Vous cliquez sur « Tout refuser » et les traceurs publicitaires se déposent quand même. Vous retirez votre consentement et le site continue de lire les cookies déjà installés. Ces pratiques ne sont pas de simples réglages mal conçus : elles ont déjà coûté des millions d’euros à des éditeurs. Le 27 novembre 2025, la Commission nationale de l’informatique et des libertés (CNIL) a ainsi sanctionné la société American Express Carte France d’une amende de 1,5 million d’euros pour des manquements aux règles applicables aux cookies, notamment le dépôt de traceurs sans consentement ou malgré le refus, et la poursuite de la lecture de traceurs malgré le retrait du consentement, selon le communiqué de la CNIL. Un an plus tôt, le Conseil d’État avait rejeté le recours de la société Voodoo contre une sanction de 3 millions d’euros prononcée pour un manquement à l’article 82 de la loi du 6 janvier 1978, après la lecture d’un identifiant technique malgré le refus du suivi publicitaire exprimé par les utilisateurs, comme le retrace la décision du Conseil d’État du 14 mai 2024. Les cookies figurent d’ailleurs parmi les principaux sujets des sanctions prononcées par la CNIL en 2025, année dont le montant cumulé des amendes atteint 486 839 500 euros d’après le bilan officiel de la CNIL. Les développements qui suivent sont de portée générale : ils décrivent les vérifications et les recours utiles dans toute situation comparable et ne décrivent la situation d’aucune société nommée dans cet article, sur laquelle l’article ne formule aucun constat. Ce guide explique d’abord ce qu’un site doit obtenir de vous avant tout dépôt de traceur, puis comment retirer votre consentement, exiger l’effacement de vos données, saisir la CNIL et obtenir réparation.
I. Refuser les cookies : un consentement qui ne se présume jamais
A. Ce que le site doit obtenir de vous avant de déposer le moindre traceur
En France, le dépôt et la lecture de traceurs obéissent à un texte précis : l’article 82 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, en vigueur dans sa rédaction actuelle depuis le 1er juin 2019. Ce texte impose d’abord une information : tout abonné ou utilisateur d’un service de communications électroniques « doit être informé de manière claire et complète » de la finalité de toute inscription d’informations dans son équipement terminal ou de tout accès à des informations déjà stockées, ainsi que des moyens dont il dispose pour s’y opposer, comme l’énonce l’article 82 de la loi Informatique et Libertés. Le même article pose ensuite la condition décisive : « Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement ». Autrement dit, le principe est l’interdiction de déposer ou de lire un traceur sans un consentement préalable, éclairé par une information claire et complète. Cette règle nationale transpose en droit français l’article 5, paragraphe 3, de la directive 2002/58/CE du 12 juillet 2002 sur la vie privée et les communications électroniques, qui subordonne le stockage d’informations dans l’équipement terminal de l’utilisateur, ou l’accès à des informations déjà stockées, à une information claire et complète et au droit de refuser ce traitement.
Le consentement exigé n’est pas un consentement de façade. Il répond à la définition du règlement (UE) 2016/679 du 27 avril 2016, dit règlement général sur la protection des données : un consentement libre, spécifique, éclairé et univoque, que l’utilisateur peut retirer à tout moment aussi simplement qu’il l’a donné, comme le rappelle la page de la CNIL consacrée à ce que dit la loi. La Cour de justice de l’Union européenne a concrétisé cette exigence à plusieurs reprises. Dans son arrêt du 1er octobre 2019, dit Planet49, elle a jugé que le consentement n’est pas valablement donné lorsque le stockage d’informations par cookies est autorisé au moyen d’une case cochée par défaut que l’utilisateur doit décocher pour refuser, selon le dispositif publié sur EUR-Lex. Dans son arrêt du 11 novembre 2020, dit Orange România, elle a ajouté qu’il appartient au responsable du traitement de démontrer que la personne a, par un comportement actif, manifesté son consentement après avoir reçu une information présentée sous une forme compréhensible et aisément accessible, en des termes clairs et simples, de sorte que le consentement soit donné en pleine connaissance de cause, comme l’énonce le dispositif publié sur EUR-Lex. Une case pré-cochée, une information noyée dans des conditions générales ou un accord déduit de votre silence ne valent donc pas consentement.
Le Conseil d’État a confirmé cette lecture à l’occasion de son contrôle des lignes directrices de la CNIL. Par sa décision du 19 juin 2020, rendue sur le recours de plusieurs organisations professionnelles contre la délibération de la CNIL du 4 juillet 2019, il a validé l’essentiel du cadre posé par l’autorité, n’annulant que le quatrième alinéa de l’article 2 de cette délibération. La décision rappelle au passage la position du Comité européen de la protection des données selon laquelle, face à un mur de traceurs qui bloque l’accès au site en cas de refus, les utilisateurs ne sont pas en mesure de refuser le recours à des traceurs sans subir de conséquences négatives, en l’occurrence l’impossibilité d’accéder au site consulté. Si un site vous bloque l’accès au seul motif que vous refusez les traceurs, un guide dédié aux murs de traceurs détaille les recours propres à cette situation.
Ce cadre a été précisé par la CNIL elle-même : après ses lignes directrices du 4 juillet 2019, partiellement annulées sur un seul point par le Conseil d’État comme il vient d’être rappelé, l’autorité a adopté le 17 septembre 2020 des lignes directrices modificatives et une recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux cookies et autres traceurs, complétées par une série de questions-réponses dont la question n° 12 impose la symétrie entre accepter et refuser. Ces actes, dont le Conseil d’État a rejeté à deux reprises l’annulation, en 2022 puis en 2026, forment avec la loi et le règlement le socle opposable aux éditeurs : un site ne peut plus prétendre ignorer ce qu’on attend de son bandeau.
Deux précisions complètent ce tableau. D’abord, tous les traceurs ne sont pas soumis au consentement : l’article 82 écarte ceux dont la finalité exclusive est de permettre ou de faciliter la communication électronique, et ceux strictement nécessaires à la fourniture d’un service en ligne à votre demande expresse. Les traceurs de mesure d’audience peuvent également être exemptés lorsque des conditions strictes sont réunies, ce que la CNIL et le service public dédié aux entreprises détaillent. En revanche, les traceurs publicitaires, les traceurs de réseaux sociaux et les traceurs de partage de données avec des partenaires relèvent du consentement préalable. Ensuite, le responsable à qui vous adresser n’est pas toujours le seul éditeur visible : lorsque des éditeurs autorisent le dépôt de cookies qui sont ensuite lus par des régies publicitaires, ces dernières sont réputées responsables conjoints du traitement dès lors qu’elles déterminent conjointement les finalités et les moyens de la lecture et de l’écriture sur votre terminal, comme l’explique la CNIL. Vous pouvez donc agir contre l’éditeur du site comme contre le partenaire publicitaire qui exploite vos données.
B. Un refus qui doit être aussi simple que l’acceptation
Le droit de refuser serait théorique si le bandeau rendait le refus compliqué. Le principe est désormais solidement établi : refuser les traceurs doit être aussi simple que les accepter. Le Conseil d’État l’a consacré en validant la question-réponse n° 12 des lignes directrices de la CNIL, qui impose cette symétrie : par sa décision du 8 avril 2022, il a rejeté les requêtes des organisations du marketing qui contestaient cette exigence. Concrètement, un bandeau qui propose un bouton « Tout accepter » bien visible mais enterre le refus au fond d’un paramétrage à plusieurs clics, ou qui multiplie les écrans pour décourager le refus, méconnaît cette règle. Le Conseil d’État a prolongé cette logique très récemment : par sa décision du 19 juin 2026, il a rejeté la demande d’abrogation de la recommandation de la CNIL du 17 septembre 2020, présentée par une association qui reprochait à l’exemple de bannière figurant dans cette recommandation de ne pas placer l’acceptation et le refus au même degré de simplicité. L’exigence de symétrie entre accepter et refuser sort donc renforcée des prétoires, y compris pour l’ergonomie fine des bandeaux.
Le service public résume l’état du droit applicable aux entreprises en des termes que tout internaute peut retourner à son profit : refus aussi simple que l’acceptation, poursuite de la navigation qui ne vaut jamais consentement, et preuve du recueil qui incombe à l’entreprise. Trois conséquences pratiques en découlent pour vous. Premièrement, continuer à naviguer sur un site après avoir ignoré le bandeau ne vaut pas acceptation : si des traceurs publicitaires ont été déposés alors que vous n’avez cliqué sur rien, le consentement fait défaut. Deuxièmement, la charge de la preuve pèse sur le site, pas sur vous : c’est à l’éditeur de démontrer qu’il a recueilli un consentement valable, pas à vous de prouver que vous n’avez jamais consenti. Troisièmement, la CNIL recommande que le site conserve votre refus aussi longtemps qu’il conserve un consentement, afin de ne pas vous redemander votre choix à chaque visite : un site qui vous repose la question à chaque page malgré vos refus répétés s’expose à la critique. Face à un bandeau non conforme, capturez-le : photographiez le bandeau tel qu’il s’affiche, le nombre de clics nécessaires pour refuser, l’absence de bouton de refus au premier niveau et, le cas échéant, les traceurs déposés malgré votre refus, visibles dans les outils de votre navigateur. Ces captures constitueront vos premières preuves.
Vérifiez par vous-même ce qu’un site dépose réellement sur votre terminal : tous les navigateurs courants permettent d’afficher les cookies enregistrés site par site, de les supprimer un par un ou en totalité, et de bloquer par défaut les traceurs tiers. Comparez ce relevé avec votre choix exprimé sur le bandeau : des traceurs publicitaires présents alors que vous avez cliqué sur « Tout refuser », ou réapparus après la suppression et sans nouveau consentement, établissent concrètement le manquement. Notez aussi la persistance de votre choix : à titre d’illustration, le site du service public des entreprises indique conserver le choix de l’internaute pendant six mois avant de le solliciter à nouveau. Un site qui vous repose la question à chaque visite, ou qui oublie votre refus d’une page à l’autre, ne respecte pas la symétrie exigée entre acceptation et refus.
Le refus n’épuise pourtant pas le sujet. Refuser pour l’avenir n’efface pas les traceurs déjà déposés ni les données déjà collectées, et le retrait de votre consentement obéit à un régime propre, plus protecteur encore. C’est l’objet de la seconde partie de ce guide.
II. Après le refus : retirer, effacer et faire respecter vos droits
A. Retirer votre consentement et exiger l’effacement de vos données
Le retrait du consentement est un droit permanent, et sa mise en œuvre doit être simple. L’article 7, paragraphe 3, du règlement général sur la protection des données l’énonce sans détour : le retrait doit être aussi simple que le consentement donné, comme le reprend le chapitre 2 du règlement publié par la CNIL. Le retrait ne remet pas en cause la licéité des traitements effectués avant lui, mais il produit ses effets pour l’avenir : une fois votre consentement retiré, le site ne peut plus déposer de nouveaux traceurs soumis au consentement ni poursuivre un traitement fondé sur ce seul consentement. Surtout, le retrait ouvre la voie à l’effacement. L’article 17 du règlement reconnaît à toute personne le droit d’obtenir rapidement du responsable du traitement l’effacement de ses données lorsque, notamment, elle retire le consentement sur lequel est fondé le traitement et qu’il n’existe pas d’autre fondement juridique à ce traitement, selon le chapitre 3 du règlement publié par la CNIL. Les données collectées par des traceurs publicitaires reposent presque toujours sur votre seul consentement : une fois celui-ci retiré, l’éditeur n’a plus de base légale pour les conserver et doit les effacer. Le traitement illicite, par exemple un dépôt intervenu sans consentement ou malgré votre refus, ouvre également ce droit à l’effacement.
Un droit voisin mérite d’être connu : le droit d’opposition. Lorsque vos données sont traitées à des fins de prospection, vous pouvez vous opposer à tout moment à ce traitement, y compris au profilage lié à cette prospection, et les données ne doivent alors plus être traitées à ces fins, comme le prévoit le chapitre 3 du règlement publié par la CNIL. Ce droit est particulièrement utile contre le reciblage publicitaire : ces bandeaux qui vous poursuivent de site en site avec le produit que vous avez consulté une fois reposent sur des traceurs et des profils que vous pouvez faire cesser. L’opposition à la prospection n’exige aucune justification liée à votre situation particulière, contrairement à l’opposition aux traitements fondés sur l’intérêt légitime : elle est absolue pour cette finalité.
En pratique, agissez en trois temps. D’abord, retirez votre consentement sur le site lui-même : les sites conformes proposent un module de gestion des cookies, souvent accessible par un lien « Gérer mes cookies », « Confidentialité » ou « Paramètres » en bas de page, qui permet de retirer le consentement aussi simplement qu’il a été donné. Si ce module n’existe pas ou s’il ne fonctionne pas, notez-le : cette absence est en elle-même un indice de non-conformité. Ensuite, supprimez les traceurs déjà installés dans votre navigateur : chaque navigateur propose une fonction de suppression des cookies, site par site ou en totalité, ainsi que des réglages permettant de bloquer par défaut les traceurs tiers. Cette suppression locale complète utilement le retrait : elle fait disparaître de votre terminal les fichiers déjà déposés, tandis que votre demande d’effacement adressée à l’éditeur vise les données conservées sur ses serveurs et chez ses partenaires. Enfin, écrivez au responsable du site pour exiger l’effacement des données collectées par ses traceurs : adressez une demande écrite, en visant l’article 17 du règlement, en rappelant la date de votre refus ou de votre retrait, et en joignant vos captures du bandeau et du paramétrage. Conservez une copie de cet envoi et de la réponse : ces échanges baliseront la suite si le site n’agit pas.
Rédigez cette demande avec soin : identifiez-vous précisément, indiquez l’adresse du site et les pages visitées, rappelez la date et les modalités de votre refus ou de votre retrait, listez les traceurs constatés si vous avez pu les relever dans votre navigateur, et demandez expressément l’effacement des données collectées par ces traceurs ainsi que la confirmation écrite de cet effacement, y compris auprès des partenaires avec lesquels ces données ont été partagées. Si le site ne publie aucun contact dédié à la protection des données, adressez votre demande au responsable de la publication ou au service client en mentionnant qu’elle est formée au titre de l’article 17 du règlement : l’absence de contact dédié ne vous prive d’aucun droit et prive surtout le site d’un argument.
Si l’éditeur ne répond pas, répond de manière évasive ou refuse l’effacement sans justifier d’un autre fondement juridique, ne vous arrêtez pas là : l’inaction ou le refus injustifié ouvre la voie aux recours décrits ci-après, devant la CNIL puis devant le juge.
B. Saisir la CNIL et obtenir réparation devant le juge
La plainte devant la CNIL est le recours naturel de l’internaute confronté à des traceurs indésirables. Elle se dépose en ligne sur le service des plaintes de la CNIL, après avoir exercé vos droits auprès du responsable du site lorsque c’est possible. Constituez un dossier solide : captures du bandeau et du parcours de refus, preuve du dépôt de traceurs malgré votre refus ou après votre retrait, copie de votre demande d’effacement et de la réponse reçue, adresse exacte des pages concernées et identification de l’éditeur. Plus votre dossier documente précisément le manquement à l’article 82 de la loi du 6 janvier 1978, plus il est exploitable : la CNIL traite en priorité les plaintes étayées. Si votre plainte reste sans réponse ou si son traitement s’enlise, un guide dédié à la plainte CNIL sans réponse explique comment relancer, contester et articuler ce recours avec l’action en justice.
Les pouvoirs de la CNIL donnent à cette plainte un poids réel. L’autorité peut prononcer des amendes administratives dont les montants se chiffrent en millions d’euros pour les manquements aux règles sur les traceurs, comme l’illustre l’actualité rappelée en introduction de cet article. Elle peut aussi ordonner la mise en conformité sous injonction, éventuellement sous astreinte financière : dans une affaire jugée le 14 mai 2024, le Conseil d’État a ainsi validé une injonction de mise en conformité dans un délai de trois mois, assortie d’une astreinte de 20 000 euros par jour de retard, selon la décision publiée sur Légifrance. Le contexte est celui d’une répression soutenue : les cookies comptent parmi les principaux sujets des sanctions de l’année 2025, dont le total cumulé dépasse 486 millions d’euros d’après le bilan de la CNIL. Votre plainte individuelle rejoint donc un contentieux de masse dans lequel l’autorité a montré qu’elle sanctionnait des pratiques autrefois banalisées, y compris la poursuite de la lecture de traceurs après le retrait du consentement.
Le juge peut en outre réparer votre préjudice personnel. L’article 82 du règlement général sur la protection des données ouvre à toute personne victime d’un dommage matériel ou moral causé par une violation du règlement un droit à réparation contre le responsable du traitement ou le sous-traitant, comme le reprend le chapitre 8 du règlement publié par la CNIL. Le traçage publicitaire subi malgré un refus ou un retrait caractérise une violation ouvrant ce droit à réparation : le profilage de votre navigation, la revente de vos données à des partenaires que vous n’avez jamais choisis et la perte de contrôle sur vos informations constituent un dommage moral indemnisable, auquel peuvent s’ajouter des dommages matériels lorsque le traçage a servi des démarchages ou des décisions vous concernant. L’action se porte devant le tribunal judiciaire contre le responsable du traitement, éditeur ou partenaire publicitaire, en joignant l’ensemble des preuves réunies : captures, échanges avec l’éditeur, dépôt de plainte à la CNIL et suite qui lui a été donnée. Lorsque plusieurs responsables participent au même traitement, chacun peut être tenu pour l’ensemble du dommage, ce qui sécurise la réparation effective de la victime.
Préservez vos preuves dans le temps : les bandeaux changent, les sites se mettent parfois en conformité après votre signalement, et un manquement constaté aujourd’hui peut avoir disparu demain. Datez vos captures, conservez les fichiers d’export de vos relevés de traceurs, gardez l’intégralité de vos échanges avec l’éditeur et, pour les enjeux importants, faites établir un constat par un commissaire de justice qui décrira le bandeau, le parcours de refus et les traceurs déposés. Un dossier horodaté et complet fait la différence tant devant la CNIL que devant le juge.
En résumé, le droit des traceurs n’est pas un décor : il vous donne un refus qui doit être simple, un retrait qui doit être aussi simple que le consentement, un effacement exigible dès lors que le consentement disparaît sans autre fondement, une autorité qui sanctionne lourdement et un juge qui répare. Documentez chaque étape, écrivez au responsable, saisissez la CNIL en ligne, puis faites chiffrer votre préjudice. Chaque manquement documenté compte : un bandeau asymétrique, un traceur déposé sans clic, une lecture poursuivie après retrait et un effacement refusé sont autant de griefs distincts que la CNIL et le juge peuvent sanctionner séparément. Les internautes qui appliquent cette méthode ne subissent plus les bandeaux : ils les font respecter.