Cookie Wall : comprendre la légalité sous le RGPD et découvrir des alternatives respectueuses de la vie privée

Le mur de traceurs, mieux connu sous son nom anglais de cookie wall, s’est banalisé sur les sites de presse et d’information depuis plusieurs années : refusez les cookies publicitaires, et l’accès au contenu vous est fermé, sauf à payer un abonnement mensuel. Cette mécanique, qui semble à première vue contredire l’exigence d’un consentement libre posée par le RGPD, a connu un parcours judiciaire mouvementé en France. Entre l’interdiction générale posée par la CNIL en 2019, son annulation partielle par le Conseil d’État en 2020, puis les critères d’évaluation publiés en 2022, la légalité de la pratique reste conditionnée à une analyse au cas par cas plutôt qu’à une règle binaire.

L’année 2024 a ajouté une strate supplémentaire à ce dispositif avec l’avis 08/2024 du Comité européen de la protection des données, qui vise spécifiquement le modèle « consent or pay » déployé par les très grandes plateformes. Cet avis durcit sensiblement l’appréciation portée sur le choix binaire entre consentement publicitaire et paiement, sans pour autant s’appliquer directement aux éditeurs de taille moyenne. Comprendre où se situe la frontière entre cookie wall toléré et cookie wall abusif suppose de revenir sur le texte exact des dispositions applicables, sur la jurisprudence du Conseil d’État et sur les critères pratiques dégagés par la CNIL pour apprécier la protection des données des internautes.

En bref :

• Le Conseil d’État (19 juin 2020, n° 434684) a annulé l’interdiction générale et absolue des cookie walls posée par la CNIL, sans pour autant valider la pratique par principe.
• La CNIL a publié en mai 2022 des critères d’évaluation fondés sur l’existence d’une alternative réelle et équitable au consentement.
• Le tarif d’un paywall alternatif doit rester raisonnable, apprécié au regard du service rendu et des pratiques de marché, sans seuil chiffré fixe.
• L’avis EDPB 08/2024 fragilise le modèle « consent or pay » pour les grandes plateformes, en exigeant une alternative gratuite équivalente.
• Des solutions alternatives existent : contenu financé par publicité contextuelle, contenu partiellement accessible, ou modèles freemium respectueux de la vie privée.

Le cadre réglementaire applicable au cookie wall sous le RGPD

Le dépôt de traceurs sur le terminal d’un internaute relève, en droit français, de l’article 82 de la loi Informatique et Libertés, transposition de la directive ePrivacy de 2002. Ce texte impose le recueil préalable du consentement avant toute opération de lecture ou d’écriture d’informations sur l’équipement terminal de l’utilisateur. Ce consentement doit satisfaire aux quatre critères cumulatifs de l’article 4(11) du RGPD : il doit être libre, spécifique, éclairé et univoque. C’est précisément le premier critère, la liberté du choix, qui cristallise le contentieux autour des cookie walls.

Le considérant 42 du RGPD précise que le consentement ne peut être considéré comme libre si la personne concernée ne dispose pas d’une véritable liberté de choix ou si elle risque de subir un préjudice en cas de refus. Un mur de traceurs qui bloque intégralement l’accès au service en l’absence d’acceptation interroge donc frontalement cette condition. La question n’est pas nouvelle : elle structure le débat depuis que la CNIL a, dans ses lignes directrices de 2019, posé une interdiction générale et absolue de la pratique.

Cette interdiction a été contestée devant le Conseil d’État par des organisations professionnelles de la publicité en ligne. Dans sa décision du 19 juin 2020, la haute juridiction administrative a annulé ce point précis des lignes directrices, sans pour autant déclarer les cookie walls licites. Le raisonnement mérite d’être précisé : le juge a considéré que la CNIL, en tant qu’autorité administrative, ne pouvait pas édicter une interdiction générale et absolue par un simple instrument de droit souple, alors que le RGPD lui-même ne prohibe pas frontalement cette pratique. Le reste des lignes directrices, notamment sur la facilité du refus et l’information de l’utilisateur, a en revanche été confirmé. Cette distinction technique a des conséquences pratiques importantes, détaillées dans une analyse du cadre juridique applicable aux murs de traceurs.

La position du Conseil d’État et ses conséquences pratiques

La décision de 2020 a produit un effet paradoxal : elle a été perçue par certains éditeurs comme une validation implicite des cookie walls, alors qu’elle constitue avant tout un rappel des limites du pouvoir normatif de la CNIL. L’autorité a donc dû reformuler sa doctrine sans revenir à une interdiction générale, ce qui l’a conduite vers une approche casuistique fondée sur des critères d’évaluation plutôt que sur une règle tranchée. Cette évolution méthodologique explique pourquoi aucune liste exhaustive de situations autorisées ou interdites n’existe à ce jour.

Pour un DPO interne, cette absence de règle automatique implique de documenter systématiquement l’analyse de proportionnalité effectuée avant la mise en place d’un cookie wall, plutôt que de se référer à un précédent jugé transposable. Les contrôles de la CNIL portent précisément sur cette capacité à justifier, au cas par cas, le caractère équitable de l’alternative proposée.

Les cinq critères d’évaluation posés par la CNIL en 2022

Tirant les conséquences de la décision du Conseil d’État, la CNIL a publié en mai 2022 des critères d’évaluation permettant d’apprécier la licéité d’un cookie wall. Ces critères, détaillés dans la publication officielle de l’autorité sur les premiers critères d’évaluation, ne constituent pas une grille automatique mais fixent un cadre d’analyse structuré autour de cinq points.

Critère	Exigence posée par la CNIL	Conséquence en cas de non-respect
Alternative réelle et équitable	Proposer une voie d’accès sans consentement aux traceurs	Consentement jugé non libre, mur invalidé
Tarif raisonnable du paywall	Prix cohérent avec le service rendu et les tarifs de marché	Contrainte financière assimilée à un défaut de liberté
Information claire sur les finalités	Distinguer publicité ciblée, personnalisation, mesure d’audience	Consentement jugé non spécifique ni éclairé
Traceurs limités côté payant	Ne déposer que les cookies strictement nécessaires	Contradiction entre paiement et traitement résiduel
Exception des contenus tiers	Tolérance pour les traceurs imposés par un service tiers demandé	Non applicable si le contenu n’est pas sollicité par l’utilisateur

Le deuxième critère, relatif au caractère raisonnable du tarif, mérite une attention particulière. La CNIL refuse volontairement de fixer un seuil chiffré uniforme, ce qui laisse aux éditeurs une marge d’appréciation mais aussi une charge de justification. L’analyse porte sur la question suivante : le montant demandé est-il de nature à priver l’internaute d’un véritable choix ? Un prix manifestement dissuasif, calibré pour décourager tout refus des traceurs, viderait l’alternative de son sens. La CNIL va jusqu’à suggérer aux éditeurs de publier directement leur analyse économique justifiant le tarif retenu, une pratique encore peu répandue mais qui limiterait le risque contentieux, comme le rappelle une analyse dédiée aux bonnes pratiques en matière de cookie wall et pay wall.

L’exception des contenus tiers et ses limites

Le cinquième critère mérite une clarification, car il est parfois invoqué de manière extensive par certains éditeurs. La CNIL admet qu’un site puisse conditionner l’accès à un contenu hébergé par un tiers — une vidéo intégrée, un module de partage vers un réseau social — au consentement de l’utilisateur, dès lors que ce traceur est techniquement imposé par le service tiers sollicité. Cette exception ne s’applique toutefois pas à l’ensemble du site : elle vise spécifiquement le module concerné, pas l’intégralité de l’expérience de navigation. Un éditeur qui bloquerait tout son contenu éditorial au motif qu’une vidéo tierce nécessite un cookie sortirait du champ de cette tolérance.

Le modèle consent or pay et l’avis EDPB 08/2024

Le cookie wall payant a trouvé, avec les très grandes plateformes en ligne, une déclinaison plus ambitieuse connue sous le nom de « consent or pay » ou « pay or okay ». Le principe est simple : l’utilisateur consent à la publicité comportementale et accède gratuitement au service, ou il refuse et paie un abonnement pour un accès sans profilage publicitaire. Ce modèle a été spécifiquement examiné par le Comité européen de la protection des données dans son avis 08/2024, dont la conclusion est nettement plus restrictive que la doctrine française appliquée aux éditeurs de presse classiques.

L’EDPB retient que, dans la majorité des situations, une grande plateforme ne peut pas obtenir un consentement valable si elle enferme l’utilisateur dans un choix strictement binaire entre publicité comportementale et paiement. Deux arguments structurent cette position. D’abord, les données personnelles ne constituent pas une marchandise : le droit fondamental à la confidentialité ne saurait devenir une option payante réservée à ceux qui en ont les moyens. Ensuite, l’EDPB recommande qu’une alternative gratuite équivalente soit proposée, par exemple un accès financé par de la publicité contextuelle plutôt que comportementale, qui traite significativement moins de données personnelles sans pour autant imposer de paiement.

Il convient de circonscrire la portée exacte de cet avis : il vise les très grandes plateformes en ligne, pas l’éditeur de presse régional ou le site de contenu spécialisé. Cette précision est développée dans un guide consacré à la légalité du cookie wall et à ses alternatives. Le sujet reste d’ailleurs en discussion devant le juge de l’Union européenne, puisque le modèle de Meta fait l’objet d’un recours pendant sous la référence T-319/24. L’esprit de l’avis, centré sur la liberté réelle du choix, irrigue toutefois désormais l’ensemble de l’analyse portée par la CNIL sur les cookie walls, y compris pour des acteurs de taille plus modeste.

Construire un cookie wall défendable et des alternatives conformes

Pour un éditeur ou un DPO envisageant la mise en place d’un mur de traceurs, la démarche de conformité ne se limite pas à cocher une liste de critères théoriques. Elle suppose une documentation active du raisonnement suivi, capable de résister à un contrôle. Cette documentation devient d’autant plus nécessaire que la charge de la preuve du consentement libre repose sur le responsable de traitement, conformément à l’article 7 §1 du RGPD.

Voici les points de vigilance qui structurent généralement l’analyse de risque avant déploiement d’un cookie wall :

• Vérifier qu’une alternative sans consentement aux traceurs publicitaires existe réellement, et pas seulement sur le papier.
• Comparer le tarif de l’alternative payante aux pratiques de marché pour éviter tout soupçon de montant dissuasif.
• Distinguer explicitement les finalités poursuivies : publicité ciblée, personnalisation éditoriale, mesure d’audience.
• S’assurer que l’utilisateur ayant payé n’est soumis qu’aux traceurs strictement nécessaires au fonctionnement du site.
• Maintenir un mécanisme de refus aussi accessible visuellement que le bouton d’acceptation, sous peine de requalification en dark pattern.

Au-delà du cookie wall classique, plusieurs alternatives permettent de concilier modèle économique et respect du consentement. Le financement par publicité contextuelle, qui ne repose pas sur le profilage comportemental, réduit drastiquement le volume de données personnelles traitées tout en générant un revenu publicitaire. Le modèle freemium, offrant un accès limité gratuit et un accès complet payant sans lien avec le consentement aux traceurs, évite également l’écueil pointé par l’EDPB. Ces pistes sont approfondies dans un dossier consacré aux obligations RGPD sur les cookies et aux solutions efficaces, ainsi que dans une analyse portant sur la conformité cookies sans faille.

Documenter la preuve du consentement en amont

La preuve du consentement, qu’il s’agisse d’un cookie wall ou d’un bandeau standard, se construit avant tout contrôle, pas pendant. Cela suppose de tracer l’horodatage du recueil, la version exacte du texte présenté à l’utilisateur, et la liste précise des traceurs déposés selon le choix effectué. Cette architecture probatoire, souvent négligée par les éditeurs de taille moyenne, constitue pourtant l’élément déterminant en cas de contrôle de la CNIL, comme le souligne une étude sur les risques liés à la visibilité du bandeau cookies.

Un éditeur qui aurait mis en place un cookie wall en 2021 sans jamais réévaluer son dispositif à l’aune des critères de 2022, puis de l’avis EDPB de 2024, s’expose à un décalage croissant entre sa pratique et l’état du droit applicable. La réglementation n’a pas figé le cadre : elle l’a précisé progressivement, ce qui impose une veille active plutôt qu’une conformité figée au moment de la mise en production.

{« @context »: »https://schema.org », »@type »: »FAQPage », »mainEntity »:[{« @type »: »Question », »name »: »Un cookie wall est-il totalement interdit en France ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Non. Le Conseil d’u00c9tat a annulu00e9 en 2020 l’interdiction gu00e9nu00e9rale et absolue posu00e9e par la CNIL. La pratique reste licite sous condition, notamment l’existence d’une alternative ru00e9elle et u00e9quitable au consentement, appru00e9ciu00e9e au cas par cas. »}},{« @type »: »Question », »name »: »Comment savoir si le tarif d’un paywall alternatif est raisonnable ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »La CNIL ne fixe aucun seuil chiffru00e9. Le caractu00e8re raisonnable s’appru00e9cie au regard du service rendu et des tarifs pratiquu00e9s sur le marchu00e9 comparable. Un prix manifestement dissuasif sera considu00e9ru00e9 comme privant l’internaute d’un vu00e9ritable choix. »}},{« @type »: »Question », »name »: »Le modu00e8le consent or pay de Meta respecte-t-il le RGPD ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »L’avis EDPB 08/2024 estime que le choix binaire entre consentement u00e0 la publicitu00e9 comportementale et paiement ne permet gu00e9nu00e9ralement pas d’obtenir un consentement valable pour les grandes plateformes. Une alternative gratuite u00e9quivalente est attendue. Le sujet reste du00e9battu devant le Tribunal de l’Union dans l’affaire T-319/24. »}},{« @type »: »Question », »name »: »Quelle diffu00e9rence entre cookie wall et paywall classique ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Le cookie wall conditionne l’accu00e8s du site u00e0 l’acceptation de traceurs. Le paywall conditionne l’accu00e8s u00e0 un paiement. Le modu00e8le consent or pay combine les deux options, ce qui explique l’encadrement particuliu00e8rement strict dont il fait l’objet. »}},{« @type »: »Question », »name »: »Un petit u00e9diteur de presse est-il concernu00e9 par l’avis EDPB 08/2024 ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »L’avis vise explicitement les tru00e8s grandes plateformes en ligne. Un u00e9diteur de taille moyenne n’est pas directement soumis u00e0 ces critu00e8res, mais l’esprit de l’analyse, centru00e9 sur la libertu00e9 ru00e9elle du consentement, influence du00e9sormais la doctrine gu00e9nu00e9rale de la CNIL. »}}]}

Un cookie wall est-il totalement interdit en France ?

Non. Le Conseil d’État a annulé en 2020 l’interdiction générale et absolue posée par la CNIL. La pratique reste licite sous condition, notamment l’existence d’une alternative réelle et équitable au consentement, appréciée au cas par cas.

Comment savoir si le tarif d’un paywall alternatif est raisonnable ?

La CNIL ne fixe aucun seuil chiffré. Le caractère raisonnable s’apprécie au regard du service rendu et des tarifs pratiqués sur le marché comparable. Un prix manifestement dissuasif sera considéré comme privant l’internaute d’un véritable choix.

Le modèle consent or pay de Meta respecte-t-il le RGPD ?

L’avis EDPB 08/2024 estime que le choix binaire entre consentement à la publicité comportementale et paiement ne permet généralement pas d’obtenir un consentement valable pour les grandes plateformes. Une alternative gratuite équivalente est attendue. Le sujet reste débattu devant le Tribunal de l’Union dans l’affaire T-319/24.

Quelle différence entre cookie wall et paywall classique ?

Le cookie wall conditionne l’accès du site à l’acceptation de traceurs. Le paywall conditionne l’accès à un paiement. Le modèle consent or pay combine les deux options, ce qui explique l’encadrement particulièrement strict dont il fait l’objet.

Un petit éditeur de presse est-il concerné par l’avis EDPB 08/2024 ?

L’avis vise explicitement les très grandes plateformes en ligne. Un éditeur de taille moyenne n’est pas directement soumis à ces critères, mais l’esprit de l’analyse, centré sur la liberté réelle du consentement, influence désormais la doctrine générale de la CNIL.