Modèle de bandeau cookies CNIL : politique cookies 2026

L’essentiel. Tout site web déposant des cookies non strictement nécessaires doit obtenir le consentement préalable de l’utilisateur (article 82 LIL, recommandation CNIL 2020). Le bandeau doit permettre un refus aussi simple que l’acceptation au premier niveau. Ce guide fournit un modèle de bandeau conforme, une politique cookies prête à adapter, et la classification des cookies par catégorie avec leur traitement juridique.

Les contrôles CNIL sur les cookies sont devenus systématiques depuis l’entrée en vigueur de la recommandation de septembre 2020 et de la délibération sur les traceurs. La CNIL a sanctionné plusieurs dizaines d’organisations pour défaut de conformité du bandeau ou de la politique cookies. Pour un éditeur de site, disposer d’un modèle de bandeau et d’une politique cookies à jour est une obligation opérationnelle aussi importante que la politique de confidentialité.

Ce guide fournit le cadre légal de référence (article 82 LIL et recommandation CNIL 2020), un modèle de bandeau cookies prêt à intégrer, un modèle de politique cookies, la classification des cookies par catégorie et les mentions obligatoires. Pour la gestion plus large du consentement, voir notre guide opt-in et opt-out RGPD.

Cadre légal : ce qu’imposent l’article 82 LIL et la CNIL

L’article 82 de la loi Informatique et Libertés (transposition de la directive ePrivacy) impose que le dépôt ou la lecture d’un traceur sur le terminal d’un utilisateur :

• Doit être précédé d’une information claire et complète sur les finalités du traitement
• Doit obtenir le consentement préalable de l’utilisateur — sauf exceptions
• Ce consentement doit respecter les conditions du RGPD : libre, spécifique, éclairé, univoque

Les exceptions prévues par l’article 82 LIL couvrent uniquement :

• Les traceurs strictement nécessaires à la fourniture du service expressément demandé par l’utilisateur
• Les traceurs ayant pour finalité exclusive de permettre ou faciliter la communication par voie électronique

Conséquence pratique : tous les cookies analytics, publicitaires, de personnalisation et de réseaux sociaux nécessitent le consentement préalable.

La recommandation CNIL du 17 septembre 2020 précise les modalités opérationnelles. Trois principes structurants :

1. Le refus doit être aussi simple que l’acceptation au premier niveau d’information
2. Le silence ne vaut pas consentement — pas de bandeau « en continuant à naviguer, vous acceptez »
3. L’acceptation et le refus doivent être conservés pour une durée comparable (6 à 13 mois recommandés)

Modèle de bandeau cookies CNIL-conforme

Version 1 — Bandeau standard (équilibré tout accepter / tout refuser)

Cookies et traceurs sur notre site

Nous utilisons des cookies et traceurs pour assurer le fonctionnement du site, mesurer notre audience et, si vous y consentez, personnaliser votre expérience et nos communications.

Vos préférences peuvent être modifiées à tout moment via le pied de page du site.

[TOUT ACCEPTER] [TOUT REFUSER] [Personnaliser]

[Politique cookies] [Politique de confidentialité]

Points de conformité :

• Boutons “Tout accepter” et “Tout refuser” de visibilité et taille équivalente, au même niveau hiérarchique
• “Personnaliser” en option tertiaire pour les utilisateurs souhaitant un choix granulaire
• Lien vers la politique cookies complète
• Possibilité de modifier les préférences ultérieurement mentionnée

Version 2 — Bandeau avec choix granulaire au premier niveau

Cookies et traceurs

Nous utilisons des cookies pour différentes finalités. Vous pouvez accepter, refuser ou paramétrer votre choix par catégorie.

☐ Cookies fonctionnels — strictement nécessaires (toujours activés) ☐ Cookies de mesure d’audience ☐ Cookies de personnalisation ☐ Cookies publicitaires

[ENREGISTRER MES CHOIX] [Tout accepter] [Tout refuser]

Points de conformité :

• Cases non pré-cochées (le consentement doit être un acte positif)
• Catégorisation explicite par finalité
• Bouton “Enregistrer mes choix” reflétant l’acte positif

Configuration du second niveau (modal de personnalisation)

Lorsque l’utilisateur clique sur « Personnaliser » :

Paramètres détaillés des cookies

Cookies strictement nécessaires (toujours actifs) Ces cookies sont indispensables au fonctionnement du site. Ils gèrent votre session, votre panier, votre authentification. Cookies concernés : [lister] Durée : session ou [durée]

Cookies de mesure d’audience ☐ Ces cookies nous permettent de mesurer la fréquentation du site et d’identifier les contenus les plus consultés. Cookies concernés : [Google Analytics / Matomo / Plausible / etc.] Durée : [13 mois maximum recommandé CNIL]

Cookies de personnalisation ☐ Ces cookies adaptent l’affichage du site selon vos préférences et historique. Cookies concernés : [lister] Durée : [détailler]

Cookies publicitaires ☐ Ces cookies permettent de vous proposer des publicités ciblées en fonction de votre navigation. Cookies concernés : [Google Ads, Meta Pixel, LinkedIn Insight Tag, etc.] Durée : [13 mois maximum recommandé CNIL]

Cookies de réseaux sociaux ☐ Ces cookies permettent l’interaction avec les boutons et contenus de réseaux sociaux intégrés. Cookies concernés : [lister] Durée : [détailler]

[ENREGISTRER MES CHOIX] [Tout accepter] [Tout refuser]

Classification des cookies par catégorie

Cookies strictement nécessaires (pas de consentement requis)

Cookies couverts par l’exemption de l’article 82 LIL. Aucun consentement préalable n’est requis.

• Cookies de session utilisateur (authentification, panier d’achat)
• Cookies de préférences techniques (langue, devise)
• Cookies de sécurité (protection CSRF, anti-fraude)
• Cookies de répartition de charge
• Cookies de mesure d’audience exemptés (anonymisation IP, pas de transfert hors UE, conservation limitée — Plausible, Matomo configurés conformément à la CNIL)

Mention dans le bandeau : information mais pas de case à cocher (toujours actifs).

Cookies de mesure d’audience (consentement requis sauf exemption)

Cookies déposés pour analyser le comportement des utilisateurs. Consentement préalable requis sauf si configuration exemptée (recommandation CNIL).

• Google Analytics (consentement requis dans sa configuration standard)
• Hotjar, Mixpanel, Amplitude (consentement requis)
• Plausible Analytics, Matomo (configuration exemptée possible)

Cookies publicitaires et de retargeting (consentement requis)

Cookies destinés à proposer des publicités ciblées. Consentement préalable systématiquement requis.

• Meta Pixel (Facebook, Instagram)
• Google Ads, Google Marketing Platform
• LinkedIn Insight Tag
• TikTok Pixel
• Réseaux d’affiliation et d’attribution

Cookies de personnalisation (consentement requis)

Cookies stockant des préférences allant au-delà de l’usage technique. Consentement requis.

• Recommandations personnalisées
• Affichage de contenus selon profil
• Mémorisation des consultations passées au-delà du fonctionnement de base

Cookies de réseaux sociaux (consentement requis)

Cookies déposés par les widgets et boutons de réseaux sociaux intégrés au site.

• Boutons de partage Facebook, Twitter/X, LinkedIn
• Lecteurs YouTube, Vimeo intégrés
• Live chats sociaux

Modèle de politique cookies

À publier sur une page dédiée, accessible depuis le pied de page et le bandeau cookies.

Politique de gestion des cookies

Dernière mise à jour : [date]

1. Qu’est-ce qu’un cookie ?

Un cookie est un fichier déposé sur votre terminal (ordinateur, smartphone, tablette) lors de votre visite sur notre site. Il permet de vous reconnaître lors de visites ultérieures, de mémoriser vos préférences ou d’analyser votre navigation. Le terme « cookie » désigne ici tous les types de traceurs : cookies HTTP, local storage, identifiants publicitaires, pixels invisibles.

2. Qui dépose les cookies sur notre site ?

Certains cookies sont déposés par [Nom de l’éditeur] (cookies internes ou « first party »). D’autres sont déposés par des partenaires tiers (cookies « third party »). La liste des partenaires et des finalités est précisée dans le tableau ci-dessous.

3. À quoi servent les cookies ?

Les cookies utilisés sur notre site ont les finalités suivantes : [détailler par catégorie].

4. Quelle est la durée de conservation des cookies ?

La durée de conservation est de 13 mois maximum pour les cookies soumis à consentement. Au-delà de cette durée, votre consentement vous sera redemandé. Les durées spécifiques sont précisées dans le tableau des cookies ci-dessous.

5. Tableau des cookies utilisés

Nom	Émetteur	Finalité	Durée
[nom]	[émetteur]	[finalité]	[durée]
…	…	…	…

Ce tableau est mis à jour régulièrement.

6. Comment gérer vos cookies ?

Vous pouvez à tout moment modifier vos préférences en cliquant sur le bouton « Gestion des cookies » disponible en pied de page. Vous pouvez également gérer les cookies directement dans les paramètres de votre navigateur — toutefois, le blocage des cookies strictement nécessaires peut affecter le fonctionnement du site.

7. Vos droits

Conformément au RGPD, vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition concernant les données collectées via les cookies. Pour exercer ces droits, contactez notre Délégué à la Protection des Données à [email DPO].

Vous pouvez également introduire une réclamation auprès de la CNIL si vous estimez que vos droits ne sont pas respectés : https://www.cnil.fr/fr/plaintes.

Erreurs fréquentes sanctionnées par la CNIL

Cinq manquements récurrents :

1. Absence de bouton “Tout refuser” au premier niveau du bandeau
2. Dépôt de cookies non essentiels avant interaction (avant que l’utilisateur ait fait son choix)
3. Cases pré-cochées dans le choix granulaire
4. Bandeau “scroll-to-accept” (“en continuant à naviguer, vous acceptez”)
5. Conservation différenciée acceptation/refus (3 mois pour le refus, 13 mois pour l’acceptation) — non conforme à la recommandation

Ces manquements relèvent de l’article 82 LIL et exposent à des sanctions CNIL pouvant atteindre 2 % du chiffre d’affaires mondial (procédure ordinaire) ou 20 000 euros (procédure simplifiée), souvent assorties d’une mise en demeure publique.

Cas particuliers

Sites de presse en ligne et cookie wall

Le Conseil d’État (arrêt du 19 juin 2020) a admis que conditionner l’accès à un service à l’acceptation des cookies n’est pas illégal en soi, mais doit être apprécié au cas par cas. Pour les sites éditoriaux, la pratique du « cookie wall » est risquée et doit être documentée juridiquement avec alternative payante.

Sites e-commerce

Les cookies de panier et de session sont strictement nécessaires. Les cookies de personnalisation produit, de retargeting et publicitaires nécessitent consentement. La politique cookies doit être accessible avant la finalisation de la commande.

Sites B2B

Le RGPD et la LIL s’appliquent à toute personne physique, y compris dans un contexte professionnel. Les cookies d’analytics et de retargeting déposés sur les sites B2B nécessitent le consentement préalable des visiteurs, indépendamment de leur statut professionnel.

Sites institutionnels et services publics

Mêmes obligations que le secteur privé. Une attention particulière est portée par la CNIL aux sites publics utilisant des cookies de marketing politique ou de profilage.

Outils techniques recommandés

Pour la gestion technique du bandeau et de la collecte de consentement, plusieurs solutions :

• CMP (Consent Management Platforms) françaises : Axeptio, Didomi, Commanders Act
• CMP internationales conformes CNIL : OneTrust, Usercentrics, Cookiebot
• Solutions open source : Klaro, Tarteaucitron (largement utilisée en France)

Quelle que soit la solution, vérifier :

• Conformité à la recommandation CNIL 2020 par défaut
• Possibilité de personnaliser les boutons et finalités
• Stockage du consentement avec horodatage et version du formulaire
• Compatibilité avec votre stack (CMS, tag manager)

FAQ : modèle bandeau cookies

Faut-il un bandeau cookies si le site n’utilise pas de cookies non essentiels ?

Non. Si le site n’utilise que des cookies strictement nécessaires (session, sécurité, fonctionnement), aucun bandeau de consentement n’est requis. Une mention dans la politique de confidentialité reste recommandée pour la transparence.

Combien de temps puis-je conserver le consentement de l’utilisateur ?

La CNIL recommande 6 à 13 mois maximum. Au-delà, le consentement doit être renouvelé. La durée doit être identique pour l’acceptation et le refus.

Le bouton “Tout refuser” doit-il vraiment être au même niveau que “Tout accepter” ?

Oui. C’est l’un des points de contrôle systématiques de la CNIL. Un bouton “Tout refuser” caché dans un second niveau de menu ou visuellement minoré constitue un manquement. Visibilité, taille et accessibilité doivent être équivalentes.

Faut-il configurer Google Analytics en mode “consent” ?

Oui. Google Consent Mode v2 (déployé en 2024) permet de respecter les choix utilisateurs en désactivant le suivi avant consentement. C’est la configuration minimale attendue pour rester en conformité, mais elle ne dispense pas du bandeau de consentement.

Que faire des cookies de partenaires que je ne maîtrise pas ?

Le responsable de site reste responsable du dépôt de cookies tiers via son site (CJUE Wirtschaftsakademie C-210/16, Fashion ID C-40/17). La politique cookies doit lister tous les cookies tiers et leurs finalités. Évaluer chaque partenaire et désactiver ceux dont la conformité n’est pas garantie.

Comment prouver que j’ai obtenu un consentement valide ?

Conserver la preuve de chaque consentement (horodatage, version du formulaire, finalités acceptées, IP partielle) pour la durée de validité du consentement plus une durée de prescription raisonnable (3 ans). La plupart des CMP industrialisent cette traçabilité.

Pour structurer la gestion du consentement et industrialiser la traçabilité, voir notre guide modèles de consentement RGPD et la documentation de votre CMP.