Bandeau cookies : à partir de quand est-il obligatoire ?

La réponse courte : un bandeau cookies est obligatoire dès que votre site utilise au moins un traceur qui demande l'accord du visiteur. Plus exactement, la loi impose de recueillir cet accord avant de déposer ces traceurs, et le bandeau est la façon habituelle de le faire.

Peu importe que vous travailliez seul ou avec vingt salariés : la loi ne fait pas de différence selon la taille de l'entreprise. Ce qui compte, c'est ce que fait votre site.

À l'inverse, si votre site n'utilise que des traceurs indispensables à son fonctionnement, ou un outil de statistiques réglé selon les conditions de la CNIL, vous n'avez en principe pas d'accord à demander. Donc pas de bandeau de consentement à afficher.

Voyons comment faire le tri, sans jargon.

Cookie, traceur : de quoi parle-t-on ?

Un cookie est un petit fichier qu'un site enregistre dans le navigateur de votre visiteur, sur son téléphone ou son ordinateur. Il sert par exemple à se souvenir de son panier ou de sa langue.

La loi ne vise pas que les cookies. Elle parle de traceurs au sens large. La CNIL y range notamment les cookies, les « pixels invisibles » (une image minuscule qui signale qu'une page a été vue) et d'autres techniques qui enregistrent ou lisent des informations dans l'appareil du visiteur.

La règle vient de l'article 82 de la loi Informatique et Libertés. En résumé, avant d'enregistrer ou de lire une information sur l'appareil de votre visiteur, vous devez l'informer clairement et obtenir son accord. Deux cas échappent à cet accord :

• le traceur sert uniquement à permettre ou faciliter la communication en ligne, c'est-à-dire l'acheminement des échanges entre l'appareil du visiteur et le site ;
• le traceur est strictement nécessaire à un service que le visiteur a lui-même demandé.

Tout le reste demande un consentement : un accord libre, éclairé, donné à l'avance par un geste clair du visiteur. En pratique, c'est le rôle du bandeau.

Ce qui n'oblige pas à demander l'accord du visiteur

La CNIL donne une liste de traceurs dispensés de consentement. Les plus courants sur un site d'artisan ou de commerçant :

• ceux qui mémorisent le choix du visiteur sur les cookies (accepté ou refusé) ;
• ceux qui servent à la connexion à un espace client et à sa sécurité ;
• ceux qui conservent un panier d'achat ou servent à la facturation ;
• ceux qui gardent une préférence d'affichage attendue, comme la langue ;
• ceux qui répartissent la charge entre plusieurs serveurs pour que le site reste accessible ;
• certains outils de statistiques de visite, sous conditions (voir ci-dessous).

Attention : être dispensé de consentement ne veut pas dire être dispensé de tout. La CNIL rappelle que les données personnelles collectées restent soumises au RGPD, le règlement européen sur la protection des données. Et pour les statistiques, elle recommande d'informer vos visiteurs, par exemple dans votre politique de confidentialité.

Le cas des statistiques de visite

Savoir combien de personnes consultent votre page « Tarifs » est utile. Mais selon la CNIL, l'outil qui le mesure n'est dispensé de consentement que s'il respecte toutes ces conditions :

• il sert uniquement à mesurer l'audience de votre site, pour votre seul compte ;
• il ne produit que des statistiques anonymes ;
• il ne permet pas de suivre vos visiteurs d'un site à l'autre ;
• les données ne sont pas croisées avec d'autres fichiers, ni transmises à des tiers.

La CNIL recommande aussi de limiter la durée de vie du traceur (elle cite treize mois en exemple) et de ne pas conserver les données plus de vingt-cinq mois. Ce sont des recommandations de la CNIL, pas des seuils écrits dans la loi.

Point important : selon la CNIL, certaines offres du marché sortent de cette dispense quand leur fournisseur réutilise les données pour son propre compte. Dans certains cas, un réglage permet de désactiver cette réutilisation. Un même outil peut donc être dispensé ou non, selon sa configuration.

Ne vous fiez donc pas seulement au nom de l'outil. La CNIL indique qu'il revient aux éditeurs de sites, c'est-à-dire à vous, de demander à leurs prestataires les documents qui justifient le respect des règles. Elle propose d'ailleurs aux fournisseurs un outil d'auto-évaluation.

Ce qui déclenche l'obligation du bandeau

D'après la CNIL et Entreprendre Service Public, ces éléments demandent en principe l'accord du visiteur :

Le piège, ce sont les services extérieurs intégrés à votre site : un lecteur vidéo, un bouton de réseau social, un module de réservation ou de prise de rendez-vous. Vous ne les avez pas programmés vous-même. Pourtant, ils peuvent déposer leurs propres cookies depuis votre site. Et c'est à vous, en tant qu'éditeur du site, de veiller à ce que l'accord du visiteur soit demandé quand il le faut.

Bonne nouvelle pour les vidéos et autres contenus extérieurs : la CNIL admet que l'accord soit demandé au moment où le visiteur veut afficher le contenu, dans une petite fenêtre dédiée, plutôt que dans le bandeau général. S'il refuse, il ne voit pas ce contenu et poursuit sa visite sur le reste du site.

Votre site est-il concerné ? La méthode en 3 étapes

Vous n'avez pas besoin d'être technicien. Il vous faut une liste et quelques questions.

1. Faites l'inventaire de ce qui se voit. Parcourez votre site page par page et notez tout ce qui vient d'ailleurs : vidéo, boutons de réseaux sociaux, module de réservation, fil d'actualité, carte, outil de statistiques, publicité.
2. Posez vos questions par écrit à votre prestataire, c'est-à-dire la personne ou la société qui a créé ou qui héberge votre site :
   • Quels traceurs mon site dépose-t-il, qui les dépose et à quoi servent-ils ?
   • Mon outil de statistiques est-il réglé selon les conditions de la CNIL ? Pouvez-vous m'envoyer le document qui le justifie ?
   • Les contenus extérieurs (vidéo, réseaux sociaux, carte, réservation) déposent-ils des traceurs ? Sont-ils bloqués tant que le visiteur n'a pas accepté ?
   • Si j'ai un bandeau : est-ce que je peux prouver les choix de mes visiteurs ?
3. Gardez les réponses. Vous devez pouvoir prouver les accords recueillis. Et pour votre outil de statistiques, la CNIL vous invite à obtenir les justificatifs auprès de vos prestataires. Un e-mail clair de votre prestataire est un bon début.

Retenez l'idée : la présence d'un cookie ne veut pas dire automatiquement qu'il faut un accord. Chaque traceur s'examine selon son usage.

Les règles d'un bandeau correct

Si votre site a besoin d'un bandeau, voici ce que demandent la CNIL et l'administration. Un bandeau qui ne les respecte pas ne vous met pas en règle.

• Avant, pas après. Aucun traceur soumis au consentement ne doit être déposé tant que le visiteur n'a pas accepté.
• Refuser aussi facilement qu'accepter. La CNIL recommande deux boutons de même niveau et de même aspect dès le premier écran, par exemple « Tout accepter » et « Tout refuser ». Un refus caché derrière un second écran, quand accepter tient en un clic, va à l'encontre de ce principe.
• Pas d'accord, pas de traceur. Continuer à naviguer ou fermer le bandeau ne vaut pas accord. Sans acceptation claire du visiteur, rien de ce qui demande un consentement ne doit être déposé.
• Dire à quoi servent les traceurs. Le bandeau présente les finalités, c'est-à-dire les usages (publicité, statistiques, réseaux sociaux…), avec une description courte, puis plus détaillée. La liste des sociétés qui utilisent ces traceurs doit pouvoir être consultée.
• Laisser choisir. Le visiteur doit pouvoir accepter certains usages et en refuser d'autres.
• Se souvenir du choix. La CNIL présente une conservation du choix d'environ six mois comme une bonne pratique, à adapter selon les cas. Elle recommande de conserver le refus comme l'accord, pour ne pas reposer la question à chaque visite.
• Pouvoir changer d'avis. Le visiteur doit pouvoir retirer son accord à tout moment, aussi simplement qu'il l'a donné. Par exemple avec un lien « Gérer mes cookies » visible en bas de chaque page.
• Pouvoir le prouver. Vous devez être en mesure de démontrer que l'accord a bien été recueilli.

Une précision utile : faire accepter des conditions générales d'utilisation ne vaut pas accord pour les cookies.

Le bandeau ne remplace pas les autres informations obligatoires de votre site. Pour celles-ci, consultez notre guide des mentions légales pour un site d'artisan.

Et demain ? Ce qui pourrait évoluer

Cet article décrit les règles actuelles. Elles reposent sur l'article 82 de la loi Informatique et Libertés et sur les lignes directrices et la recommandation publiées par la CNIL en 2020, complétées par sa foire aux questions.

Un projet de réforme européenne, appelé « omnibus numérique », pourrait les faire évoluer. L'un de ses objectifs est de répondre à la multiplication des bandeaux cookies et à la lassitude des internautes face aux demandes d'accord. En février 2026, une page de la CNIL le présentait encore comme une proposition, soumise aux législateurs européens.

Tant qu'un nouveau texte n'est pas adopté puis entré en application, les règles actuelles continuent de s'appliquer. Si vous lisez cet article plus tard, vérifiez où en est la réforme sur cnil.fr avant de modifier votre site.

Votre prochaine étape

Prenez un moment cette semaine pour lister ce qui, sur votre site, vient d'un service extérieur. Puis envoyez les questions ci-dessus à votre prestataire. Selon ses réponses, vous saurez si vous pouvez vous passer de bandeau, ou s'il faut en installer un qui respecte les règles.

Vous préparez un nouveau site ? Posez ces mêmes questions avant sa mise en ligne, quel que soit votre prestataire. Et si vous voulez voir à quoi votre site pourrait ressembler, découvrez comment ça marche, puis demandez une maquette gratuite avec votre numéro SIRET : vous la recevez par e-mail, sans engagement, et vous décidez ensuite.

Article d'information générale, vérifié le 7 novembre 2026. Il ne remplace pas l'avis d'un juriste pour votre situation.