Un bandeau de consentement n’est pas une formalité d’affichage : c’est la fabrique d’une preuve juridique. Voici ce que chaque bouton engage, ce que la CNIL impose et où se cachent les réglages qui restent actifs.
Un bandeau cookies ne demande pas l’autorisation de déposer des fichiers : il demande votre consentement à des finalités, et il fabrique en même temps la preuve que le site devra produire en cas de contrôle. « Tout accepter » vaut accord pour l’ensemble des partenaires listés, souvent plusieurs centaines. « Tout refuser » doit être accessible au même niveau depuis les sanctions de la CNIL de décembre 2021. Fermer la fenêtre par la croix ou continuer à naviguer ne vaut ni accord ni refus, et laisse la question ouverte.
La page s’assombrit avant d’avoir fini de s’afficher. Une fenêtre annonce que le site et « 847 partenaires » utilisent des cookies pour vous proposer des contenus adaptés. Deux boutons, un lien discret en dessous, un onglet « Paramétrer » écrit en gris clair. Vous voulez lire un article de quatre paragraphes. Vous cliquez sur le bouton coloré.
Ce geste dure moins d’une seconde et il produit un document. Votre choix est enregistré, horodaté, encodé dans une chaîne de caractères, et cette chaîne accompagnera ensuite chaque demande d’affichage publicitaire de la page. Le bandeau n’est pas là pour vous informer : il est là pour fabriquer la preuve que le site devra produire si la CNIL lui demande sur quelle base il a déposé ses traceurs.
Comprendre cette fonction change la lecture. Un bandeau se déchiffre en trois questions : que demande-t-il exactement, à qui profite l’accord, et qu’est-ce qui reste actif quand vous refusez. Les trois réponses sont écrites dans la fenêtre, rarement au même endroit.
La règle française ne parle pas de cookies. L’article 82 de la loi Informatique et Libertés vise toute action tendant à accéder à des informations déjà stockées dans votre équipement terminal, ou à en inscrire. Un cookie relève de cette définition, mais aussi un pixel, un identifiant écrit dans le stockage local, un mouchard intégré à une application mobile ou la lecture des caractéristiques de votre machine.
Deuxième déplacement : ce que vous autorisez n’est pas un fichier, c’est une finalité. Le consentement doit être spécifique, donc exprimé finalité par finalité. Accepter la mesure d’audience ne vaut pas acceptation de la publicité personnalisée, et la fenêtre doit permettre de distinguer les deux.
Troisième déplacement, le plus utile en pratique : certains traceurs n’ont besoin d’aucun accord. Sont exemptés ceux qui sont strictement nécessaires au service que vous avez demandé, comme le contenu d’un panier, l’authentification à un compte, la mémorisation d’un choix de langue ou la répartition de charge entre serveurs. La CNIL exempte aussi la mesure d’audience, à condition qu’elle serve le seul éditeur, qu’elle ne soit pas recoupée avec d’autres traitements et que les données ne soient pas conservées au-delà de vingt-cinq mois.
Les libellés varient d’un site à l’autre, mais ils se ramènent à un petit nombre de cas dont les effets juridiques ne sont pas les mêmes.
| Ce que vous faites | Statut juridique | Ce qui peut se déposer ensuite |
|---|---|---|
| « Tout accepter » | Consentement pour toutes les finalités et tous les partenaires listés | L’intégralité des traceurs déclarés |
| « Tout refuser » ou « Continuer sans accepter » | Refus exprès, opposable et enregistré | Uniquement les traceurs exemptés de consentement |
| « Paramétrer » puis validation finalité par finalité | Consentement partiel et spécifique | Ce que vous avez coché, et rien d’autre |
| Fermer par la croix | Ni accord ni refus, question laissée ouverte | Uniquement les traceurs exemptés |
| Continuer à naviguer sans rien cliquer | Absence de consentement depuis 2020 | Uniquement les traceurs exemptés |
Le bouton de refus au premier niveau n’a pas toujours existé. Il s’est généralisé en France après le 31 décembre 2021, quand la CNIL a sanctionné deux très grandes plateformes à hauteur de 150 et de 60 millions d’euros, non pour ce qu’elles collectaient, mais parce que refuser demandait plusieurs clics là où accepter n’en demandait qu’un. Le principe est simple : le refus doit être exprimable au même niveau et avec le même nombre d’actions que l’acceptation.
Les éditeurs français font état, depuis cette généralisation, d’ordres de grandeur de refus situés entre 30 et 50 % des visiteurs selon les audiences. Autrement dit, l’emplacement d’un bouton décide du sort de la moitié d’un modèle économique, ce qui explique le soin apporté aux contrastes de couleurs.
La plupart des fenêtres françaises reposent sur le cadre de transparence et de consentement du secteur publicitaire. Il normalise une liste de finalités, ce qui rend les bandeaux comparables entre eux une fois qu’on en connaît la structure.
| Groupe | Ce que la case autorise | Effet si vous l’acceptez seule |
|---|---|---|
| Stocker et accéder à des informations sur l’appareil | Le dépôt et la lecture eux-mêmes | Case pivot : sans elle, la plupart des autres ne peuvent pas fonctionner |
| Publicité (sélection, profilage, personnalisation) | Constituer un profil et choisir les annonces en fonction | C’est la publicité ciblée au sens courant |
| Contenu personnalisé | Adapter les articles, vidéos et recommandations affichés | Touche l’éditorial, pas seulement la publicité |
| Mesure de performance des publicités et des contenus | Compter les affichages, les clics et les achats consécutifs | Alimente la facturation des annonceurs |
| Études d’audience et recoupement de sources | Croiser les données de plusieurs sites ou services | Sort du périmètre exempté par la CNIL |
| Développement et amélioration des services | Utiliser vos données pour concevoir de nouvelles fonctions | Finalité large, souvent la moins lue |
Deux entrées supplémentaires sont rangées à part, sous le nom de fonctionnalités spéciales, et méritent une attention particulière : l’utilisation de données de géolocalisation précises, et l’analyse active des caractéristiques de l’appareil à des fins d’identification. La seconde formulation désigne l’empreinte du navigateur, une technique qui ne dépose rien et fonctionne donc même après un effacement complet des cookies. Son mécanisme et ses limites sont détaillés dans l’étude de l’empreinte du navigateur.
Le RGPD prévoit plusieurs bases légales pour traiter des données, dont le consentement et l’intérêt légitime. Le dépôt du traceur, lui, exige toujours un consentement au titre de l’article 82. Mais ce qui est fait ensuite des données peut, pour certaines finalités, être revendiqué sur la base de l’intérêt légitime, avec un simple droit d’opposition à la place d’un accord préalable.
Concrètement, la fenêtre comporte alors deux colonnes ou deux onglets. La première liste les finalités soumises à consentement, avec des interrupteurs éteints par défaut. La seconde liste celles revendiquées au titre de l’intérêt légitime, avec des interrupteurs allumés par défaut, qu’il faut éteindre un par un ou par un bouton « s’opposer à tout » qui n’est pas toujours au même endroit que le bouton de refus général.
La version 2.2 du cadre, entrée en vigueur en 2023, a supprimé la possibilité d’invoquer l’intérêt légitime pour les finalités publicitaires proprement dites. Il subsiste pour des finalités de mesure et d’amélioration des services, ce qui suffit à faire une différence : un « tout refuser » cliqué au premier niveau ne coupe pas systématiquement la seconde colonne. Vérifier ce point demande d’ouvrir le panneau détaillé une fois, sur les quelques sites que vous fréquentez tous les jours.
La mention « nous et nos 847 partenaires » n’est pas une figure de style. Le registre des acteurs enregistrés dans le cadre publicitaire européen compte plus d’un millier d’entreprises, et chaque site en sélectionne une partie. Accepter en bloc, c’est donner un consentement à chacune, avec sa propre politique de conservation et ses propres destinataires.
Ce que vous autorisez ne se limite d’ailleurs pas à un affichage. Votre choix est encodé dans une chaîne de caractères transmise avec chaque demande d’affichage publicitaire, laquelle est diffusée à des dizaines de plateformes d’achat en même temps. La Cour de justice de l’Union européenne a jugé le 7 mars 2024 que cette chaîne est elle-même une donnée à caractère personnel. Le détail de cette mécanique d’enchères figure dans la description de la chaîne du ciblage publicitaire.
Un cookie wall, ou mur de traceurs, conditionne l’accès au contenu à l’acceptation des traceurs, ou au paiement d’un abonnement sans publicité ciblée. La CNIL avait posé en 2019 une interdiction générale ; le Conseil d’État l’a annulée en juin 2020, jugeant que l’autorité ne pouvait pas édicter une telle règle absolue par voie de lignes directrices.
La CNIL a donc publié en 2022 des critères d’évaluation au cas par cas. Trois comptent vraiment. Il faut une alternative réelle : soit un accès payant, soit un accès à un contenu équivalent ailleurs. Le tarif doit être raisonnable, ce qui s’apprécie au regard du service rendu ; les offres françaises se situent en 2026 dans un ordre de grandeur de deux à cinq euros par mois. Enfin, le périmètre de collecte imposé ne doit pas dépasser ce qui finance réellement le service.
Le Comité européen de la protection des données a resserré l’analyse en avril 2024 pour les très grandes plateformes : un choix binaire entre publicité ciblée et paiement n’y rend pas, en règle générale, le consentement libre, et une troisième voie moins intrusive doit être proposée. La distinction est importante : ce qui est toléré pour un titre de presse régional ne l’est pas pour un réseau social à l’échelle du continent, dont le classement des contenus obéit à une autre mécanique.
Voici le paradoxe qui fatigue les internautes les plus prudents. Votre refus doit bien être mémorisé quelque part, et cet endroit est un cookie ou une entrée de stockage local sur le domaine du site. Si votre navigateur est réglé pour tout effacer à la fermeture, ou si vous naviguez dans une fenêtre privée, le refus part avec le reste. Le bandeau réapparaît, intact, à la visite suivante.
Ce que la navigation privée efface vraiment se limite d’ailleurs à cet espace local : elle ne rend pas anonyme et ne modifie pas les signaux techniques que le site observe. Le compromis pratique consiste à conserver les cookies mais à bloquer les cookies tiers, réglage disponible dans tous les navigateurs courants, qui coupe la majeure partie du suivi entre sites sans détruire vos refus.
Une extension de filtrage produit un effet voisin en amont, en empêchant la requête de partir. Un filtrage au niveau du résolveur de noms de domaine agit encore plus tôt, et couvre aussi les applications mobiles, ce que le navigateur ne sait pas faire ; le mécanisme est expliqué dans le fonctionnement du DNS. Aucun de ces réglages ne remplace le refus, qui reste le seul geste opposable juridiquement.
Une déclaration de conformité se contrôle sans compétence particulière, et le résultat surprend souvent sur des sites institutionnels.
Le même contrôle, appliqué à un site marchand après un achat, révèle en général la partie la moins visible du dispositif : les traceurs de mesure de conversion, qui remontent le montant de la commande. La page cookies et stockage local de ce site décrit la méthode complète et l’applique à ses propres pages.
Un refus bien enregistré arrête les traceurs soumis au consentement sur ce site, sur cet appareil. Il laisse intactes quatre choses, et les connaître évite une fausse impression de protection.
Si vous voulez savoir ce qu’un acteur détient effectivement à votre sujet après tout cela, la voie n’est plus le bandeau mais le droit d’accès, avec les autres demandes récapitulées dans le guide des droits RGPD. Le responsable doit répondre dans un délai d’un mois, prolongeable de deux mois pour les demandes complexes.
Devant une fenêtre de consentement, ne cherchez pas le bouton le plus rapide, cherchez la symétrie. Si le refus demande plus de clics que l’acceptation, si les interrupteurs de la seconde colonne sont allumés, ou si des requêtes publicitaires sont déjà parties avant votre choix, le site est en tort et son bandeau ne protège que lui. Un bandeau correct se reconnaît en trois secondes : deux boutons identiques, côte à côte, et rien qui parte avant.
Il n’en a pas l’obligation, et cela traduit le plus souvent un choix technique. Le refus est conservé dans un cookie ou dans le stockage local du navigateur. Si vous avez réglé votre navigateur pour tout effacer à la fermeture, ou si vous bloquez le stockage du site, le refus disparaît avec le reste et la question se repose. La CNIL recommande par ailleurs de ne pas conserver un choix au-delà de six mois, ce qui explique le retour périodique de la fenêtre même sur un navigateur qui n’efface rien.
Rien ne doit se déposer. La fermeture n’est ni un accord ni un refus : elle laisse la question ouverte, et le site doit s’en tenir aux traceurs exemptés de consentement. En pratique, certains éditeurs traitent la croix comme un refus, ce qui est admis, et d’autres la traitent comme une acceptation, ce qui ne l’est pas. La Cour de justice de l’Union européenne a jugé dès octobre 2019, dans l’affaire Planet49, qu’une case pré-cochée ne vaut pas consentement ; la même logique s’applique à un silence.
Non. Le choix est enregistré pour un domaine, un navigateur et un appareil. Le même refus doit être répété sur votre téléphone, sur votre ordinateur, et dans chaque navigateur installé. Un réglage global existe pourtant, mais il est dans le navigateur et pas dans le bandeau : bloquer les cookies tiers coupe la majorité du suivi entre sites d’un seul geste, comme le rappelle la page cookies et stockage local.
Les liens ci-dessus renvoient vers les textes et les organismes cités. Les dates de consultation sont celles de la dernière relecture, le 13 septembre 2026.
Dans ce thème
Dans la rubrique
Adresse IP, DNS, wifi, fibre, 5G, cookies : le réseau démonté pièce par pièce.