Cookies déposés avant consentement : comprendre et corriger

Ce que dit réellement la règle

L’article 82 de la loi Informatique et Libertés, qui transpose la directive « ePrivacy », ne dit pas que les cookies sont interdits. Il dit que toute opération de lecture ou d’écriture sur le terminal d’un internaute doit être précédée d’une information et d’un consentement — sauf exceptions limitées.

Le mot qui compte est précédée. Ce n’est pas une question de nature du cookie, ni de bonne foi, ni de finalité déclarée : c’est une question de chronologie. Un cookie de mesure d’audience publicitaire déposé à la milliseconde où la page se charge est en infraction, même si une bannière parfaitement rédigée apparaît une seconde plus tard.

Deux catégories échappent au consentement : les traceurs strictement nécessaires à la fourniture du service — panier d’achat, session authentifiée, mémorisation du choix de consentement lui-même, équilibrage de charge — et certains cookies de mesure d’audience, à des conditions précises détaillées plus bas.

Pourquoi une bannière correcte ne suffit pas

Une bannière de consentement n’est qu’une interface. Elle affiche un choix ; elle n’empêche rien par elle-même. Le blocage effectif dépend de la façon dont vos scripts sont chargés, et c’est là que ça casse dans la majorité des cas.

Les trois causes qu’on retrouve presque toujours :

• Le script est dans le code source de la page. Une balise <script src="…googletagmanager.com…"> placée dans le <head> s’exécute avant que le gestionnaire de consentement ait eu le temps d’exister. La bannière s’affiche par-dessus un traceur déjà actif.
• Le gestionnaire de consentement est mal configuré. Beaucoup d’outils proposent un mode « information seule » par défaut, qui affiche la bannière sans bloquer quoi que ce soit. Il faut activer explicitement le blocage préalable.
• Une extension ou un thème charge son propre traceur. Sur un site WordPress, un module de statistiques, un partage social ou une carte intégrée peut injecter un script tiers sans passer par votre gestionnaire.

La bannière elle-même : quatre exigences qui se contrôlent

Le blocage technique règle le moment du dépôt. Reste la bannière, qui a ses propres règles — et c’est sur elles que la CNIL a concentré ses mises en demeure depuis 2021. Quatre points suffisent à qualifier une bannière de non conforme, quelle que soit la qualité du code derrière.

1. Refuser doit être aussi simple qu’accepter

La formule de la CNIL est explicite : « il doit toutefois être aussi facile d’accepter que de refuser les traceurs ». Concrètement, un bouton de refus doit exister au premier écran, au même niveau que le bouton d’acceptation. Le schéma « Tout accepter » en gros et en couleur, face à un « Paramétrer » gris qui ouvre trois sous-menus, ne remplit pas la condition : le refus y coûte quatre clics quand l’acceptation en coûte un.

C’est le défaut le plus fréquent et le plus facile à constater de l’extérieur — y compris par un visiteur mécontent qui signale votre site.

2. Le silence vaut refus

Tant que l’internaute n’a rien choisi, « aucun traceur nécessitant le consentement ne peut être déposé ou lu ». L’absence de réponse s’interprète comme un refus. Trois pratiques encore répandues ne valent donc pas consentement : fermer la bannière par sa croix, faire défiler la page, poursuivre la navigation. Aucune de ces actions n’est un acte positif clair.

3. Vous devez pouvoir prouver le consentement

La charge de la preuve pèse sur vous : l’éditeur doit être « en mesure de démontrer le recueil » d’un consentement valable. En pratique, cela veut dire conserver une trace horodatée du choix et de la version de la bannière affichée au moment de ce choix — une fonction que les gestionnaires de consentement sérieux proposent, et qu’il faut penser à activer.

4. Les choix doivent durer — et pas indéfiniment

Redemander le consentement à chaque page est aussi fautif que ne jamais le redemander : la sollicitation répétée après un refus est précisément ce que la CNIL reproche. La recommandation retient qu’« une conservation des choix pendant une durée de 6 mois constitue une bonne pratique ». Passé ce délai, resolliciter est légitime.

Vérifier ce que votre site dépose réellement

Vous ne pouvez pas vous fier à ce que vous croyez avoir configuré. Il faut regarder ce qui part sur le réseau, en tant que visiteur qui n’a rien accepté.

À la main, dans votre navigateur

Ouvrez une fenêtre de navigation privée, chargez votre page d’accueil, et sans toucher à la bannière, ouvrez les outils de développement (F12). Dans l’onglet Application ou Stockage, regardez les cookies déposés. Dans l’onglet Réseau, filtrez sur les domaines tiers.

Les noms qui doivent vous alerter : _ga, _gid (Google Analytics), _fbp (Meta), _hjid (Hotjar), IDE, NID (Google Ads), _clck (Microsoft Clarity). S’ils sont là avant votre clic, vous avez un problème.

Automatiquement

Notre outil d’analyse fait exactement cette vérification : il charge votre page comme un visiteur anonyme qui n’a rien accepté, puis rapporte les cookies déposés et les scripts tiers présents.

Une réserve importante, que nous affichons sur l’outil lui-même : l’analyse porte sur le HTML initial, sans exécuter le JavaScript. Un traceur injecté après coup par un gestionnaire de balises lui échappe. Autrement dit, un résultat propre ne prouve rien, mais un résultat qui signale un traceur est fiable. Pour une vérification exhaustive, la méthode manuelle reste nécessaire.

Corriger, selon votre outillage

Site WordPress

Choisissez une extension de consentement qui pratique le blocage préalable — la fonctionnalité est parfois appelée « script blocker » ou « blocage automatique ». Vérifiez ensuite, extension par extension, celles qui chargent leurs propres scripts : modules de statistiques, boutons de partage, cartes, vidéos intégrées. Chacune doit être déclarée dans le gestionnaire, sans quoi elle continuera de passer à côté.

Google Tag Manager

Le conteneur GTM lui-même ne dépose pas de cookie de traçage, mais les balises qu’il déclenche, oui. La bonne approche est le mode consentement : les balises sont configurées pour attendre un signal d’autorisation, et votre gestionnaire de consentement émet ce signal quand le visiteur accepte. Attention au réglage par défaut : si l’état initial n’est pas explicitement défini comme refusé, les balises se déclenchent malgré tout.

Site sur mesure

Le principe est simple : ne mettez pas l’URL du script tiers dans l’attribut src. Stockez-la ailleurs — un attribut data-src par exemple — et n’injectez la balise dans le document qu’au moment où le consentement est enregistré. Un script qui n’existe pas dans le document ne peut rien déposer.

Le cas des ressources tierces sans cookie

Une police chargée depuis un CDN, une carte, une vidéo intégrée : ces ressources ne déposent pas toujours de cookie, mais elles transmettent l’adresse IP du visiteur au fournisseur. Le consentement n’est pas systématiquement requis, mais la mention dans votre politique de confidentialité, elle, l’est. Le cas des polices est traité en détail dans notre guide sur Google Fonts.

L’exemption pour la mesure d’audience

La CNIL admet qu’un outil de statistiques échappe au consentement s’il remplit l’ensemble des conditions qu’elle publie : une finalité « strictement limitée à la seule mesure de l’audience » du site, pour le compte exclusif de l’éditeur ; la production de données statistiques anonymes uniquement ; aucun recoupement avec d’autres traitements et aucune transmission de données non anonymes à des tiers ; aucun suivi de la navigation d’un site ou d’une application à l’autre.

S’y ajoutent deux durées, souvent oubliées parce qu’elles ne figurent pas dans la même phrase : la durée de vie du traceur est limitée à treize mois et ne doit pas être prolongée automatiquement à chaque nouvelle visite — beaucoup d’outils remettent le compteur à zéro par défaut — et les données collectées se conservent vingt-cinq mois au maximum. Les deux sont à revoir périodiquement.

En pratique, Google Analytics ne remplit pas ces conditions. Certains outils configurés dans ce sens, comme Matomo en auto-hébergement avec l’option d’exemption activée, ou des solutions sans cookie, y parviennent. Si la mesure d’audience vous importe mais que la bannière vous coûte des visiteurs, c’est une piste sérieuse : un outil exempté mesure la totalité de votre trafic, là où un outil soumis au consentement n’en voit qu’une fraction.

Les « cookie walls » : ce que le Conseil d’État a tranché

Conditionner l’accès au site à l’acceptation des traceurs — le cookie wall — a longtemps été présenté comme illégal en France. La CNIL l’avait effectivement écrit dans ses lignes directrices de 2019 ; le Conseil d’État a annulé ce point le 19 juin 2020, jugeant qu’elle « ne pouvait pas interdire, par principe, cette pratique ».

Le cookie wall n’est donc pas interdit en soi, mais il n’est pas non plus libre : la CNIL l’apprécie au cas par cas et se dit « très attentive à l’existence d’alternatives réelles et satisfaisantes ». Un mur sans porte de sortie — pas d’offre payante, pas de version dégradée — reste très exposé. Pour un site ordinaire, c’est un dispositif à coût juridique élevé pour un gain faible.

Nouveau : le consentement valable sur plusieurs appareils

Si votre site propose des comptes utilisateurs, un texte récent vous concerne directement : la délibération n° 2025-131 du 18 décembre 2025, qui modifie la recommandation « cookies et autres traceurs » de 2020 pour y traiter le consentement multi-terminaux.

Le principe : un choix exprimé une fois peut être rattaché au compte plutôt qu’au seul navigateur, et s’appliquer alors à tous les appareils connectés à ce compte — ordinateur, téléphone, tablette, téléviseur. C’est une simplification réelle pour l’utilisateur, mais elle est encadrée :

• L’information doit précéder la connexion. La CNIL est explicite : « cette information doit vous être donnée avant la connexion à votre compte ». L’expliquer dans la politique de confidentialité seulement ne suffit pas.
• Un rappel à l’arrivée sur un nouvel appareil. La CNIL recommande un bandeau temporaire indiquant que des choix enregistrés au niveau du compte s’appliquent, et s’ils ont été modifiés.
• Le retrait doit rester aussi simple partout. « Le consentement multi-terminaux ne doit jamais rendre plus difficile l’exercice de vos droits » : refuser depuis le téléphone doit valoir pour l’ordinateur, et être aussi rapide.
• Les conflits doivent être expliqués. Quand un choix fait avant connexion diffère de celui enregistré sur le compte, l’utilisateur doit savoir lequel l’emporte.

Si votre site n’a pas d’espace de connexion, ce texte ne change rien pour vous. S’il en a un et que vous envisagiez déjà de mémoriser les choix côté compte, il vous donne le cadre — et la liste des mentions à écrire.

Et ensuite

Une fois le blocage en place, votre politique de confidentialité doit décrire ce qui reste : chaque traitement, sa finalité, sa base légale, sa durée de conservation, ses destinataires. Elle doit correspondre à la réalité de votre site — un document qui mentionne un outil que vous n’utilisez plus est aussi faux qu’un document qui en oublie un.