"Est-ce que je suis obligé de proposer un bouton refuser ?" est une question qui revient constamment chez les éditeurs de sites, souvent posée dans l'espoir que la réponse soit non. Elle est oui, et la CNIL a été explicite sur ce point depuis sa recommandation de 2020, confirmée et durcie ensuite par le Conseil d'État : refuser les cookies non essentiels doit être aussi simple qu'accepter, sans exception de conception, de secteur ou de taille d'entreprise.

Cet article explique exactement ce qu'exige cette règle, pourquoi tant de bandeaux y échouent encore malgré une apparence correcte, comment vérifier techniquement si le vôtre bloque réellement ce qu'il prétend bloquer, et ce que risque un site qui ne s'y conforme pas.

La recommandation de la CNIL sur les cookies et autres traceurs, mise à jour en 2020 puis renforcée à la suite d'une décision du Conseil d'État en 2022, pose une règle simple dans son principe mais exigeante dans son application : les options d'accepter et de refuser doivent être présentées au même niveau d'accessibilité, avec le même nombre de clics et la même visibilité, dès le premier niveau du bandeau.

Un bouton "Tout accepter" massif et coloré, accompagné d'un simple lien "Configurer" ou "En savoir plus" qui renvoie vers un sous-menu où il faut décocher case par case, ne respecte pas cette exigence, quel que soit le texte juridique qui l'accompagne.

Le schéma qui respecte la règle propose, dès le premier niveau, trois options également visibles : tout accepter, tout refuser, et personnaliser les choix. Aucune des trois ne doit exiger davantage d'étapes que les autres pour être menée à terme.

Le problème le plus fréquent n'est pas visuel, il est technique : le bandeau propose bien un bouton refuser visible, mais les scripts d'analytics et de publicité se sont déjà chargés avant que l'utilisateur ait fait le moindre choix. Refuser, dans ce cas, arrête le suivi à partir de ce moment-là, mais les données déjà collectées avant le clic l'ont été sans base légale valable, et un audit technique le révèle immédiatement.

Un deuxième problème courant concerne la persistance du refus : certains sites redemandent le consentement à chaque visite, ou pire, réactivent silencieusement les cookies après un refus initial parce que le mécanisme de mémorisation du choix est mal implémenté. Un refus doit être respecté aussi durablement qu'une acceptation, pas seulement pour la session en cours.

1. Ouvrez votre site dans une fenêtre de navigation privée, sans cookies préalables.
2. Ouvrez les outils de développement de votre navigateur, onglet "Réseau" (Network), avant d'interagir avec le bandeau.
3. Observez si des requêtes vers des domaines comme google-analytics.com, googletagmanager.com, facebook.com/tr ou similaires apparaissent déjà, avant tout clic sur un bouton.

Si ces requêtes apparaissent déjà, votre bandeau a exactement le problème décrit ci-dessus, indépendamment de la qualité de son apparence visuelle.

Les lignes directrices européennes sur les designs trompeurs, intégrées à la pratique de la CNIL, identifient plusieurs schémas qui offrent techniquement les trois options mais les rendent inégales en pratique : utiliser des couleurs à fort contraste uniquement sur le bouton accepter, rendre le bouton refuser visuellement proche du fond pour qu'il passe inaperçu, ou exiger un défilement supplémentaire pour trouver le bouton refuser qui n'est pas nécessaire pour trouver celui d'accepter. Chacun de ces schémas a déjà fait l'objet de mises en demeure ou de sanctions par la CNIL.

Continuer à naviguer, fermer le bandeau avec la croix sans faire de choix explicite, ou faire défiler la page ne constituent jamais un consentement, mais l'inverse est également vrai : aucun de ces comportements ne peut être interprété par le site comme un refus explicite non plus. Sans action positive claire de l'utilisateur, le site doit se comporter comme si aucun consentement n'avait été donné, c'est-à-dire bloquer tout ce qui n'est pas strictement nécessaire.

La CNIL a une position spécifique sur le cookie wall, différente de celle du reste de l'Union européenne à certains égards. Un mur de cookies qui bloque totalement l'accès au contenu sans aucune alternative est examiné au cas par cas par la CNIL, qui tient compte notamment de la nature du service et de l'existence ou non d'une alternative réelle. La prudence reste de mise : un cookie wall pur, sans alternative d'accès, expose à un risque de non-conformité significatif.

Une plateforme de gestion du consentement comme AdOpt ne laisse pas cette implémentation à l'appréciation de qui a conçu le bandeau : elle applique le blocage technique réel avant tout consentement, affiche les trois options au même niveau visuel par construction, mémorise le refus de façon durable et vérifiable, et conserve une preuve horodatée de chaque choix, y compris les refus, avec la version du bandeau affichée à ce moment précis.

Oui. La CNIL est claire : le refus doit être aussi accessible que l'acceptation, au même niveau de l'interface, pas caché dans un sous-menu.

C'est exactement la violation la plus fréquente et la plus sanctionnée : la conformité visuelle ne remplace pas le blocage technique réel. Vérifiez avec la méthode des outils de développement décrite dans cet article.

Oui, le principe de symétrie s'applique aussi à la durée : un refus doit être respecté au moins aussi durablement qu'une acceptation, sans redemander le consentement de façon plus agressive après un refus qu'après une acceptation.

Pas toujours, mais la CNIL l'examine au cas par cas et la prudence reste de mise en l'absence d'alternative réelle d'accès au service.

Il faut un registre horodaté et vérifiable de chaque consentement et chaque refus, incluant la version du bandeau présentée à ce moment-là. C'est exactement ce que fournit une CMP correctement configurée.

• Qu'est-ce qu'un cookie internet ? Le guide complet
• Durée de conservation du consentement aux cookies

Vérifiez en quelques minutes si votre bandeau bloque réellement ce qu'il prétend bloquer. Testez AdOpt gratuitement.

Réservez un échange avec notre équipe