Bandeau de cookies

Un bandeau de cookies est une fenêtre affichée sur un site, dans laquelle le visiteur accepte ou refuse les cookies et technologies similaires qui ne sont pas strictement nécessaires. Pour les visiteurs de l'UE, ce choix doit être proposé avant que le site ne commence à déposer des cookies d'analyse et de publicité, et il doit s'agir d'un vrai choix, sans incitation à cliquer sur « Tout accepter ».

Ceci n'est pas un conseil juridique : voici ce que disent les sources, avec les liens. Les règles de l'UE peuvent évoluer, voir la section sur l'Omnibus numérique.

Quand un bandeau est nécessaire

• Si vous avez des visiteurs de l'UE. L'article 5, paragraphe 3, de la directive 2002/58/CE n'autorise le stockage d'informations sur l'appareil d'un utilisateur, et l'accès à ces informations, qu'avec son consentement, après une information claire et complète sur les finalités. Les exceptions sont le stockage technique nécessaire à la transmission d'un message et ce qui est strictement nécessaire à un service que la personne a expressément demandé (directive 2002/58/CE). La directive est mise en œuvre par le droit national de chaque pays, donc les détails dépendent du pays de l'UE dans lequel vous vendez.
• Si les cookies servent uniquement au fonctionnement du site (panier, connexion), le consentement n'est pas requis, mais il est utile de les décrire dans la politique de confidentialité.

Ce qui compte comme consentement

Selon le RGPD (art. 4, point 11), le consentement est une manifestation de volonté libre, spécifique, éclairée et univoque, par une déclaration ou par un acte positif clair (RGPD). Un bref résumé du CEPD (avril 2026) : le consentement n'est libre que si la personne peut refuser sans préjudice ; spécifique, c'est-à-dire pour chaque finalité distincte ; éclairé ; univoque : le silence, les cases précochées ou l'inactivité ne sont pas un consentement (CEPD, Consent under GDPR, 2026).

Retirer son consentement doit être aussi simple que de le donner (art. 7, par. 3, RGPD). L'entreprise doit être en mesure de démontrer que le consentement a été donné (art. 7, par. 1).

Comment faire honnêtement

1. Ne rien déposer avant le consentement. L'analyse, le pixel publicitaire et les widgets tiers ne démarrent pas tant que la personne n'a pas accepté. C'est facile à vérifier : ouvrez le site dans un navigateur vierge, ne cliquez sur rien et regardez quels cookies sont déjà apparus.
2. Un bouton « Refuser » dès le premier écran, de même poids que le bouton « Accepter ». Selon le rapport de la task force du CEPD sur les bandeaux de cookies (2023), la plupart des autorités de contrôle ont considéré que l'absence de bouton de refus sur l'un des niveaux du bandeau ne répond pas aux exigences d'un consentement valable (CEPD, 2023).
3. Aucune case précochée au deuxième niveau.
4. Des finalités séparées. « Améliorer l'expérience » est une formulation trop vague ; séparez l'analyse, la publicité et la personnalisation (CEPD, 2026).
5. Un texte simple : qui collecte, pourquoi, pour combien de temps, avec qui les données sont partagées.
6. La décision peut être modifiée à tout moment. La task force recommande une icône toujours visible ou un lien à un endroit bien en vue (sans imposer de forme précise).
7. Transmettre la décision à l'analyse et à la publicité : Google Consent Mode transmet le choix de la personne aux balises Google, mais ne recueille pas lui-même le consentement.

Infractions fréquentes

D'après les lignes directrices du CEPD et le rapport de la task force :

• Mur de cookies : le contenu est bloqué tant que l'on ne clique pas sur « Accepter ». Dans les lignes directrices 05/2020, le CEPD considère qu'un tel consentement n'est pas libre (point 40, CEPD, 2026).
• Le défilement comme consentement. Faire défiler la page n'est pas un acte positif clair (point 86, même source).
• Un refus sous forme de petit lien dans le texte ou en dehors du bandeau, sans mise en valeur visuelle (task force, point 14).
• Un bouton de refus dont le texte est à peine visible. La task force souligne qu'il n'existe pas de norme unique de couleur ou de contraste et que l'appréciation se fait au cas par cas, mais un bouton illisible induit clairement en erreur (points 17 et 18).
• « L'intérêt légitime » au deuxième niveau pour la publicité et le profilage, de sorte que la personne doit refuser deux fois. La task force a aussi relevé que l'intérêt légitime ne peut pas servir de base au stockage ou à la lecture de cookies (points 22 à 24).
• Des cookies d'analyse ou de publicité enregistrés comme « nécessaires ». La task force consigne cette pratique comme une infraction (point 26).

Nous ne citons pas d'amendes dans cet article : le montant dépend du pays et du cas. Les plafonds du RGPD sont décrits dans l'article sur le RGPD.

Ce que prévoit l'Omnibus numérique

En novembre 2025, la Commission européenne a proposé d'intégrer les règles sur les cookies dans le RGPD, de permettre le refus en un clic et de mémoriser le choix pendant au moins six mois, d'autoriser la gestion du consentement dans le navigateur et de supprimer l'exigence de consentement pour un certain nombre de cas à faible risque, comme le comptage des visites (Commission européenne, FAQ Digital Package). Le CEPD et le CEPD-contrôleur (EDPS), dans l'avis conjoint 2/2026 (10 février 2026), ont soutenu l'objectif mais ont mis en garde contre l'insécurité juridique que créerait la répartition des règles entre deux textes (CEPD-EDPS, 2026).

À la fin d'octobre 2026, il ne s'agit encore que d'une proposition. Selon une analyse juridique, le Coreper a approuvé le mandat du Conseil le 21 octobre 2026 (le Conseil a maintenu les règles sur les cookies à l'art. 5, par. 3, de la directive vie privée et communications électroniques), et le Parlement européen n'a pas encore adopté sa position (Legal247). Autrement dit, les règles actuelles s'appliquent sans changement.

FAQ

Un bandeau de cookies est-il obligatoire pour une boutique en ligne ? Pour les visiteurs de l'UE, si vous déposez des cookies qui ne sont pas strictement nécessaires, oui : leur consentement est requis. Les cookies strictement nécessaires n'exigent pas de consentement.

Puis-je afficher un bandeau sans bouton « Refuser » ? La plupart des autorités de contrôle de la task force de 2023 ont considéré que cela ne répond pas aux exigences d'un consentement valable.

Puis-je bloquer le site si la personne n'a pas accepté ? Le CEPD considère qu'un mur de cookies ne permet pas un consentement libre.

Combien de temps conserver le choix du visiteur ? Les sources actuelles n'indiquent pas de durée unique. Six mois est la durée prévue par la proposition de la Commission européenne, qui n'est pas encore une loi.

Ai-je besoin d'un bandeau si j'utilise seulement Google Analytics ? Oui, s'il utilise des cookies ou une technologie similaire sur l'appareil d'un visiteur de l'UE : l'analyse n'est pas « strictement nécessaire ».

Termes associés

• Cookies
• RGPD pour une boutique en ligne
• Google Consent Mode v2
• Cookies tiers et données first-party

Sources

• Directive 2002/58/EC, Art. 5(3) — eur-lex.europa.eu/eli/dir/2002/58/oj
• Regulation (EU) 2016/679 (GDPR), Art. 4(11), 7 — eur-lex.europa.eu/eli/reg/2016/679/oj
• EDPB, Consent under GDPR: When to act and what to do (April 2026) — edpb.europa.eu/system/files/2026-04/edpb-summary-consent_en.pdf
• EDPB, Guidelines 05/2020 on consent (v1.1, May 2020) — edpb.europa.eu/system/files/documents/files/file1/edpb_guidelines_202005_consent_en.pdf
• EDPB, Report of the work undertaken by the Cookie Banner Taskforce (17.01.2023) — edpb.europa.eu/system/files/2023-01/edpb_20230118_report_cookie_banner_taskforce_en.pdf
• European Commission, Digital Package FAQ (20.11.2025) — digital-strategy.ec.europa.eu/en/faqs/digital-package
• EDPB-EDPS, Joint Opinion 2/2026 on the Digital Omnibus (10.02.2026) — edpb.europa.eu/system/files/documents/2026-02/edpb_edps_jointopinion_202602_digitalomnibus_en.pdf
• Legal247, Digital Omnibus and the GDPR: the Council mandate — legal247.no/en/insights/digital-omnibus-gdpr