Un bandeau cookies apparaît sur presque tous les sites, mais beaucoup sont mal réglés. Le bouton « Refuser » est caché, des traceurs se déclenchent avant tout clic, ou le bandeau a été installé sans que personne ne sache ce qu'il bloque réellement. Pour une TPE, ces détails ne sont pas anodins : ils relèvent de la réglementation française, et la CNIL contrôle régulièrement les sites sur ce point. Voici ce qu'un bandeau cookies doit permettre, et comment vérifier le vôtre.
Quand un bandeau cookies est-il obligatoire ?
Le principe posé par la loi Informatique et Libertés, dans le prolongement du RGPD, est simple : sauf exceptions, un site ne peut déposer de cookies ou d'autres traceurs sur l'appareil d'un visiteur qu'après avoir obtenu son accord.
Le bandeau devient donc nécessaire dès que votre site utilise des traceurs soumis à consentement. C'est le cas bien plus souvent qu'on ne le croit. Une balise de suivi des conversions pour vos campagnes Google Ads, un pixel lié à des publicités Facebook et Instagram, une vidéo intégrée depuis une plateforme externe, une carte interactive, un bouton de partage : chacun peut déposer des traceurs.
Un artisan qui pense avoir « un simple site vitrine » découvre parfois que son thème WordPress charge plusieurs outils tiers dont il ignorait l'existence.
Les cookies qui ne nécessitent pas d'accord
Certains traceurs échappent au consentement parce qu'ils sont indispensables au fonctionnement du site. Il s'agit par exemple du cookie qui conserve le contenu d'un panier sur une boutique en ligne, de celui qui maintient un client connecté à son espace, ou de celui qui mémorise justement son choix sur le bandeau.
La mesure d'audience peut aussi être exemptée, mais sous des conditions strictes définies par la CNIL. L'outil doit servir uniquement à produire des statistiques pour le compte du site, sans croiser les données avec d'autres traitements ni suivre le visiteur sur d'autres sites, et la durée de vie des traceurs est limitée à 13 mois. La CNIL précise elle-même que la plupart des grandes solutions de mesure d'audience ne remplissent pas ces conditions, quelle que soit leur configuration. Si vous utilisez l'un de ces outils, il doit en principe attendre l'accord du visiteur.
Ce que le bandeau doit permettre
Un bandeau conforme ne se résume pas à un message d'information. Il doit offrir un véritable choix, ce qui implique plusieurs règles.
Le consentement résulte d'un acte clair, comme un clic sur un bouton. Continuer à faire défiler la page ou à naviguer ne vaut pas accord. Le visiteur doit aussi savoir à quoi il consent : mesure d'audience, publicité, partage sur les réseaux sociaux.
Surtout, refuser doit être aussi simple qu'accepter. Si le bandeau propose un bouton « Tout accepter », la CNIL recommande de proposer sur le même écran un bouton « Tout refuser », avec une présentation équivalente. Enfin, le visiteur doit pouvoir changer d'avis et retirer son accord à tout moment.
Les erreurs les plus courantes
Les mises en demeure publiées par la CNIL montrent des défauts récurrents :
- un refus caché derrière un lien discret ou un second écran, alors que l'acceptation se fait en un clic ;
- une option de refus qui se confond avec le texte d'information et passe inaperçue ;
- un bouton d'acceptation répété plusieurs fois, quand le refus n'apparaît qu'une seule fois ;
- des traceurs déposés malgré le refus exprimé par le visiteur.
Ce dernier point est le plus piégeux, car il ne se voit pas. Le bandeau semble parfait, mais les outils se chargent quand même en arrière-plan.
Vérifier ce que votre site dépose réellement
Faites le test vous-même. Ouvrez votre site dans une fenêtre de navigation privée, sans cliquer sur le bandeau. Dans les outils de développement du navigateur, l'onglet consacré au stockage affiche les cookies présents. S'il en apparaît d'autres que les cookies techniques, des traceurs se déclenchent trop tôt. Recommencez ensuite en cliquant sur « Tout refuser » : la liste ne devrait pas s'allonger.
Pensez aussi au mobile. Un bandeau qui recouvre tout l'écran d'un smartphone, ou dont les boutons sont trop petits pour être touchés facilement, nuit à la fois au choix du visiteur et à son expérience sur smartphone.
Enfin, profitez de cette vérification pour faire le tri. Chaque outil tiers ajoute des scripts qui peuvent ralentir le chargement de vos pages. Un restaurateur qui n'utilise plus son ancien outil de réservation a tout intérêt à le retirer du site plutôt qu'à le laisser charger en silence.
Garder le choix du visiteur et le rendre modifiable
Une fois le choix fait, le bandeau ne doit pas réapparaître à chaque page. La CNIL recommande de conserver le refus pendant une durée raisonnable, de l'ordre de six mois, avant de solliciter à nouveau le visiteur.
Ajoutez aussi un lien permanent, en pied de page par exemple, qui permet de rouvrir les réglages. Complétez le tout par une page d'information claire listant les finalités des traceurs utilisés. Ces éléments font partie d'un site construit pour être utile et digne de confiance.
Conclusion
Un bandeau cookies conforme n'est pas une formalité décorative. Il doit bloquer les traceurs tant que le visiteur n'a pas choisi, permettre de refuser aussi facilement que d'accepter et respecter ce choix dans la durée. Le plus important reste de savoir précisément quels outils votre site charge. Un test régulier en navigation privée suffit souvent à repérer les problèmes avant qu'ils ne posent question.
FAQ sur le bandeau cookies
Un site sans publicité a-t-il besoin d'un bandeau cookies ?
Tout dépend des traceurs utilisés. Si le site ne dépose que des cookies techniques indispensables ou un outil de mesure d'audience exempté, aucun consentement n'est requis. Dès qu'un outil tiers soumis à consentement est présent, le bandeau devient nécessaire.
Peut-on se contenter d'un bouton « J'ai compris » ?
Non, si le site utilise des traceurs soumis à consentement. Un simple message d'information n'offre pas de choix réel au visiteur.
Le bouton « Tout refuser » est-il obligatoire ?
La règle impose que le refus soit aussi simple que l'acceptation. La CNIL recommande, pour y parvenir, de proposer un bouton de refus au même niveau que le bouton d'acceptation.
Les extensions WordPress de gestion des cookies suffisent-elles ?
Elles aident, mais leur installation ne garantit rien à elle seule. Encore faut-il qu'elles soient correctement paramétrées et qu'elles bloquent réellement chaque outil avant le consentement. Un test en navigation privée reste indispensable.
