Réponse rapide : pour utiliser des cookies légalement, il faut un consentement préalable, éclairé, libre et univoque pour chaque cookie non essentiel (mesure d’audience, publicité, personnalisation). Concrètement : un bandeau qui bloque les cookies non essentiels jusqu’à l’action de l’internaute, un bouton « Tout refuser » aussi visible que « Tout accepter », aucune case pré-cochée, une preuve du consentement et un retrait aussi simple que l’acceptation. Les cookies strictement nécessaires (connexion, panier, sécurité) sont dispensés de consentement mais doivent être signalés.
Le cadre : RGPD et lignes directrices de la CNIL
Deux textes se superposent. La directive ePrivacy impose le consentement avant tout dépôt de cookie ; le RGPD définit un consentement « libre, spécifique, éclairé et univoque ». La CNIL applique les règles les plus strictes d’Europe : refuser doit se faire en un clic, les dark patterns sont interdits. La CJUE (Planet49, C-673/17) a jugé qu’une case pré-cochée ne vaut pas consentement. S’ajoute l’obligation d’accessibilité RGAA.
« Les données personnelles sont le nouveau pétrole d’internet et la nouvelle monnaie du monde numérique. »
— Meglena Kuneva, commissaire européenne à la consommation (2009)
Cinq exigences d’un bandeau conforme
- Bloquer d’abord. Aucun traceur ne se déclenche avant le consentement.
- Granularité. Choix par finalité (nécessaire, préférences, statistiques, marketing).
- Refuser aussi facilement qu’accepter. Les deux boutons au premier niveau — exigence phare de la CNIL.
- Pas de dark patterns. Ni cases pré-cochées, ni astuces de couleur.
- Retrait et preuve. Un lien permanent « Gérer les cookies » et un registre des consentements.
Google Consent Mode v2 — obligatoire depuis mars 2024
Depuis mars 2024, tout site envoyant des données de l’EEE ou du Royaume-Uni à Google Ads, GA4 ou au remarketing doit utiliser le Consent Mode v2, qui transmet le choix via quatre signaux (ad_storage, analytics_storage, ad_user_data, ad_personalization). Sans lien correct avec le bandeau, la mesure des conversions s’effondre pour les visiteurs européens. Une CMP certifiée compatible TCF v2.2 relie proprement bandeau et balises.
Nécessaires vs. soumis au consentement
| Type | Exemples | Consentement ? |
|---|---|---|
| Strictement nécessaires | Connexion, panier, sécurité | Non (à signaler) |
| Statistiques | Google Analytics 4, Matomo | Oui |
| Marketing | Meta Pixel, Google Ads, LinkedIn | Oui — toujours |
Le coût de la non-conformité
Le RGPD prévoit des amendes jusqu’à 20 M€ ou 4 % du chiffre d’affaires mondial. La CNIL a sanctionné Google (150 M€) et Facebook (60 M€) précisément parce que refuser demandait plus de clics qu’accepter. Un consentement invalide rend illégal tout traitement fondé dessus.
Questions fréquentes
Un bandeau est-il nécessaire pour Google Analytics seul ?
Oui. GA4 dépose des cookies et traite des données personnelles ; le consentement préalable s’impose.
« Tout accepter » uniquement, est-ce permis ?
Non. Sans « Tout refuser » équivalent, le consentement n’est pas libre.
Combien de temps le consentement est-il valable ?
Pas de valeur unique ; la CNIL recommande de renouveler après 6 mois environ.
Sources
- CJUE — Planet49 (C-673/17).
- CNIL — lignes directrices cookies et traceurs.
- Google for Developers — Consent Mode v2.
- IAB Europe — TCF v2.2.
Besoin d’un site conforme et performant en Europe ?
WiseGuyXL conçoit et audite des sites conformes au RGPD et performants dans toute l’Europe — conception & développement web. Nous avons obtenu 341 % de croissance organique sur plus de 30 projets dans plus de 9 marchés.