Consentement aux cookies en 2026 : vos droits, comment refuser et recours CNIL

Le consentement aux cookies : un droit fondamental encadré par la loi

En France, le dépôt de cookies et traceurs sur votre terminal est encadré par l'article 82 de la loi Informatique et Libertés, transposant la directive ePrivacy, et par le RGPD (Règlement Général sur la Protection des Données). Le principe est simple : tout site web doit recueillir votre consentement libre, spécifique, éclairé et univoque avant de déposer des cookies non exemptés sur votre appareil.

Le consentement n'est pas une formalité : c'est un droit opposable. Si un site ne respecte pas les règles (absence de bandeau, bouton « Tout accepter » mis en avant au détriment du bouton « Tout refuser », pré-cochage de cases), vous êtes en droit de le signaler à la CNIL qui peut prononcer des sanctions allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial de l'entreprise.

En 2026, les règles se sont renforcées : la recommandation CNIL de 2020, confirmée par le Conseil d'État en 2022 et mise à jour en 2024, impose que le bouton « Tout refuser » soit aussi facile d'accès que le bouton « Tout accepter ». Les sanctions se multiplient : Google, Amazon, Fnac-Darty et de nombreux autres acteurs ont été mis en demeure ou sanctionnés pour non-conformité.

Les 4 catégories de cookies et les règles de consentement

Tous les cookies ne sont pas soumis au consentement. La loi distingue quatre catégories :

1. Cookies strictement nécessaires (exemptés de consentement). Ils sont indispensables au fonctionnement du site : panier d'achat, session de connexion, mémorisation de vos préférences de consentement. Le site peut les déposer sans vous demander votre autorisation car sans eux, le service ne fonctionne pas. Exemples : cookie de session PHP, panier e-commerce, langue choisie.

2. Cookies analytiques (consentement requis). Ils mesurent l'audience et le comportement de navigation : pages visitées, temps passé, taux de rebond. Google Analytics en est l'exemple le plus courant. La CNIL impose le consentement préalable, sauf si le cookie est configuré en mode « exempté » (anonymisation de l'IP, pas de croisement de données, durée limitée à 13 mois maximum).

3. Cookies publicitaires (consentement requis). Ils permettent de cibler les publicités en fonction de votre navigation historique. Ce sont les plus intrusifs : ils vous suivent d'un site à l'autre (pistage inter-sites). Exemples : Facebook Pixel, Criteo, Google Ads, TikTok Pixel. Le consentement doit être recueilli avant tout dépôt.

4. Cookies de réseaux sociaux (consentement requis). Les boutons de partage (Facebook Like, Twitter Tweet, LinkedIn Share) chargent des scripts qui envoient des données au réseau social même si vous ne cliquez pas dessus. La CNIL exige le consentement avant leur activation.

Vos 5 droits sur le consentement aux cookies

Droit 1 : Le droit de ne pas être tracé sans consentement. Avant tout dépôt de cookie non exempté, le site doit afficher un bandeau clair et complet. Ce bandeau doit vous informer de la finalité de chaque catégorie de cookies et vous permettre d'accepter ou de refuser chaque catégorie individuellement. L'absence de bandeau est une infraction caractérisée.

Droit 2 : Le droit de refuser aussi facilement que d'accepter. Depuis la recommandation CNIL de décembre 2020, confirmée par le Conseil d'État, le bouton « Tout refuser » doit être aussi visible et accessible que le bouton « Tout accepter ». Un site qui impose 3 clics pour refuser contre 1 clic pour accepter est en infraction. Le bouton de refus doit figurer sur le bandeau initial, sans obliger l'utilisateur à naviguer dans des sous-menus.

Droit 3 : Le droit de retirer votre consentement à tout moment. Vous pouvez retirer votre consentement aussi facilement que vous l'avez donné. Le site doit proposer un moyen simple de le faire : lien en bas de page, bouton dans les paramètres du bandeau cookies. Le retrait doit prendre effet immédiatement et le site doit cesser de déposer de nouveaux cookies de la catégorie concernée.

Droit 4 : Le droit à la durée maximale de conservation. Les cookies analytiques et publicitaires ne peuvent pas être conservés plus de 13 mois (recommandation CNIL). Au-delà, le consentement doit être renouvelé. Le site doit vous redemander votre consentement à l'expiration de ce délai.

Droit 5 : Le droit de déposer une plainte auprès de la CNIL. Si un site ne respecte pas vos droits sur les cookies, vous pouvez déposer une plainte en ligne sur cnil.fr/plaintes. La CNIL traite les plaintes individuelles et peut lancer des contrôles, prononcer des mises en demeure et infliger des sanctions pécuniaires.

Comment refuser les cookies : les 3 méthodes légales

Méthode 1 : Le bandeau de consentement (la plus directe). Sur chaque site, le bandeau de consentement doit vous offrir un choix clair. appuyez sur « Tout refuser » ou « Personnaliser » pour décocher les catégories non exemptées. La CNIL impose que ce bouton soit aussi visible que « Tout accepter ». Si le bouton de refus est absent, caché ou difficile d'accès, le site est en infraction.

Méthode 2 : Les paramètres du navigateur (la plus robuste). Chaque navigateur permet de bloquer les cookies tiers dans ses paramètres de confidentialité. Firefox et Brave les bloquent par défaut. Chrome et Edge nécessitent une configuration manuelle : Paramètres > Confidentialité et sécurité > Cookies > « Bloquer les cookies tiers ». Cette méthode interdit le dépôt de cookies tiers avant même que le site ne vous demande votre consentement.

Méthode 3 : Le retrait du consentement (la plus méconnue). Si vous avez accepté les cookies par erreur ou par impatience, vous pouvez retirer votre consentement à tout moment. Cherchez le lien « Gérer mes préférences » ou « Paramètres des cookies » en bas de page ou dans les paramètres du site. Le retrait doit être aussi simple que l'acceptation initiale.

Les infractions les plus courantes et comment les identifier

Infraction 1 : Le bouton « Tout refuser » absent ou difficile d'accès. C'est l'infraction la plus fréquente. Le site affiche un bandeau avec un bouton « Tout accepter » proéminent, mais le bouton « Tout refuser » est absent ou caché dans un sous-menu. La CNIL exige que les deux boutons soient sur le même niveau et de taille équivalente. Si vous devez cliquer sur « Personnaliser » puis décocher des cases pour refuser, c'est non conforme.

Infraction 2 : Le pré-cochage des cases. Les cases correspondant aux cookies publicitaires ou analytiques sont cochées par défaut. Le consentement doit être un acte positif et éclairé : les cases doivent être décochées par défaut. Le pré-cochage est considéré comme un consentement invalide par la CNIL et la Cour de cassation.

Infraction 3 : Le mur de consentement (consent wall). Certains sites bloquent l'accès au contenu si vous refusez les cookies. La CNIL a clairement indiqué que le consentement ne peut pas être conditionné à l'accès au service. Un site ne peut pas vous obliger à accepter les cookies pour lire un article ou utiliser un service gratuit. Le consentement doit être libre, sans conséquence sur l'accès au service.

Infraction 4 : Le bandeau qui réapparaît indûment. Le bandeau de consentement ne doit réapparaître que si votre consentement a expiré (13 mois maximum) ou si les finalités des cookies ont changé. Un site qui affiche le bandeau à chaque visite, même après votre choix, est en infraction.

Infraction 5 : Les cookies déposés avant le consentement. Certains sites déposent des cookies avant même que vous n'ayez vu le bandeau de consentement. C'est une infraction caractérisée : le consentement doit être recueilli avant tout dépôt de cookie non exempté. Vous pouvez vérifier cela en ouvrant les outils de développement du navigateur (F12 > Application > Cookies) avant de cliquer sur le bandeau.

Déposer une plainte auprès de la CNIL : la procédure complète

Si un site ne respecte pas vos droits sur les cookies, vous disposez d'une voie de recours efficace : la plainte en ligne auprès de la CNIL. Cette démarche est gratuite, accessible à toute personne physique et ne nécessite pas d'avocat.

Étape 1 : Documenter l'infraction. Avant de déposer votre plainte, rassemblez les preuves : captures d'écran du bandeau de consentement montrant l'absence du bouton « Tout refuser », captures des paramètres de cookies montrant le pré-cochage, liste des cookies déposés avant votre consentement (via les outils de développement du navigateur), URL du site concerné et date de la constatation.

Étape 2 : Déposer la plainte en ligne. Rendez-vous sur cnil.fr/plaintes et remplissez le formulaire de plainte en ligne. Sélectionnez la catégorie « Cookies et traceurs ». Décrivez précisément l'infraction constatée et joignez vos preuves (captures d'écran). La CNIL accuse réception de votre plainte sous 48h ouvrées.

Étape 3 : Suivi de la plainte. La CNIL examine chaque plainte et peut : classer la plainte sans suite si le site est conforme, engager un contrôle sur place ou en ligne, prononcer une mise en demeure (délai de conformité : généralement 1 à 3 mois), infliger une sanction pécuniaire (jusqu'à 20M€ ou 4 % du CA). La CNIL traite les plaintes individuelles et les regroupe pour des actions coordonnées (contrôles sectoriels).

Étape 4 : Le recours juridictionnel (en complément). Si vous subissez un préjudice direct lié au non-respect de vos droits (perte de données, discrimination algorithmique, harcèlement publicitaire), vous pouvez saisir le tribunal judiciaire en complément de votre plainte CNIL. L'article 82 du RGPD prévoit un droit à réparation pour toute personne ayant subi un dommage matériel ou moral du fait d'une violation du règlement.

Les sanctions prononcées par la CNIL : exemples concrets

La CNIL n'hésite plus à sanctionner les manquements aux règles sur les cookies. Voici des exemples de sanctions récentes :

• Google (2019, confirmé 2022) : la CNIL a infligé une amende de 60 millions d'euros pour absence de bouton « Tout refuser » aussi facile d'accès que « Tout accepter » sur google.fr et youtube.com. Google a dû modifier ses bandeaux de consentement.
• Amazon (2020) : amende de 35 millions d'euros pour non-conformité des bandeaux cookies sur amazon.fr. Le bouton de refus n'était pas aussi accessible que le bouton d'acceptation.
• Fnac-Darty (2022) : mise en demeure pour bandeau de consentement non conforme sur fnac.com et darty.com. Le groupe a dû revoir l'ensemble de ses bandeaux.
• Criteo (2022) : amende de 40 millions d'euros pour manquements multiples, dont l'absence de consentement valide pour le dépôt de cookies de pistage publicitaire.
• TotalEnergies (2023) : amende de 1 million d'euros pour bandeau de consentement non conforme et durée de conservation des cookies excessive.

Ces sanctions montrent que la CNIL applique effectivement les règles et que les consommateurs ont un réel levier en déposant des plaintes.