIL validée par le Conseil d’État et puni de sanctions lourdes, dont les 60 et 40 millions d’euros infligés à Google et confirmés en 2022. La méthode tient en quatre gestes : constater techniquement le dépôt anticipé avant tout clic, exiger par écrit la suppression des traceurs et des données auprès de l’éditeur et de la régie coresponsable, déposer une plainte documentée devant la CNIL, puis agir en justice pour obtenir réparation de votre préjudice moral et matériel. Conservez chaque capture et chaque courrier : c’est à l’éditeur de prouver votre consentement, et votre dossier méthodique fera la différence, devant la CNIL comme devant le juge.
Besoin d’un avis rapide sur votre dossier
Pour un avis sur votre dossier en numérique et données personnelles, Maître Reda KOHEN, avocat au Barreau de Paris, reçoit en consultation téléphonique : 80 EUR TTC. Joignez vos captures du bandeau, la liste des traceurs relevés et vos échanges avec le site. Téléphone : 06 46 60 58 22. Page contact : https://kohenavocats.fr/formulaire-de-contact/.