Cookie wall : est-ce légal ? Critères CNIL 2026

« Pour accéder à cet article, acceptez les cookies ou payez 2 € par mois. » Cette formule, généralisée sur les sites de presse français, porte un nom : le cookie wall. Depuis des années, on m’interroge sur sa légalité — et la réponse n’est ni un oui ni un non tranché. Elle tient dans une poignée de critères que la CNIL a fini par expliciter, et que l’avis EDPB 08/2024 est venu compliquer pour les grandes plateformes. Voici où en est le droit, et ce qu’un éditeur peut faire sans s’exposer.

Cookie wall, mur de traceurs : de quoi parle-t-on ?

Un cookie wall (ou « mur de traceurs ») consiste à conditionner l’accès à un service à l’acceptation de traceurs déposés sur le terminal de l’internaute — le plus souvent à des fins de publicité ciblée. Concrètement, si vous refusez les cookies publicitaires, vous n’entrez pas : soit vous consentez, soit vous êtes redirigé vers une alternative payante (le paywall), soit l’accès est purement et simplement bloqué.

La difficulté juridique est immédiate. Le RGPD exige un consentement libre (Art. 4(11) et Art. 7 RGPD). Or, le considérant 42 précise que le consentement n’est pas libre si la personne « ne dispose pas d’une véritable liberté de choix » ou ne peut refuser sans subir de préjudice. Un cookie wall qui ferme la porte au moindre refus met donc mécaniquement sous tension la condition de liberté du consentement. La question n’est pas théorique : c’est ce point précis qui a nourri dix ans de contentieux.

Est-ce légal ? Ce qu’a tranché le Conseil d’État

En 2019, la CNIL avait posé, dans ses lignes directrices « cookies », une interdiction générale et absolue des cookie walls. Les professionnels de la publicité ont attaqué.

Dans sa décision du 19 juin 2020 (n° 434684), le Conseil d’État a désavoué la CNIL sur ce point précis. Le raisonnement est important à comprendre : le juge n’a pas dit que les cookie walls étaient licites. Il a dit que la CNIL ne pouvait pas, par un simple instrument de droit souple (des lignes directrices), édicter une interdiction aussi générale et absolue, alors que le RGPD lui-même n’interdit pas frontalement cette pratique. Le reste des lignes directrices (facilité du refus, durée de conservation, information de l’utilisateur) a en revanche été validé.

Autrement dit : le cookie wall n’est pas interdit par principe, mais sa licéité s’apprécie au cas par cas. Tout se joue sur la question de savoir si, malgré le mur, le consentement reste réellement libre.

Les critères de la CNIL pour un cookie wall licite

Tirant les conséquences de la décision du Conseil d’État, la CNIL a publié des premiers critères d’évaluation de la licéité des cookie walls. Ils ne forment pas une grille automatique — la CNIL raisonne au cas par cas — mais ils fixent le cadre d’analyse. Voici les cinq points structurants.

1. Une alternative réelle et équitable

Lorsque l’internaute refuse les traceurs, l’éditeur doit, dans la mesure du possible, lui proposer une alternative réelle et équitable permettant d’accéder au service sans avoir à consentir. C’est le cœur du dispositif : un mur qui ne laisse aucune porte de sortie est difficilement défendable. Une alternative payante peut constituer cette porte — à condition qu’elle soit sérieuse.

2. Un tarif raisonnable pour l’alternative payante

Le paywall n’est admis que si le prix demandé reste raisonnable. La CNIL refuse volontairement de fixer un seuil chiffré : le caractère raisonnable s’apprécie concrètement, au regard notamment du service rendu et des tarifs de marché. Un tarif prohibitif, calibré pour dissuader tout refus, viderait l’alternative de son sens et ferait retomber le consentement dans la contrainte.

3. Une information claire sur les finalités

L’éditeur doit indiquer clairement quelles finalités justifient la demande de consentement. La CNIL distingue par exemple la publicité ciblée de la personnalisation du contenu éditorial : ce sont des finalités différentes, qui ne peuvent être noyées dans un consentement global. L’internaute doit comprendre ce qu’il paie ou ce qu’il cède.

4. Seuls les traceurs nécessaires pour l’alternative payante

Lorsque l’utilisateur choisit l’alternative — par exemple en payant —, l’éditeur ne peut déposer que les traceurs strictement nécessaires au bon fonctionnement du site. Payer pour échapper à la publicité ciblée, puis se retrouver pisté quand même, serait évidemment contradictoire.

5. L’exception des contenus tiers

L’éditeur peut, au cas par cas, subordonner à consentement l’accès à des contenus hébergés par des tiers (une vidéo intégrée, un bouton de partage vers un réseau social, etc.). Cette exception vise les situations où le traceur est techniquement imposé par le service tiers que l’utilisateur a lui-même demandé.

Ces critères s’articulent avec le régime général du consentement : recueil, preuve, retrait. Si le sujet vous est encore flou, notre guide sur comment recueillir un consentement RGPD valable pose les fondamentaux, et notre guide complet cookies et RGPD détaille la mécanique du bandeau et du refus.

« Consent or pay » : ce que change l’avis EDPB 08/2024

Le cookie wall payant a un cousin plus ambitieux, importé des grandes plateformes : le modèle « consent or pay » (ou pay or okay). Le principe : soit vous consentez à la publicité comportementale et le service est gratuit, soit vous refusez et vous payez un abonnement.

Le Comité européen de la protection des données (EDPB) a rendu sur ce point l’avis 08/2024, spécifiquement consacré aux grandes plateformes en ligne. Sa conclusion est sévère : dans la plupart des cas, une grande plateforme ne pourra pas obtenir un consentement valable si elle enferme l’utilisateur dans un choix binaire entre « consentir à la publicité comportementale » et « payer ».

Deux idées structurent l’avis. D’abord, l’EDPB rappelle que les données personnelles ne sont pas une marchandise : le droit fondamental à la protection des données ne doit pas se transformer en une fonctionnalité qu’il faudrait payer pour préserver. Ensuite, il recommande que l’alternative par défaut ne soit pas simplement « payer », mais une alternative équivalente et gratuite, par exemple un accès financé par une publicité sans profilage (contextuelle plutôt que comportementale), qui traite moins — ou pas — de données personnelles. Le montant éventuellement demandé ne doit jamais être tel que l’utilisateur se sente contraint de consentir.

Attention à bien situer la portée : l’avis 08/2024 vise les grandes plateformes, pas l’éditeur régional moyen. Un petit site d’information n’est pas une plateforme au sens de l’avis. Mais l’esprit — liberté réelle du choix, refus du consentement extorqué par le prix — irrigue désormais toute l’analyse, y compris celle de la CNIL. Le modèle est d’ailleurs contesté devant le juge de l’Union (recours Meta Platforms Ireland, T-319/24), signe que le dernier mot n’est pas dit.

Checklist : un cookie wall défendable en 2026

Si vous envisagez un mur de traceurs, voici la grille que j’utilise en conseil pour évaluer le risque :

• Existe-t-il une alternative au consentement ? Un mur sans issue est le scénario le plus exposé. Prévoyez au minimum une voie d’accès sans publicité comportementale.
• Le tarif de l’alternative payante est-il raisonnable ? Comparez-le au marché et au service rendu. Un prix manifestement dissuasif est un signal de non-conformité.
• Les finalités sont-elles distinguées et explicites ? Publicité ciblée, personnalisation éditoriale, mesure d’audience : chaque finalité doit être identifiable.
• L’internaute qui paie est-il vraiment tranquille ? Côté payant, seuls les traceurs strictement nécessaires. Pas de profilage résiduel.
• Le refus est-il aussi simple que l’acceptation ? Un « tout accepter » bien visible face à un refus enfoui reste un dark pattern interdit, cookie wall ou pas.
• Documentez tout. En cas de contrôle, vous devrez démontrer que le consentement recueilli était libre. La preuve du consentement se construit en amont, pas le jour du contrôle.

C’est précisément ce type d’arbitrage — cartographier les finalités, tracer les bases légales, prouver le consentement traceur par traceur — que Legiscope aide à structurer, plutôt que de le reconstituer à la main sous la pression d’un contrôle.

Ce qu’il faut retenir

• Le cookie wall n’est pas interdit par principe en France : le Conseil d’État (19 juin 2020, n° 434684) a jugé que la CNIL ne pouvait pas l’interdire de façon générale et absolue par de simples lignes directrices.
• Sa licéité s’apprécie au cas par cas, autour d’une question centrale : le consentement reste-t-il réellement libre au sens de l’Art. 7 RGPD ?
• La CNIL a fixé cinq critères : alternative réelle et équitable, tarif raisonnable du paywall, information claire sur les finalités, seuls les traceurs nécessaires côté payant, exception des contenus tiers.
• Le modèle « consent or pay » des grandes plateformes est fragilisé par l’avis EDPB 08/2024 : le choix binaire consentir/payer est, en règle générale, insuffisant ; une alternative gratuite équivalente est attendue.
• Les données ne sont pas une marchandise : un prix conçu pour contraindre au consentement invalide ce consentement.

FAQ

Un cookie wall est-il interdit en France ?

Non, pas par principe. Le Conseil d’État a annulé en 2020 l’interdiction générale et absolue que la CNIL avait posée. Le cookie wall est donc admis, mais sa légalité s’apprécie au cas par cas selon les critères de la CNIL, en particulier l’existence d’une alternative réelle et équitable au consentement.

Quel prix est « raisonnable » pour un paywall alternatif ?

La CNIL refuse volontairement de fixer un seuil chiffré. Le caractère raisonnable s’apprécie concrètement, au regard du service rendu et des tarifs de marché. Un tarif manifestement dissuasif, calibré pour décourager tout refus des traceurs, sera considéré comme privant le consentement de sa liberté.

Le modèle « consent or pay » de Meta est-il légal ?

L’avis EDPB 08/2024 estime que, pour les grandes plateformes, le choix binaire « consentir à la publicité comportementale ou payer » ne permet généralement pas un consentement valable. L’EDPB recommande une alternative gratuite équivalente, par exemple une publicité sans profilage. Le sujet reste en débat devant le juge de l’Union (affaire T-319/24).

Quelle est la différence entre cookie wall et paywall ?

Le cookie wall conditionne l’accès à l’acceptation de traceurs. Le paywall conditionne l’accès à un paiement. Le modèle « consent or pay » combine les deux : consentir aux traceurs (gratuit) ou payer (sans traceurs publicitaires). C’est cette combinaison que la CNIL et l’EDPB encadrent le plus strictement.

---

Vous voulez suivre l’évolution du cadre cookies et consentement sans éplucher chaque délibération ? Recevez nos analyses conformité chaque semaine — décryptées par un docteur en droit, appliquées à votre quotidien d’éditeur ou de DPO.