En septembre 2025, la CNIL, l'autorité française de protection des données, a établi un record en une seule journée : une amende de 325 millions € contre Google et une de 150 millions € contre Shein — toutes deux pour violations du consentement aux cookies. L'infraction précise de Google ? Rendre le refus des cookies plus difficile que leur acceptation.

Cette asymétrie est l'une des erreurs les plus répandues sur les sites européens. Et elle se trouve en ce moment même sur des millions de sites de PME — invisible pour leurs propriétaires, parfaitement visible pour les régulateurs.

Les bannières de cookies ne sont pas un exercice de case à cocher. C'est un mécanisme juridique d'obtention d'un consentement valide au titre du RGPD et de la directive ePrivacy — et la plupart de celles que nous auditons échouent sur au moins deux ou trois exigences. Cet article passe en revue les cinq violations les plus fréquentes, ce que la loi exige réellement, et comment corriger chacune.

Avant d'aborder les erreurs, il est utile de comprendre ce qui est réellement exigé.

Le consentement aux cookies dans l'UE est régi par deux textes qui fonctionnent ensemble :

La directive ePrivacy (2002/58/CE) — aussi appelée « loi cookies » — exige qu'aucun cookie non essentiel ne soit déposé sur l'appareil d'un utilisateur avant qu'il n'ait donné un consentement préalable éclairé.

Le RGPD — définit comment ce consentement doit être obtenu : libre, spécifique, éclairé et univoque (article 4(11)). Le silence, l'inactivité ou les cases pré-cochées ne comptent pas (considérant 32).

L'arrêt de référence qui a défini ce que cela signifie en pratique fut Planet49 (affaire C-673/17), un arrêt de la Cour de justice de l'UE de 2019. Planet49, une société de jeux allemande, utilisait une case pré-cochée lors d'une inscription à une loterie en ligne pour obtenir le consentement aux cookies. La CJUE a jugé cela invalide — un consentement actif et affirmatif est requis. Cet arrêt est devenu la référence de toutes les actions d'application qui ont suivi.

En février 2025, le projet de règlement ePrivacy — qui aurait remplacé la directive — a été formellement retiré. La directive et le RGPD continuent donc de régir les cookies dans l'UE, chaque État membre les appliquant un peu différemment. L'harmonisation ne viendra pas. L'application, elle, s'intensifie.

Erreur 1 : rendre le refus plus difficile que l'acceptation

C'est la violation la plus courante que nous voyons — et celle qui a valu à Google son amende de 325 millions € en 2025.

L'erreur : Le bouton « Tout accepter » est grand, visible et coloré. L'option « Refuser » est enfouie — dans un menu de paramètres, en petit texte gris, ou accessible seulement après plusieurs clics.

Pourquoi c'est illégal : L'article 7 du RGPD exige un consentement « libre ». La task force Bannières de cookies de l'EDPB (créée en 2021, conclusions publiées en 2023) a été explicite : un bouton Tout refuser doit être aussi visible et demander aussi peu de clics que le bouton Tout accepter. Un design asymétrique où refuser est plus difficile qu'accepter rend le consentement intrinsèquement non libre.

Comment corriger : Votre bannière de premier niveau — celle qui apparaît immédiatement à l'arrivée sur le site — doit comporter une option Tout refuser clairement visible, du même poids visuel que Tout accepter. Pas en plus petit. Pas en gris quand Accepter est rouge ou vert. Pas besoin de cliquer sur « Paramètres » avant de pouvoir refuser.

L'erreur : Votre site charge des scripts d'analyse, des pixels publicitaires ou des widgets de réseaux sociaux dès le chargement de la page — avant que le visiteur n'ait interagi avec la bannière.

Pourquoi c'est illégal : La directive ePrivacy exige un consentement préalable . « Préalable » signifie avant le dépôt du cookie. Si Google Analytics se déclenche dès qu'on arrive sur votre page, vous avez violé la loi, quoi que dise votre bannière. C'est un défaut d'implémentation technique, et il est extrêmement courant. Beaucoup de créateurs de sites et de thèmes WordPress ont ce problème par défaut.

Comment corriger : Votre implémentation de gestion du consentement doit bloquer tous les scripts non essentiels jusqu'à ce que l'utilisateur fasse un choix actif. C'est le « blocage préalable » ou chargement conditionné au consentement. La plupart des plateformes de gestion des cookies (CookieYes, Cookiebot, Osano, etc.) l'implémentent lorsqu'elles sont bien configurées. Installer un simple plugin de bannière ne suffit pas — vous devez vérifier que les scripts sont réellement bloqués.

Vous pouvez le tester vous-même avec les outils de développement de votre navigateur. Ouvrez l'onglet Réseau, videz-le, puis chargez votre site. Avant de cliquer sur quoi que ce soit dans la bannière, cherchez des appels vers google-analytics.com, facebook.com/tr ou des domaines similaires. Si vous en voyez — votre bannière est décorative, pas fonctionnelle.

Erreur 3 : des descriptions de finalités vagues ou absentes

L'erreur : La bannière dit quelque chose comme « Nous utilisons des cookies pour améliorer votre expérience » ou « Nous utilisons des cookies à des fins d'analyse et de personnalisation » sans préciser ce que cela signifie concrètement.

Pourquoi c'est illégal : L'article 4(11) du RGPD exige un consentement spécifique et éclairé. L'arrêt Planet49 a en outre établi que les sites doivent divulguer la durée de vie de chaque cookie et si des tiers peuvent accéder aux données qu'il collecte. Un langage générique vague ne constitue pas un consentement éclairé.

Comment corriger : Votre bannière et votre politique de cookies liée doivent expliquer, pour chaque catégorie :

Cela n'a pas besoin d'être exhaustif sur la bannière elle-même — mais cela doit être clairement accessible via un lien, et le langage doit être assez simple pour qu'une personne non technique puisse faire un choix véritablement éclairé.

Erreur 4 : pas de contrôles granulaires par catégorie

L'erreur : La bannière ne propose que deux options — Tout accepter ou Tout refuser — sans possibilité de choisir entre les catégories (nécessaires, analytiques, marketing, fonctionnels).

Pourquoi c'est un problème : Si un Accepter/Refuser binaire respecte techniquement l'exigence minimale, les orientations de l'EDPB recommandent fortement les contrôles granulaires, et plusieurs autorités nationales (la CNIL en France, les autorités allemandes) en ont fait une attente de bonne pratique. Plus important : c'est mauvais pour vos utilisateurs. Quelqu'un qui accepterait l'analyse mais refuserait les cookies publicitaires n'a aucun moyen d'exprimer cette préférence.

Comment corriger : Structurez votre consentement aux cookies en au moins trois catégories :

Chaque catégorie non essentielle doit avoir un interrupteur indépendant, désactivé par défaut. Les utilisateurs doivent pouvoir accepter certaines catégories et en refuser d'autres.

L'erreur : Une fois les cookies acceptés, il n'y a aucun moyen évident de changer d'avis ou de retirer son consentement. La bannière disparaît et les paramètres sont inaccessibles.

Pourquoi c'est illégal : L'article 7(3) du RGPD dispose que la personne concernée a le droit de retirer son consentement à tout moment, et le retrait doit être aussi simple que l'octroi. Si accepter a pris un clic sur une bannière, retirer doit être accessible avec un niveau d'effort similaire.

Comment corriger : Il vous faut un moyen permanent et toujours accessible pour gérer les préférences de cookies. L'implémentation la plus courante est une petite icône « Paramètres des cookies » ou « 🍪 » dans le pied de page, qui rouvre le panneau de consentement à tout moment. Ce lien doit être visible sur chaque page — pas seulement l'accueil, et pas caché dans votre politique de confidentialité.

Bonus : le sophisme de la « poursuite de navigation »

Beaucoup de sites anciens affichent encore : « En poursuivant votre navigation sur ce site, vous consentez à notre utilisation des cookies. »

C'est définitivement invalide. L'arrêt Planet49 a explicitement traité ce point. L'EDPB l'a confirmé. Le silence, la poursuite de navigation et le défilement ne sont pas un consentement.

Si cette formule figure sur votre site, supprimez-la immédiatement et remplacez-la par un véritable mécanisme de consentement.

Comment vérifier votre propre bannière en 5 minutes

Voici un auto-audit rapide à faire dès maintenant :

  1. Ouvrez votre site dans un onglet privé/incognito (efface les décisions de consentement existantes)
  2. Une bannière de cookies apparaît-elle ? Sinon — vous n'en avez probablement pas du tout
  3. Une option Refuser est-elle visible dès le premier écran ? S'il faut d'abord cliquer sur Paramètres — c'est l'erreur 1
  4. Ouvrez les outils de développement → onglet Réseau → chargez la page avant de cliquer sur quoi que ce soit. Des scripts d'analyse ou publicitaires apparaissent-ils ? — C'est l'erreur 2
  5. Lisez le texte de la bannière. Nomme-t-il des outils précis (Google Analytics, Facebook Pixel) ? Indique-t-il la durée des cookies ? — Non ? C'est l'erreur 3
  6. Pouvez-vous sélectionner des catégories individuelles ? Seulement accepter/refuser binaire ? — C'est l'erreur 4
  7. Après acceptation, trouvez-vous un moyen de changer vos préférences ? Regardez dans le pied de page. S'il n'y a rien — c'est l'erreur 5

Ou lancez notre outil d'audit RGPD gratuit et obtenez un score en moins de 30 secondes.

Ce que la correction coûte réellement

Bonne nouvelle : la conformité cookies fait partie des corrections RGPD les moins chères et les plus rapides. La plupart des mises en œuvre se font en une demi-journée :

Le coût de l'inaction est plus difficile à prévoir — mais 325 millions €, c'est un chiffre qui a tendance à concentrer les esprits.

Cet article est fourni à titre informatif et ne constitue pas un conseil juridique.

À lire aussi :

⚠️ Cet article est fourni à titre purement informatif et ne constitue pas un conseil juridique. Pour les situations de conformité complexes, consultez un professionnel qualifié de la protection des données. Les exigences du RGPD et de l'AI Act européen font l'objet d'orientations réglementaires continues — vérifiez vos obligations actuelles avec votre conseiller juridique.