La CNIL contrôle les bannières de cookies depuis plusieurs années. Ses décisions dessinent une liste d'erreurs récurrentes. Cinq reviennent presque systématiquement.
Je les retrouve chez la plupart des sites que j'audite. Aucune n'est difficile à corriger, une fois repérée.
Erreur n°1 : refuser demande plus d'efforts qu'accepter
C'est le manquement le plus sanctionné, et de loin.
Le cas typique : un bouton « Tout accepter » bien visible, et un refus caché derrière « Paramétrer ». Le visiteur doit alors cliquer deux ou trois fois pour refuser. Un seul clic suffisait pour accepter.
En janvier 2022, la CNIL a sanctionné Google à hauteur de 150 millions d'euros pour ce motif. Facebook a reçu 60 millions la même semaine. Dans les deux cas, refuser était simplement plus long.
Comment corriger : placez « Refuser » au même niveau que « Accepter », dès le premier écran. Même taille, même contraste, même nombre de clics.
Erreur n°2 : déposer des cookies avant le choix
Cette erreur est invisible à l'œil nu. Elle est pourtant la plus grave sur le fond.
La bannière s'affiche correctement. Mais les scripts de mesure se sont déjà exécutés, et les cookies sont déjà là. Le consentement arrive trop tard : il ne sert plus à rien.
Le contrôle est simple. Ouvrez votre site en navigation privée, refusez tout, puis inspectez les cookies dans les outils de développement. S'il reste un cookie de mesure, le compte n'y est pas.
Comment corriger : votre outil doit réellement bloquer les scripts, pas seulement afficher un message. C'est la différence entre une bannière décorative et une bannière conforme.
Erreur n°3 : rendre le retrait impossible
Le visiteur accepte, la bannière disparaît, et plus rien ne permet de revenir en arrière.
Or le retrait du consentement doit être aussi facile que son recueil. C'est une obligation, pas une option de confort. Beaucoup de sites conformes au premier écran échouent sur ce point.
Comment corriger : laissez une icône discrète ou un lien en pied de page. Un clic doit rouvrir les préférences et permettre de tout refuser.
Erreur n°4 : le consentement global, sans détail
Une seule case pour tout accepter ne suffit plus.
Le visiteur doit pouvoir trier. Il peut vouloir la mesure d'audience, mais pas la publicité ciblée. Un consentement en bloc ne lui laisse pas ce choix.
La difficulté est souvent en amont : beaucoup de sites ignorent la liste exacte de leurs services tiers. Analytics, régies, cartes, vidéos, chat en ligne, boutons de partage : l'inventaire réserve des surprises.
Comment corriger : recensez vos services, puis regroupez-les par finalité. Chaque catégorie doit pouvoir être acceptée ou refusée séparément.
Erreur n°5 : les formulations orientées
La CNIL parle d'interfaces trompeuses. Le principe est de pousser à l'acceptation sans le dire.
Plusieurs procédés reviennent souvent.
- Un bouton d'acceptation coloré face à un refus grisé, presque effacé.
- Une formule culpabilisante du type « Accepter pour profiter pleinement du site ».
- Un refus rédigé en plus petit, ou dans une teinte plus claire.
- Une croix de fermeture qui vaut acceptation.
Comment corriger : traitez les deux options à égalité stricte. Si un visiteur hésite sur le bouton à cliquer, l'interface est déjà orientée.
Le contrôle en trois minutes
Vous pouvez auditer votre propre site sans outil particulier.
- Ouvrez votre site en navigation privée. Un refus est-il proposé dès le premier écran ?
- Refusez tout, puis rechargez. Reste-t-il des cookies de mesure ?
- Cherchez comment revenir sur votre choix. Trouvez-vous un accès en moins de dix secondes ?
Trois « oui » et votre bannière tient la route. Un seul « non » suffit à constituer un manquement.
Questions fréquentes
Un petit site risque-t-il vraiment une sanction ?
Une mise en demeure précède généralement toute amende. Elle impose un délai de correction. Le risque immédiat est donc surtout une perte de temps et de crédibilité.
Que déclenche un contrôle de la CNIL ?
Souvent une plainte de visiteur. Parfois une campagne thématique sur un secteur donné. Les contrôles en ligne se font à distance, sans préavis.
Le mur de cookies est-il interdit ?
Il n'est pas interdit par principe, mais il est très encadré. Bloquer tout accès en cas de refus expose à une contestation, sauf alternative réelle proposée au visiteur.
Combien de temps garder la preuve du consentement ?
La CNIL recommande six mois, durée alignée sur la validité du consentement. Au-delà, ces preuves doivent être supprimées.
Une extension gratuite suffit-elle ?
Cela dépend de ce qu'elle fait réellement. Beaucoup affichent un message sans bloquer le moindre script. Vérifiez toujours par le test du refus.
Pour aller plus loin
Ces cinq erreurs couvrent l'essentiel des manquements constatés. Le cadre complet mérite toutefois d'être connu.
Notre article de référence détaille vos obligations cookies en 2026. Pour l'aspect visuel, voyez notre guide sur la personnalisation de la bannière. Et si vous utilisez Google Ads, lisez notre guide du Consent Mode v2.
