Vous cliquez sur « Tout refuser » et les traceurs continuent de se déposer. Ou pire : le bandeau ne propose qu’un bouton « Tout accepter », perdu au milieu d’un parcours obscur pour dire non. Ces situations ne relèvent pas de la fatalité technique. En droit français, aucun cookie publicitaire, aucun traceur de réseau social, aucun identifiant de terminal utilisé à des fins de ciblage ne peut être déposé ou lu avant que vous ayez exprimé un consentement libre, spécifique, univoque et éclairé, et il doit vous être aussi simple de retirer ce consentement que de le donner. Quand un site ignore votre refus, il s’expose à des sanctions qui se comptent désormais en centaines de millions d’euros, et vous disposez d’une palette d’actions concrètes : exiger l’effacement, saisir la CNIL et demander réparation devant le juge.
Cet article décrit pas à pas ce que l’éditeur d’un site doit respecter face à votre choix, comment réagir lorsque votre refus est contourné, quelles preuves conserver et quels recours engager. Il s’appuie sur l’article 82 de la loi du 6 janvier 1978, sur la doctrine de la CNIL et sur trois arrêts du Conseil d’État rendus entre 2022 et 2025 qui ont validé les sanctions prononcées contre des opérateurs majeurs, ainsi que sur les deux sanctions record du 1er septembre 2025. Chaque situation reste toutefois particulière : la qualification exacte d’un traceur, la preuve du manquement et l’étendue de votre préjudice dépendent des faits de votre dossier, que seul l’examen de vos captures, de vos échanges avec l’éditeur et des constats techniques permettra d’établir.
I. Votre refus doit produire des effets : ce que le site doit respecter
A. Aucun traceur non nécessaire sans votre consentement préalable, libre et éclairé
Le principe est posé par l’article 82 de la loi du 6 janvier 1978, qui a transposé le paragraphe 3 de l’article 5 de la directive 2002/58/CE : « Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement ». Autrement dit, avant de déposer ou de lire un traceur sur votre téléphone ou votre ordinateur, l’éditeur doit d’abord vous informer de manière claire et complète, puis recueillir votre accord. Tant que vous ne l’avez pas donné, rien ne peut être déposé ni lu.
La CNIL précise que ce consentement doit résulter d’une action positive de votre part, une fois informée, avec des moyens mis à votre disposition pour accepter, refuser ou retirer votre accord selon les explications de la CNIL, qui dispose des moyens d’accepter, de refuser et de retirer son consentement. Le silence, les cases pré-cochées ou la simple poursuite de la navigation ne valent pas accord. L’acceptation de conditions générales d’utilisation ne peut pas davantage servir de recueil du consentement. L’information doit être visible, mise en évidence et complète, rédigée en des termes simples et compréhensibles, et elle doit vous éclairer sur les différentes finalités des cookies et sur l’identité des responsables des traitements. Un premier niveau d’information bref sur le bandeau, complété par un second niveau détaillé, suffit lorsque les deux restent accessibles et compréhensibles.
Concrètement, les traceurs qui exigent votre accord préalable sont notamment les cookies liés à la publicité personnalisée et ceux des réseaux sociaux générés par leurs boutons de partage. À l’inverse, certains traceurs échappent au consentement : ceux dont l’accès « a pour finalité exclusive de permettre ou faciliter la communication par voie électronique » ou qui « est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur ». La CNIL range dans cette seconde catégorie le traceur qui conserve le choix que vous avez exprimé sur les traceurs, ceux destinés à l’authentification et à la sécurité du mécanisme d’authentification, celui qui mémorise le contenu de votre panier d’achat, les traceurs de personnalisation de l’interface lorsqu’elle constitue un élément intrinsèque et attendu du service, ceux qui équilibrent la charge des serveurs, ceux qui permettent aux sites payants de limiter l’accès gratuit à un échantillon de contenu, et certains traceurs de mesure d’audience dès lors qu’ils respectent des conditions précises. Tout le reste suppose votre feu vert préalable, requis à chaque fois qu’une nouvelle finalité s’ajoute aux finalités initiales.
La charge de la preuve pèse sur l’éditeur : chaque acteur qui se prévaut de votre consentement doit être en mesure d’en apporter la preuve, par exemple au moyen de captures d’écran horodatées du bandeau affiché, de la conservation des versions successives du code de recueil ou d’audits réguliers de son mécanisme. Si vous contestez avoir consenti, c’est donc au site de démontrer qu’il a recueilli un accord valable, et non à vous de prouver que vous n’avez rien accepté. Cette répartition joue un rôle décisif dans vos démarches : une capture d’écran du bandeau tel qu’il s’est affiché, la date et l’heure de votre visite et la description du parcours proposé suffisent souvent à inverser la pression.
La jurisprudence illustre l’exigence du consentement préalable jusque sur les terminaux mobiles. Par une décision du 29 décembre 2022, la formation restreinte de la CNIL a prononcé une sanction pécuniaire de 3 millions d’euros contre un éditeur d’applications mobiles, assortie d’une injonction de mise en conformité sous astreinte de 20 000 euros par jour de retard, pour ne pas avoir recueilli le consentement des utilisateurs à l’utilisation de l’identifiant technique de leur téléphone de marque Apple à des fins publicitaires. Le Conseil d’État, le 14 mai 2024, a rejeté le recours de la société et jugé que la formation restreinte n’avait pas infligé une sanction d’un montant disproportionné, compte tenu de la gravité du manquement, des avantages financiers qui avaient pu en être tirés et du grand nombre d’utilisateurs concernés. Un identifiant de terminal utilisé pour de la publicité ciblée obéit donc aux mêmes règles que les cookies d’un site : sans consentement préalable, son exploitation constitue un manquement.
B. Refuser aussi simplement qu’accepter, et retirer votre accord à tout moment
Le consentement n’est valide que si vous exercez un choix réel. La CNIL l’exprime sans détour : accepter ou refuser doit se faire avec le même degré de simplicité, comme elle l’explique dans sa page consacrée à la loi applicable. Un bandeau qui affiche un bouton « Tout accepter » bien visible mais enterre le refus au fond d’un second écran, qui multiplie les clics pour dire non ou qui décourage le refus par sa présentation, ne recueille pas un consentement libre. La même exigence vaut pour la suite de votre navigation : retirer votre consentement doit être aussi simple que de l’avoir donné, au moyen de solutions accessibles à tout moment selon la doctrine de la CNIL. Si vous avez accepté un jour, vous pouvez changer d’avis le lendemain, et le site doit mettre à votre disposition un moyen simple de le faire, par exemple un module de paramétrage accessible en permanence depuis ses pages.
L’exigence de liberté du choix est éclairée par le considérant 42 du RGPD, rappelé par la CNIL : sans véritable liberté de choix, ou sans possibilité de refuser ou de retirer son accord sans subir de préjudice, le consentement ne peut passer pour librement donné. Un refus qui vous priverait d’un avantage, qui compliquerait votre navigation ou qui vous exposerait à des relances incessantes ne répond pas à cette définition. La CNIL recommande en outre que le choix soit effectué sur chacun des sites ou applications concernés par le suivi, ce qui interdit de déduire votre accord sur un site du consentement donné sur un autre.
Le Conseil d’État a validé cette lecture à plusieurs reprises. Le 28 janvier 2022, il a rejeté les recours formés contre la délibération du 7 décembre 2020 par laquelle la CNIL avait prononcé des amendes de 60 millions d’euros et de 40 millions d’euros pour manquement à l’article 82 (Conseil d’État, 28 janvier 2022, n° 449209). Les juges ont examiné le parcours imposé à l’internaute : une mention affichée en pied de page, face à laquelle figuraient deux boutons intitulés « Me le rappeler plus tard » et « Consulter maintenant », sans information sur les règles applicables aux cookies ni sur la possibilité de refuser leur implantation, et un chemin qui obligeait à faire défiler toute la fenêtre puis à cliquer sur un bouton « autres options » pour parvenir à l’information. Même après la mise à jour du système et l’affichage d’une fenêtre intitulée « Avant de continuer », la procédure a été jugée non conforme pour la période sanctionnée, et l’astreinte de 100 000 euros par jour de retard, levée le 30 avril 2021 compte tenu des évolutions proposées, n’a pas été regardée comme excessive. Le message est limpide : compliquer le refus, c’est vicier le consentement.
L’affaire la plus récente tranche la question du retrait entravé. Le 29 décembre 2023, la CNIL a prononcé une amende de 10 millions d’euros contre un fournisseur de services en ligne pour deux manquements : des pratiques de lecture et d’écriture de cookies à des fins publicitaires sans recueil préalable du consentement, et des modalités de retrait du consentement faisant obstacle à son exercice. Lors des contrôles effectués en 2020 et 2021, le parcours conduisait, avant de pouvoir retirer le consentement, à l’affichage d’un message indiquant que ce retrait aurait pour conséquence l’impossibilité d’accéder aux produits et services proposés. Le Conseil d’État, le 7 octobre 2025, a rejeté le recours et jugé que « le fait de lier l’utilisation d’un service à l’inscription de cookies non strictement nécessaires au service fourni, pratique qui est assimilable à un » cookies wall « , n’est pas en soi illégale, c’est à la condition que le consentement soit libre, ce qui implique la possibilité de le retirer librement ». Or aucune information n’était délivrée, au moment de la souscription, sur le caractère indissociable du consentement et de la fourniture des services, révélé seulement lorsque l’utilisateur s’engageait dans le parcours de retrait. Le consentement n’était donc ni libre ni éclairé, et la sanction de 10 millions d’euros n’a pas été jugée disproportionnée.
Les contrôles les plus récents confirment que le refus affiché mais ignoré constitue un manquement caractérisé. Le 1er septembre 2025, la CNIL a infligé 150 millions d’euros d’amende à la filiale irlandaise d’une plateforme de commerce en ligne, contrôlée en août 2023, parce que des cookies étaient déposés sans consentement et que les mécanismes de refus et de retrait étaient défaillants : lorsque l’utilisateur cliquait sur le bouton « Refuse all » ou retirait son consentement, de nouveaux cookies étaient déposés et d’autres continuaient d’être lus. Le même jour, la CNIL a prononcé une amende de 325 millions d’euros contre un acteur majeur du numérique, notamment pour des manquements aux règles sur les cookies, dans le cadre de sa stratégie de mise en conformité engagée depuis plus de cinq ans (communiqué de la CNIL du 1er septembre 2025). La CNIL y rappelle que le dépôt de cookies sans consentement reste une priorité de contrôle, au même titre que les murs de traceurs qui conditionnent l’accès à un service à l’acceptation, pratique admise seulement si le consentement demeure libre, avec des alternatives présentées de manière équilibrée, sans encourager un choix plutôt qu’un autre, et une information complète sur les conséquences de chaque option. Un bouton « Tout refuser » qui ne bloque rien n’est donc pas un détail d’ergonomie : c’est le manquement lui-même.
II. Faire respecter votre choix et obtenir réparation
A. Constater le manquement, exiger l’effacement et saisir la CNIL
Face à un bandeau non conforme ou à un refus ignoré, la première étape consiste à figer la preuve. Capturez le bandeau tel qu’il s’affiche à votre première visite, en faisant apparaître la date et l’heure, puis le parcours complet : nombre de clics nécessaires pour refuser, intitulé exact des boutons, absence de bouton « Tout refuser » au premier niveau, message affiché lors du retrait. Si vous avez cliqué sur « Tout refuser » mais que des traceurs publicitaires restent déposés, relevez-le au moyen des outils de votre navigateur, qui affichent les cookies stockés et leur émetteur, et conservez une copie de ces relevés avec leur date. Notez également si le site vous a privée d’accès à un contenu après votre refus ou s’il vous a contrainte à accepter pour continuer : ces éléments caractérisent l’absence de choix réel au sens du considérant 42 du RGPD.
Écrivez ensuite à l’éditeur du site. Cette démarche n’est pas une simple formalité : elle crée une trace écrite, fixe un point de départ à son inertie éventuelle et servira de pièce dans la suite de la procédure. Votre message doit identifier précisément votre visite, décrire le manquement constaté, rappeler que les accès à votre terminal supposent votre consentement préalable en vertu de l’article 82 de la loi du 6 janvier 1978, et formuler des demandes claires : prise en compte effective de votre refus, paramétrage d’un retrait simple et accessible à tout moment, et effacement des données collectées sans votre accord. Lorsque l’éditeur conserve un compte client ou poursuit une prospection malgré votre opposition, les mêmes exigences d’effacement s’appliquent, comme le rappelle l’analyse consacrée aux comptes conservés et à la prospection qui continue malgré l’opposition. Envoyez ce courrier par un moyen qui en établit la réception et conservez-en une copie, ainsi que la réponse ou l’absence de réponse de l’éditeur après un délai raisonnable.
Si l’éditeur ne corrige pas la situation, vous pouvez saisir la CNIL. Les plaintes relatives aux cookies se déposent en ligne, via le service d’adresse d’une plainte de la CNIL, en joignant vos captures, votre courrier à l’éditeur et la description précise du parcours constaté. La CNIL peut alors contrôler le site, mettre l’éditeur en demeure de se conformer et, en cas de manquement persistant, saisir sa formation restreinte, qui prononce les sanctions pécuniaires dont les montants rappelés plus haut montrent la portée : 3 millions, 10 millions, 100 millions, 150 millions puis 325 millions d’euros en quelques années. Ces sanctions, dont le Conseil d’État a confirmé le bien-fondé à plusieurs reprises, sont en outre publiées, avec une anonymisation de l’éditeur à l’expiration d’un délai de deux ans dans les affaires jugées par le Conseil d’État, ce qui ajoute à la mesure financière une dimension réputationnelle. Votre plainte individuelle rejoint ainsi une politique de contrôle ciblée : la CNIL a fait des bandeaux trompeurs, du refus compliqué et des murs de traceurs une priorité durable, et chaque signalement documenté nourrit ses programmes de vérification.
Attention toutefois à ne pas confondre les rôles : la CNIL sanctionne l’éditeur, elle n’indemnise pas les internautes. L’indemnisation relève du juge, et non de la CNIL, comme le précise la CNIL dans sa page sur les indemnisations. La plainte devant la CNIL et l’action en réparation devant le juge sont donc complémentaires : la première fait cesser le manquement et punit l’éditeur, la seconde répare votre préjudice personnel. Mener les deux en parallèle, avec un dossier de preuves commun, constitue la stratégie la plus complète lorsque le manquement est établi et que vous avez subi un dommage identifiable.
B. Demander réparation de votre préjudice devant le juge
Le droit à réparation est prévu par le RGPD : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du texte peut en obtenir réparation auprès du responsable du traitement ou, dans certains cas, du sous-traitant, ainsi que le rappelle la CNIL. Les traceurs déposés sans votre consentement relèvent de ce régime dès lors que les informations collectées permettent de vous identifier, directement ou indirectement, ce qui est le cas usuel des cookies publicitaires et des identifiants de terminal utilisés pour du ciblage. La violation s’apprécie au regard de l’article 82 de la loi du 6 janvier 1978 comme des règles du RGPD sur le consentement, et votre préjudice peut être aussi bien matériel que moral : profilage publicitaire subi contre votre volonté, perte de contrôle de vos données de navigation, temps consacré à faire valoir un refus contourné, exposition de votre vie privée à des partenaires inconnus.
Trois conditions cumulatives gouvernent l’indemnisation, et c’est sur elles que se joue votre dossier. D’abord, une violation du RGPD ou de la loi qui le complète : bandeau sans refus réel, dépôt avant consentement, retrait entravé ou ignoré. Ensuite, un préjudice réel : aux yeux de la CNIL, la seule survenance d’une violation ne suffit pas pour être indemnisé, et il vous appartient de démontrer ce que le manquement vous a concrètement causé (même page). La bonne nouvelle tient au seuil : le préjudice moral n’a pas à atteindre un niveau minimal de gravité, mais il doit être réel et personnellement subi, la simple constatation d’une violation ne suffisant pas. Enfin, un lien entre la violation et le préjudice : il faut établir que votre dommage résulte du manquement, et non d’une circonstance concomitante sans rapport avec lui. En pratique, conservez tous les éléments qui démontrent la violation et ses conséquences : captures du bandeau et du parcours, relevés de cookies, courriers échangés avec l’éditeur, plainte déposée devant la CNIL, justificatifs des démarches et, le cas échéant, des dépenses engagées.
En France, lorsque le responsable est une entreprise ou une personne privée, la demande d’indemnisation relève en principe du tribunal judiciaire. Votre action s’appuie sur le droit à réparation du RGPD, complété par le droit commun de la responsabilité : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer ». Le juge apprécie souverainement l’existence et l’étendue du préjudice, ainsi que le montant de l’indemnité, au vu des pièces produites. La décision de sanction de la CNIL, lorsqu’elle existe, ou les arrêts du Conseil d’État qui la confirment, constituent des éléments de fait précieux pour établir la réalité du manquement, sans dispenser de prouver votre dommage propre. À l’inverse, l’absence de sanction administrative ne fait pas obstacle à votre action : le juge judiciaire apprécie lui-même la violation alléguée, comme l’ont fait les juges administratifs pour les sanctions contre les traceurs publicitaires mobiles ou le retrait du consentement entravé.
Deux voies collectives méritent d’être connues lorsque le même bandeau illicite a affecté des milliers d’internautes. D’une part, l’article 38 de la loi « Informatique et Libertés » ouvre à certaines associations et organisations répondant aux conditions légales la possibilité d’exercer vos droits, y compris le droit à réparation prévu par le RGPD (présentation de la CNIL). D’autre part, depuis la réforme issue de la loi du 30 avril 2025, un régime unifié de l’action de groupe permet, sous certaines conditions, d’obtenir la cessation d’un manquement ou la réparation des préjudices subis par plusieurs personnes placées dans une situation similaire, dispositif qui couvre notamment la protection des données personnelles. Ces voies n’excluent pas l’action individuelle, qui reste la plus adaptée lorsque votre préjudice présente des traits particuliers ou que vous souhaitez une décision rapide sur votre cas.
Le calendrier joue en votre faveur si vous agissez avec méthode, mais il impose de ne pas laisser dormir le dossier. Les preuves techniques s’effacent : les versions du bandeau évoluent, les cookies expirent, les journaux de navigation se perdent. Constatez tôt, écrivez vite à l’éditeur, saisissez la CNIL avec un dossier complet et faites évaluer sans tarder l’opportunité d’une action en réparation, en tenant compte du montant de votre préjudice, du coût de la procédure et des chances d’établir le lien entre le manquement et votre dommage. Un refus de cookies contourné n’est jamais un incident mineur par principe : c’est la trace d’un traitement mis en œuvre sans base légale, et le droit vous donne les instruments pour le faire cesser et en obtenir réparation.
Un site qui refuse votre refus, un bouton « Tout refuser » qui ne bloque rien, un retrait qui coupe l’accès au service : derrière ces parcours se cachent des manquements que la CNIL sanctionne et que le Conseil d’État confirme, jusqu’à 325 millions d’euros. Votre consentement doit être préalable, libre, spécifique et éclairé, votre refus doit être aussi simple que votre acceptation, et votre retrait doit produire ses effets immédiatement. Conservez vos preuves, exigez par écrit la prise en compte de votre choix et l’effacement des données indûment collectées, saisissez la CNIL en cas d’inertie et portez votre préjudice devant le tribunal judiciaire, où le droit à réparation suppose une violation établie, un dommage réel et un lien entre les deux. Documenté avec rigueur, votre dossier cesse d’être une simple contrariété de navigation pour devenir une action juridiquement armée.