Bandeau cookies : est-il obligatoire et comment le mettre en place ? 🍪

Qu’est-ce qu’un bandeau cookies et à quoi sert-il ?

Un bandeau cookies est la fenêtre qui s'affiche à l'arrivée sur un site. Il informe le visiteur des traceurs utilisés et lui permet de les accepter, refuser ou choisir.

Un cookie est un petit fichier déposé dans le navigateur du visiteur. Il sert à retenir une information : un panier, une connexion, une visite déjà faite.

On parle plus largement de « traceurs ». Le mot couvre les cookies, mais aussi les pixels publicitaires, les identifiants d’appareil et certains scripts de mesure.

Ce que fait vraiment un bandeau

Le bandeau a trois rôles :

• informer le visiteur des traceurs présents et de leur utilité ;
• recueillir son choix : accepter, refuser ou choisir finalité par finalité ;
• appliquer ce choix : bloquer les traceurs tant que le visiteur n’a pas dit oui.

Le troisième point est le plus oublié. Un bandeau qui affiche « Refuser » mais laisse tourner les statistiques ne sert à rien. Il donne même une fausse impression de conformité.

Des exemples très concrets

Vous êtes coiffeur et votre site intègre un module de prise de rendez-vous en ligne ? Ce module peut déposer ses propres traceurs.

Vous êtes boulanger et vous affichez une carte Google Maps pour trouver la boutique ? La carte peut déposer des cookies Google.

Vous êtes plombier et vous suivez vos visites avec Google Analytics ? Là aussi, un consentement est demandé.

Vous gérez un gîte et vous avez intégré une vidéo YouTube de la région ? Même logique.

Dans tous ces cas, ce n’est pas vous qui avez « choisi » des cookies. Ils arrivent avec les outils que vous avez ajoutés. C’est pour ça que beaucoup de petits sites ont besoin d’un bandeau sans le savoir.

Le bandeau est donc moins une formalité qu’un interrupteur. Il laisse le visiteur décider de ce qui s’allume sur son navigateur.

Le bandeau cookies est-il obligatoire pour tous les sites ?

Il est obligatoire dès que votre site dépose des cookies non indispensables : statistiques, publicité, réseaux sociaux, vidéos intégrées. Un site sans ces traceurs n'en a pas besoin.

La règle vient de l’article 82 de la loi Informatique et Libertés. Elle transpose une directive européenne dite « ePrivacy », qui encadre la vie privée en ligne.

Le principe est simple : on ne lit ni on ne dépose aucun traceur non indispensable sans l’accord préalable du visiteur. Le bandeau est le moyen pratique de demander cet accord.

La taille de l’entreprise ne change rien

L’obligation vaut pour un grand groupe comme pour un électricien à son compte. Un site vitrine de cinq pages est concerné dès qu’il embarque un outil qui trace.

Cas par cas

Votre site	Bandeau nécessaire ?
Site vitrine sans statistiques, sans vidéo, sans carte	En général non
Site avec Google Analytics	Oui
Site avec vidéo YouTube ou carte Google Maps intégrée	Oui, le plus souvent
Site avec pixel Facebook ou balise Google Ads	Oui
Boutique en ligne avec publicité et relance panier	Oui
Site avec statistiques exemptées et bien réglées	Possiblement non

Attention au « en général non » de la première ligne. Votre thème, une extension ou une police chargée à distance peuvent ajouter des appels à des services tiers. Seul un contrôle réel le confirme.

Pas de bandeau ne veut pas dire pas d’information

Même sans bandeau, vous devez expliquer quels cookies techniques vous utilisez. Cette information trouve sa place dans votre politique de confidentialité.

Elle complète les mentions légales obligatoires d’un site internet, exigées dans tous les cas. Si vous êtes à votre compte, un exemple de mentions légales pour auto-entrepreneur vous aide à poser les bases.

La bonne question n’est donc pas « suis-je assez gros pour être concerné ? ». C’est « mon site dépose-t-il des traceurs non indispensables ? ».

Quels cookies demandent un consentement, et lesquels en sont dispensés ?

Les cookies strictement nécessaires au fonctionnement du site sont dispensés de consentement : panier, connexion, sécurité, mémorisation du choix. Publicité, réseaux sociaux et la plupart des statistiques exigent un accord.

La loi distingue deux familles. Ceux sans lesquels le site ne peut pas rendre le service demandé. Et tous les autres.

Les cookies dispensés de consentement

• le panier d’une boutique en ligne ;
• la connexion à un espace client ;
• la sécurité du site, par exemple contre les tentatives de fraude ;
• la mémorisation du choix fait dans le bandeau lui-même ;
• la répartition de charge entre serveurs, invisible pour le visiteur ;
• certaines mesures d’audience très encadrées.

Ces cookies peuvent être déposés sans demander. Vous devez tout de même les mentionner dans votre politique de confidentialité.

Les cookies qui exigent un accord

• les traceurs publicitaires (Google Ads, pixel Meta, régies diverses) ;
• les boutons de partage vers les réseaux sociaux qui tracent ;
• les contenus intégrés : vidéos, cartes, avis clients chargés depuis un autre site ;
• la plupart des outils de statistiques, dont Google Analytics ;
• les outils d’enregistrement de session ou de cartes de chaleur.

Le cas des statistiques

C’est la zone qui pose le plus de questions. La CNIL admet qu’un outil de mesure d’audience peut être dispensé de consentement. Mais à des conditions strictes : usage limité aux statistiques du site, données non croisées, pas de suivi d’un site à l’autre, durée limitée.

Certains outils, une fois bien réglés, entrent dans ce cadre. Matomo est souvent cité en exemple. La CNIL détaille les critères dans sa page sur les solutions de mesure d’audience dispensées de consentement.

Google Analytics, dans sa configuration habituelle, n’entre pas dans cette exemption. Il doit donc attendre le feu vert du visiteur.

Un conseil pratique : si vous ne regardez jamais vos statistiques, retirez l’outil. Un traceur en moins, c’est une question en moins dans le bandeau.

Que demande la CNIL pour un bandeau cookies conforme ?

La CNIL exige un refus aussi simple que l'acceptation, une information claire sur chaque finalité, aucun traceur avant accord et la possibilité de changer d'avis à tout moment.

La CNIL est l’autorité française chargée de la protection des données. Elle a publié en 2020 des lignes directrices et une recommandation sur les cookies. Elles servent de référence lors des contrôles.

Les règles à retenir

1. Le consentement doit être actif. Continuer à naviguer ou faire défiler la page ne vaut pas accord.
2. Refuser doit être aussi facile qu’accepter. Si « Tout accepter » est visible dès le premier écran, « Tout refuser » doit l’être aussi.
3. Pas de cases précochées. Le visiteur coche lui-même ce qu’il accepte.
4. Chaque finalité est expliquée. Statistiques, publicité, réseaux sociaux : en mots simples, avant le choix.
5. Les partenaires sont identifiables. Le visiteur peut savoir qui dépose quoi.
6. Rien n’est déposé avant le choix. Les traceurs soumis à accord restent bloqués.
7. Le choix est réversible. Un lien ou une petite icône permet de rouvrir les réglages à tout moment.
8. La preuve est conservée. Vous devez pouvoir montrer que le consentement a été donné.

Combien de temps garder le choix ?

La CNIL recommande de conserver le choix du visiteur pendant une durée raisonnable, avec six mois comme repère. Elle recommande aussi que les cookies concernés ne dépassent pas treize mois. Redemander à chaque visite est pénible ; ne jamais redemander n’est pas conforme non plus.

Et le « cookie wall » ?

C’est le fait de bloquer l’accès au site tant que l’on n’accepte pas. La CNIL l’examine au cas par cas et le juge risqué. Pour un site d’artisan ou de commerce, mieux vaut l’éviter.

Pour lire les règles à la source, la CNIL propose une page claire : ce que dit la loi sur les cookies et traceurs.

La logique d’ensemble tient en une phrase : le visiteur choisit librement, en connaissance de cause, sans être poussé vers le « oui ».

Bandeau cookies et RGPD : quelle différence ?

Le bandeau cookies relève de la loi Informatique et Libertés, le RGPD encadre toutes vos données clients. Le RGPD fixe la qualité du consentement que le bandeau doit recueillir.

On mélange souvent les deux. Ils sont liés, mais ne disent pas la même chose.

Deux textes qui se complètent

	Règle sur les cookies	RGPD
Ce qu’elle encadre	Dépôt et lecture de traceurs	Toute donnée personnelle
Exemples	Statistiques, pixel publicitaire	Formulaire de contact, fichier clients, devis
Outil concret	Le bandeau	Politique de confidentialité, registre, sécurité
Ce qu’elle exige	Accord préalable	Base légale, information, respect des droits

Le RGPD définit ce qu’est un consentement valable : libre, spécifique, éclairé et sans ambiguïté. Le bandeau doit respecter ces quatre critères. D’où l’expression courante « bandeau cookies RGPD ».

Le bandeau ne suffit pas

Un bandeau parfait ne rend pas votre site conforme au RGPD. Prenons un avocat avec un formulaire de prise de contact. Il collecte noms, téléphones et parfois des détails sur une affaire.

Il doit expliquer pourquoi il collecte ces données, combien de temps il les garde, et comment les faire supprimer. Rien de tout ça n’est géré par le bandeau.

Même chose pour un commerçant qui envoie une lettre d’information. L’inscription demande son propre accord, distinct des cookies.

Où ranger quoi sur votre site

• Le bandeau : le choix sur les traceurs.
• La politique de confidentialité : les données collectées, leur usage, les droits des personnes et la liste des cookies.
• Les mentions légales : l’identité de l’éditeur et de l’hébergeur.

Pour faire le tour complet, consultez notre guide sur les obligations RGPD d’une petite entreprise sur son site. Il reprend le formulaire de contact, la newsletter et la durée de conservation des données.

Retenez l’idée : le bandeau est une pièce du puzzle, pas le puzzle entier.

À quoi ressemble un bon exemple de bandeau cookies ?

Un bon bandeau tient en quelques lignes claires, propose trois boutons visibles (accepter, refuser, personnaliser), détaille chaque finalité au second niveau et reste accessible ensuite via une petite icône.

Un bandeau conforme n’a pas besoin d’être austère. Il doit être lisible, honnête et rapide à traiter.

Premier niveau : le message d’accueil

Un exemple pour un gîte en Dordogne :

Nous utilisons des cookies pour mesurer la fréquentation du site et afficher la carte d’accès. Certains sont indispensables, d’autres dépendent de votre accord. Vous pouvez changer d’avis à tout moment via l’icône en bas de page.

[Tout accepter] [Tout refuser] [Personnaliser]

Trois boutons, même taille, même mise en valeur. Pas de « Refuser » écrit en gris clair et en tout petit.

Second niveau : le détail par finalité

En cliquant sur « Personnaliser », le visiteur trouve :

• Indispensables : toujours actifs, avec une phrase qui explique pourquoi ;
• Mesure d’audience : interrupteur désactivé par défaut ;
• Contenus externes (carte, vidéo) : interrupteur désactivé par défaut ;
• Publicité : interrupteur désactivé par défaut, si vous en faites.

Chaque ligne indique le service concerné et renvoie vers votre politique de confidentialité.

Adapter au métier

• Un coiffeur avec réservation en ligne : prévoir une ligne « Prise de rendez-vous » si le module dépose des traceurs non indispensables.
• Une boutique en ligne : les catégories publicité et réseaux sociaux sont souvent nécessaires.
• Un plombier sans publicité : deux catégories peuvent suffire, indispensables et statistiques.

Les détails qui comptent

• Le bandeau ne cache pas le bouton d’appel ni le numéro de téléphone sur mobile.
• Il parle un français simple, pas un jargon juridique.
• Une carte ou une vidéo bloquée affiche un message du type « Acceptez les contenus externes pour afficher la carte ».
• L’icône pour rouvrir les réglages reste visible sur toutes les pages.

Un bandeau sobre et clair rassure. Le visiteur comprend qu’il a affaire à un professionnel sérieux.

Existe-t-il un bandeau cookies gratuit ?

Oui. Des solutions gratuites existent, comme Tarteaucitron.js ou la version gratuite de Complianz pour WordPress. D'autres outils proposent une offre gratuite limitée, au-delà de laquelle l'abonnement devient payant.

Gratuit ne veut pas dire moins conforme. Mais il faut savoir ce que l’on gagne et ce que l’on fait soi-même.

Les grandes familles de solutions

1. Les scripts libres et gratuits. Tarteaucitron.js est un outil français et open source, c’est-à-dire au code public et réutilisable. Il gère un grand nombre de services courants. Son installation demande un peu d’aisance avec le code.

2. Les extensions WordPress. Plusieurs extensions ont une version gratuite, comme Complianz sur le répertoire officiel des extensions WordPress. Elles détectent une partie des cookies et proposent un assistant de réglage.

3. Les plateformes de gestion du consentement. On les appelle souvent CMP. Beaucoup offrent un plan gratuit pour un petit site, limité en pages ou en visites. Au-delà, comptez de quelques euros à quelques dizaines d’euros par mois. Les tarifs changent souvent : vérifiez chez l’éditeur.

4. Le bandeau intégré à votre plateforme. Certains créateurs de sites et solutions e-commerce proposent un bandeau dans leurs réglages. C’est le cas de Wix et de Shopify, avec des options variables selon l’offre.

Ce que le gratuit ne fait pas toujours

• La détection complète des traceurs : certains services ne sont pas reconnus.
• Le blocage réel : il faut parfois brancher chaque outil à la main.
• La preuve du consentement : un journal des choix n’est pas toujours inclus.
• Le support : en cas de souci, vous cherchez seul.

Pour qui le gratuit suffit

Un menuisier avec un site vitrine, Google Analytics et une carte : une solution gratuite bien réglée suffit largement.

Une boutique avec publicité, pixel Meta et emailing : une offre payante ou un accompagnement fait souvent gagner du temps et évite des oublis.

Le vrai coût n’est pas l’outil. C’est le temps passé à le régler correctement, puis à vérifier qu’il bloque bien.

Comment mettre en place un bandeau cookies sur votre site ?

Listez d'abord les traceurs de votre site, choisissez un outil adapté à votre plateforme, rédigez les finalités, branchez le blocage, puis testez. Comptez souvent quelques heures pour un petit site.

La méthode est la même quelle que soit la plateforme. Seuls les menus changent.

Étape 1 : faire l’inventaire

Notez tout ce que votre site charge depuis l’extérieur : statistiques, carte, vidéo, widget d’avis, chat, réservation, publicité. Demandez à votre prestataire s’il a ajouté des outils.

Étape 2 : choisir l’outil

• WordPress : une extension de gestion du consentement, gratuite ou payante.
• Wix : la bannière cookies se règle dans les paramètres de confidentialité du site.
• Shopify : la plateforme propose une bannière de consentement dans ses paramètres, et des applications plus complètes existent.
• PrestaShop : on passe par un module, gratuit ou payant. Si vous hésitez encore sur cette solution, notre avis sur PrestaShop et le profil de boutique à qui il convient peut vous éclairer.
• Site sur mesure : un script comme Tarteaucitron.js, intégré par votre développeur.

Étape 3 : rédiger les textes

Un message court, puis une phrase par finalité. Pas de termes juridiques. Relisez-vous en vous mettant à la place d’un client pressé sur son téléphone.

Étape 4 : brancher le blocage

C’est l’étape technique. Chaque outil soumis à accord ne doit se lancer qu’après le « oui ». Selon l’outil, c’est automatique ou à régler service par service.

Si vous faites de la publicité Google, regardez aussi le mode consentement de Google. Il transmet le choix du visiteur à vos balises Google.

Étape 5 : mettre à jour la politique de confidentialité

Listez les cookies, leur finalité, leur durée et le service qui les dépose. Ajoutez un lien qui rouvre les réglages du bandeau.

Étape 6 : tester

Ne publiez pas sans vérifier. Le test prend une dizaine de minutes et évite de mauvaises surprises.

Un dernier conseil : notez la date de mise en place et la liste des traceurs. Au prochain ajout d’outil, vous saurez quoi mettre à jour.

Comment vérifier que votre bandeau bloque vraiment les cookies ?

Ouvrez votre site en navigation privée, refusez tout, puis regardez les cookies présents dans le navigateur. Aucun cookie de statistiques ou de publicité ne doit apparaître avant votre accord.

C’est le test que peu de gens font. C’est pourtant celui qui compte lors d’un contrôle.

Le test en dix minutes, sur ordinateur

1. Ouvrez une fenêtre de navigation privée dans Chrome, Firefox ou Edge.
2. Allez sur votre site, sans cliquer sur le bandeau.
3. Faites un clic droit, puis « Inspecter ». Une fenêtre d’outils s’ouvre.
4. Cherchez l’onglet « Application » (Chrome, Edge) ou « Stockage » (Firefox), puis « Cookies ».
5. Regardez la liste : seuls des cookies techniques doivent figurer.
6. Cliquez sur « Tout refuser », rechargez la page, vérifiez de nouveau.
7. Rouvrez les réglages, acceptez les statistiques, rechargez : leurs cookies doivent alors apparaître.

Les noms qui doivent vous alerter

Avant tout accord, certains noms ne devraient pas apparaître. Par exemple les cookies qui commencent par « _ga » (Google Analytics) ou « _fbp » (pixel Meta). Leur présence signifie que le blocage ne fonctionne pas.

Vérifiez aussi les contenus intégrés

Une carte Google Maps ou une vidéo YouTube visible avant accord est un signal. Soit elle est chargée en direct, soit l’outil la bloque mal.

Pensez aux autres pages

Testez au moins l’accueil, une page de service et la page contact. Certains traceurs ne se chargent que sur une page précise, comme un formulaire de devis.

Un changement d’adresse remet les compteurs à zéro

Les choix sont enregistrés pour une adresse de site donnée. Si vous changez de nom de domaine pour votre entreprise, vos visiteurs reverront le bandeau. C’est normal. Profitez-en pour refaire le test complet.

Répétez ce contrôle après chaque ajout d’outil, de thème ou de module. Une simple mise à jour peut suffire à réactiver un traceur.

Quelles erreurs éviter avec un bandeau cookies ?

Les erreurs les plus courantes : bouton refuser caché, cookies déposés avant le choix, cases précochées, textes flous, bandeau impossible à rouvrir et liste de cookies jamais mise à jour.

La plupart des bandeaux non conformes ne viennent pas d’une mauvaise intention. Ils viennent d’un réglage par défaut jamais revu.

Les erreurs de forme

• Le « Refuser » caché au second écran, en lien minuscule, ou remplacé par une croix ambiguë.
• Les couleurs piégeuses : « Accepter » en gros bouton vert, « Refuser » en texte gris pâle.
• Le texte flou : « Nous utilisons des cookies pour améliorer votre expérience », sans dire lesquels ni pourquoi.
• Le bandeau envahissant sur mobile, qui masque tout l’écran et le numéro de téléphone.

Les erreurs de fond

• Les traceurs lancés avant le choix, l’erreur la plus grave et la plus fréquente.
• Les cases déjà cochées dans les réglages détaillés.
• Le choix impossible à modifier ensuite, faute d’icône ou de lien.
• Un bandeau à chaque page, parce que le choix n’est pas mémorisé.
• La liste des cookies figée alors que de nouveaux outils ont été ajoutés.

Les erreurs de raisonnement

• Croire qu’un modèle copié suffit. Le texte d’un autre site ne correspond pas à vos outils.
• Penser que le bandeau couvre tout le reste. Il ne remplace ni la politique de confidentialité, ni les mentions légales.
• Confondre bandeau et conditions de vente. Pour une boutique, les CGV d’un site e-commerce sont un document à part, avec leurs propres obligations.
• Oublier les outils ajoutés par d’autres. Un ancien prestataire ou un gestionnaire de publicité peut avoir posé une balise.

Un cas typique

Un fleuriste installe une extension de bandeau sur WordPress. Le bandeau s’affiche, tout semble en ordre. Mais Google Analytics a été ajouté directement dans le thème, en dehors de l’extension. Il tourne donc avant tout choix.

La correction prend quelques minutes : retirer le code du thème et confier le lancement à l’extension. Encore faut-il le savoir.