L'essentiel
- Le bouton refuser doit avoir la même taille et la même visibilité que le bouton accepter
- Aucun cookie non essentiel ne doit se charger avant le clic du visiteur
- Un refus doit rester un refus, même après un rechargement de page
- Chaque formulaire du site doit porter une mention d'information claire
- Une sanction simplifiée de la CNIL peut atteindre 20 000 euros par dossier
Un site vitrine mal réglé coûte aujourd'hui aussi cher à une petite entreprise qu'à un grand groupe. Depuis janvier 2026, la CNIL a déjà prononcé 23 sanctions via sa procédure simplifiée, plafonnée à 20 000 euros par dossier et pensée justement pour les manquements sans difficulté particulière, le genre de bandeau cookies mal réglé qu'on trouve sur un site d'artisan ou de commerçant autant que sur celui d'une grande marque. Le montant cumulé de ces 23 décisions atteint 133 750 euros. Rien d'alarmant si tu sais où regarder : la CNIL contrôle quatre points précis, et aucun ne demande de compétence technique pour être compris.
Le bouton refuser doit être aussi visible que le bouton accepter
C'est le point le plus souvent sanctionné. La règle tient en une phrase : si un visiteur peut accepter tous les cookies en un clic, il doit pouvoir tous les refuser en un clic, au même endroit, avec la même visibilité. Dans ses mises en demeure récentes, la CNIL a listé des pratiques précises qu'elle juge non conformes : un bouton d'acceptation qui apparaît à plusieurs endroits alors que le refus n'est proposé qu'une seule fois, un lien de refus noyé dans le texte sans espacement suffisant pour le distinguer, ou une formulation peu compréhensible comme « je décline les finalités non essentielles » à la place d'un simple « refuser ».
Pour vérifier ton propre site, une seule question suffit : si tu montrais le bandeau à quelqu'un qui ne le connaît pas, verrait-il tout de suite les deux options, sans chercher ni lire deux fois ?
Aucun script ne doit se charger avant le clic du visiteur
Deuxième point, plus technique en apparence, simple à comprendre en réalité : tant que le visiteur n'a pas cliqué sur « accepter », aucun outil de mesure d'audience ou de publicité ne doit commencer à tourner en arrière-plan. Un bandeau qui s'affiche pendant que les scripts partent déjà ne vaut rien juridiquement : il n'y a tout simplement pas eu de consentement, même si le bandeau est bien présent à l'écran.
Le test est à la portée de n'importe qui : ouvre ton site en navigation privée, ne clique sur rien, et observe si des outils comme Google Analytics se chargent quand même. Si c'est le cas, le problème ne vient pas du bandeau que tu vois, mais de ce qui tourne derrière lui, souvent un réglage technique posé une fois pour toutes au moment de la création du site.
Un refus doit rester un refus
Troisième point, moins connu mais tout aussi surveillé : même quand le bouton refuser existe et fonctionne visuellement, certains sites continuent de déposer des cookies soumis à consentement après que l'internaute a cliqué sur refuser. Un mécanisme de refus qui existe sur le papier mais qui n'empêche rien en pratique est traité par la CNIL comme une absence de consentement, exactement comme s'il n'y avait pas de bouton du tout.
La CNIL recommande aussi de ne pas conserver ce choix indéfiniment : une durée de six mois est citée comme bonne pratique, au-delà de laquelle le bandeau doit redemander l'avis du visiteur. Passé ce délai, un choix trop ancien n'a plus de valeur.
Chaque formulaire du site doit porter une mention d'information claire
Le quatrième point sort du bandeau cookies, mais relève du même contrôle global sur la façon dont un site traite les données de ses visiteurs. Tout formulaire qui collecte des informations, contact, devis, inscription à une newsletter, doit indiquer qui reçoit ces données, à quoi elles servent, et comment la personne peut les faire supprimer. Pour un site vitrine, la CNIL recommande au minimum trois éléments : des mentions sous le formulaire de contact, un moyen de contact par voie électronique pour exercer ses droits, et des mentions légales qui identifient clairement l'éditeur du site.
Il n'est pas nécessaire de tout réécrire sous chaque champ de formulaire : un lien visible vers une page qui réunit ces informations suffit, à condition que cette page existe réellement et reste complète.
Ce que ça change concrètement pour ton activité
Ces quatre points n'ont rien d'exceptionnel une fois qu'on les connaît, mais ils se vérifient au moment où le site est construit, pas corrigés dans l'urgence après un courrier de la CNIL. C'est précisément ce que nous regardons avec chaque client au moment de la création ou de la refonte d'un site : la position des boutons du bandeau, le déclenchement des outils de mesure, et la présence des mentions sur les formulaires. Le détail dépend toujours de ton site et des outils déjà en place, mais le principe reste le même : mieux vaut un réglage fait une fois correctement qu'un rattrapage sous pression.
Cette vigilance s'inscrit dans un mouvement plus large pour les petites structures : 2026 a aussi vu arriver de nouvelles obligations sur l'accessibilité des sites internet pour les PME. Les règles qui touchent un petit site se multiplient, mais elles restent gérables dès qu'on les traite une par une, sans attendre un contrôle pour s'en occuper. Le coût réel d'un site internet pour un artisan en 2026 dépend d'ailleurs en partie de ce genre de réglage, que certaines offres bon marché laissent de côté faute de temps ou de connaissance du sujet.
Comment vérifier ton site en cinq minutes
Avant de contacter qui que ce soit, trois vérifications rapides donnent déjà une bonne idée de la situation :
- Ouvre ton site en navigation privée et regarde si le bouton refuser saute aux yeux aussi vite que le bouton accepter.
- Reste sur la page sans rien accepter, puis actualise : si des scripts publicitaires ou de mesure d'audience se sont quand même chargés, il y a un problème de configuration à corriger.
- Fais défiler jusqu'à ton formulaire de contact ou de devis : une mention d'information, même courte avec un lien vers une page plus complète, doit s'y trouver.
Si l'un de ces trois points cloche, mieux vaut le corriger maintenant que d'attendre une plainte ou un contrôle. Un échange avec quelqu'un qui connaît déjà ton dossier reste souvent plus rapide qu'un audit mené seul dans son coin, et évite les approximations qui finissent par coûter cher.
Questions fréquentes
Un petit site d'artisan risque-t-il vraiment une sanction de la CNIL ?
Oui. La procédure simplifiée de la CNIL, plafonnée à 20 000 euros par dossier, vise justement les manquements sans difficulté particulière, souvent ceux d'un petit site mal configuré. Depuis janvier 2026, 23 sanctions de ce type ont déjà été prononcées pour un total de 133 750 euros.
Quelle est la différence entre le bandeau cookies et les mentions légales ?
Le bandeau cookies concerne le consentement au dépôt de traceurs dans le navigateur du visiteur. Les mentions légales identifient l'éditeur du site. La CNIL recommande les deux, plus une mention d'information sous chaque formulaire de contact ou de devis.
Combien de temps un refus de cookies reste-t-il valable ?
La CNIL cite une durée de six mois comme bonne pratique pour conserver le choix exprimé par un visiteur, consentement ou refus. Passé ce délai, le bandeau doit redemander son avis.
Comment savoir si mon site dépose des cookies avant que le visiteur ait cliqué ?
Ouvre ton site en navigation privée sans rien accepter. Si des outils comme Google Analytics ou des pixels publicitaires se chargent quand même, le bandeau n'a pas de valeur juridique, même s'il s'affiche correctement à l'écran.
Faut-il une mention RGPD sur un simple formulaire de devis ?
Oui. Tout formulaire qui collecte des données personnelles, même un simple formulaire de devis, doit indiquer qui reçoit les informations, à quoi elles servent et comment les faire supprimer, soit directement sous le formulaire, soit via un lien vers une page dédiée.
Sources
- cnil.fr : Depuis janvier 2026, 23 sanctions simplifiées (plafond 20 000 euros chacune) ont été prononcées pour un montant cumulé de 133 750 euros, portant notamment sur les cookies.
- cnil.fr : La CNIL met en demeure des éditeurs dont le bouton de refus des cookies est éclipsé par des choix graphiques, apparaît une seule fois quand l'acceptation apparaît plusieurs fois, ou utilise une formulation peu compréhensible.
- cnil.fr : La CNIL recommande une durée de conservation du choix de l'internaute (consentement ou refus) de six mois comme bonne pratique.
- cnil.fr : Pour un site vitrine, la CNIL recommande des mentions sous le formulaire de contact, un moyen de contact électronique pour exercer ses droits, et des mentions légales identifiant l'éditeur du site.
