Politique des cookies : comprendre les évolutions majeures apportées par le RGPD

Une PME industrielle qui vend en ligne des pièces détachées vient de recevoir un courrier de la CNIL lui demandant de justifier sa gestion des traceurs publicitaires. Son dirigeant découvre alors que son site, hébergé et administré par un prestataire externe, le place aussi dans la position de sous-traitant vis-à-vis de ses propres clients professionnels. Ce cas, loin d’être isolé, illustre une réalité que beaucoup de directions administratives ignorent encore : la politique des cookies n’est plus un simple bandeau discret en bas de page, mais un dispositif juridique complet, documenté et vérifiable à tout moment.

Le RGPD, associé à la directive ePrivacy, impose depuis plusieurs années un cadre de plus en plus strict sur la collecte de données via les cookies. En 2026, les contrôles se multiplient, les sanctions se durcissent et les entreprises qui pensaient être en conformité découvrent des lacunes dans leurs contrats fournisseurs, leurs bannières ou leur documentation interne. Comprendre ces évolutions n’est plus une option réservée aux juristes : c’est une nécessité opérationnelle pour toute organisation qui exploite un site web, même sans activité e-commerce directe.

En bref :

• Le consentement doit être libre, spécifique, éclairé et univoque, avec une option de refus aussi simple que l’acceptation.
• Les cookies non essentiels (publicité, réseaux sociaux, mesure d’audience nominative) exigent un accord préalable avant tout dépôt.
• La durée de conservation recommandée reste fixée à 13 mois maximum (395 jours).
• Les sanctions peuvent atteindre 4% du chiffre d’affaires annuel mondial selon l’article 83 du RGPD.
• Les PME agissant comme sous-traitantes doivent désormais prouver la conformité de leurs propres prestataires.
• L’intelligence artificielle et les API introduisent de nouvelles obligations de transparence et de sécurité.

Qu’est-ce qui change concrètement dans la politique des cookies avec le RGPD ?

Le changement le plus visible concerne la formulation du consentement. Un simple bouton « Accepter » ne suffit plus depuis les lignes directrices de la CNIL publiées en octobre 2020, et cette exigence s’est encore renforcée. Trois options doivent apparaître clairement : refuser tous les cookies, tout accepter, ou paramétrer finement ses choix.

Prenez l’exemple d’un fabricant de composants électroniques qui gère un site vitrine et un configurateur de produits. Son ancienne bannière proposait uniquement « J’accepte », sans alternative visible. Après mise à jour, le taux d’acceptation des cookies publicitaires a chuté d’environ 40%, un phénomène observé sur de nombreux sites ayant adopté une conformité stricte.

Cette baisse n’est pas un échec : elle traduit un consentement réel plutôt qu’un clic automatique. Les équipes marketing doivent désormais composer avec des données plus fiables mais moins abondantes. Les règles détaillées par la CNIL précisent d’ailleurs que le langage utilisé dans les bandeaux doit être compréhensible par un utilisateur non initié, sans jargon technique.

Action concrète : vérifiez dès aujourd’hui que votre bandeau propose bien trois choix distincts et qu’aucun cookie non essentiel ne se dépose avant validation.

Quels cookies nécessitent un consentement explicite des utilisateurs ?

Tous les traceurs ne sont pas logés à la même enseigne. La directive ePrivacy exempte certains cookies strictement nécessaires au fonctionnement du service demandé par l’internaute. Un panier d’achat, une session d’authentification ou une répartition de charge technique entrent dans cette catégorie.

À l’inverse, les cookies tiers liés à la publicité, au retargeting ou aux réseaux sociaux exigent un accord préalable et documenté. Même les cookies de mesure d’audience, s’ils permettent d’identifier un visiteur, tombent sous cette obligation. Seuls les outils statistiques anonymisés et non réutilisables à d’autres fins échappent à la règle.

Type de cookie	Exemple	Consentement requis
Panier d’achat	Site e-commerce	Non
Authentification	Espace client	Non
Publicité ciblée	Réseaux sociaux, régies	Oui
Mesure d’audience nominative	Google Analytics standard	Oui
Statistiques anonymisées certifiées	AT Internet, Matomo	Non (sous conditions)

Une entreprise de logistique ayant intégré un module de chat en ligne tiers a dû revoir sa classification : ce module déposait des cookies de tracking publicitaire sans que personne ne l’ait identifié comme tel. Les bonnes pratiques de rédaction d’une politique de cookies conforme recommandent justement un audit technique complet avant toute mise à jour du bandeau.

Action concrète : établissez la liste exhaustive de vos cookies avec l’aide de votre prestataire technique, en classant chacun selon sa finalité réelle.

Comment concevoir un bandeau de consentement conforme en 2026 ?

La conception du bandeau ne se limite pas à un choix esthétique. La CNIL contrôle désormais activement les « dark patterns », ces designs qui rendent le refus plus complexe que l’acceptation. Un bouton « Refuser » plus petit ou moins visible que « Accepter » constitue une non-conformité sanctionnable.

Le retrait du consentement doit être aussi accessible que son octroi initial. Concrètement, un utilisateur doit pouvoir modifier ses préférences en un ou deux clics, via un lien permanent en pied de page par exemple. Cette symétrie entre acceptation et refus est devenue un point de contrôle systématique lors des audits.

Une PME de services financiers a récemment testé plusieurs versions de son bandeau avant de trouver un équilibre entre transparence et fluidité de navigation. Le résultat : un formulaire en deux étapes, avec une première couche d’information simple et une seconde permettant de paramétrer chaque catégorie de traceur. Ce guide pratique sur la politique de cookies RGPD détaille plusieurs modèles adaptables selon la taille de l’organisation.

Action concrète : testez votre propre bandeau en simulant un refus complet : si l’opération demande plus de clics qu’une acceptation totale, corrigez-le sans délai.

Êtes-vous responsable si votre sous-traitant ne respecte pas les règles cookies ?

Oui, et cette responsabilité conjointe surprend souvent les directions administratives. Lorsque vous confiez votre site à une agence web ou que vous utilisez un outil marketing tiers, vous restez responsable du traitement vis-à-vis de vos visiteurs. Le sous-traitant, lui, doit respecter des obligations précises définies contractuellement.

Les audits réguliers deviennent incontournables : votre prestataire doit être en mesure de fournir des preuves de conformité à première demande. Les clauses contractuelles doivent également détailler les modalités de transfert de données, notamment si les serveurs sont situés hors de l’Union européenne.

• Exigez un contrat de sous-traitance mentionnant explicitement les traitements de cookies effectués.
• Demandez une documentation à jour sur les mesures de sécurité appliquées par le prestataire.
• Conservez une trace écrite de chaque échange relatif à la conformité, utile en cas de contrôle.

Un fabricant textile a ainsi découvert que son agence digitale utilisait un outil de tracking non déclaré dans le contrat initial. La régularisation a nécessité un avenant contractuel et une mise à jour complète de la mise en conformité RGPD pour les TPE et PME, un exercice qui aurait pu être évité avec un audit préalable.

Action concrète : relisez vos contrats de sous-traitance existants et ajoutez une clause spécifique sur la gestion des cookies si elle est absente.

Quelles sanctions risque une PME en cas de non-conformité ?

Les montants annoncés font souvent sourire, jusqu’au jour où l’entreprise reçoit une mise en demeure. L’article 83 du RGPD prévoit des amendes pouvant atteindre 4% du chiffre d’affaires annuel mondial ou 20 millions d’euros, selon le montant le plus élevé. Pour une PME, ce plafond reste théorique, mais les sanctions réellement prononcées par la CNIL se comptent en dizaines de milliers d’euros pour les cas de bandeaux non conformes.

Au-delà de l’amende, le risque réputationnel pèse lourd. Une entreprise sanctionnée voit sa décision publiée sur le site de la CNIL, consultable par ses clients et partenaires. Dans un secteur B2B où la confiance repose sur la solidité des process, cette exposition peut coûter plus cher qu’une amende.

La procédure suit généralement plusieurs étapes : contrôle initial, mise en demeure avec délai de correction, puis sanction en cas de non-régularisation. Les entreprises qui réagissent rapidement lors de la mise en demeure évitent souvent la sanction financière.

Action concrète : désignez un référent interne chargé de suivre toute correspondance avec la CNIL et de coordonner la réponse dans les délais impartis.

Comment l’intelligence artificielle et les API changent-elles la donne ?

L’intégration croissante d’outils d’intelligence artificielle dans les sites web complexifie la traçabilité des données collectées. Un chatbot alimenté par IA, par exemple, peut traiter des informations personnelles bien au-delà de sa fonction affichée, sans que l’utilisateur en soit clairement informé.

Les API, ces interfaces qui permettent aux systèmes de communiquer entre eux, constituent également un point de vigilance. Une faille de sécurité sur une API mal protégée peut exposer des milliers de données personnelles en quelques minutes. Les recommandations de l’OWASP sur les tests de sécurité réguliers deviennent ainsi une référence incontournable pour les équipes techniques.

Une entreprise de services logistiques ayant connecté son CRM à une API de scoring client a dû revoir entièrement son architecture après un audit de sécurité. Ce cas illustre que la conformité ne se limite plus au bandeau cookies : elle englobe désormais toute la chaîne technique, du serveur au dernier script tiers exécuté dans le navigateur.

Action concrète : demandez à votre équipe IT un état des lieux des API connectées à votre site et vérifiez leur niveau de sécurisation avant tout nouveau déploiement.

Quelles actions concrètes mettre en place dès maintenant ?

La conformité ne s’improvise pas au dernier moment, surtout lorsqu’un contrôle est annoncé. Une démarche structurée permet d’éviter les corrections précipitées, souvent incomplètes.

1. Réaliser un audit exhaustif de tous les cookies déposés sur le site, y compris ceux issus de modules tiers.
2. Mettre à jour le bandeau de consentement avec des options claires et symétriques.
3. Actualiser la politique de confidentialité et la politique de cookies, deux documents distincts mais complémentaires.
4. Former les équipes marketing et IT aux nouvelles exigences de collecte de données.
5. Documenter chaque décision prise, avec dates et responsables, pour anticiper un éventuel contrôle.

Pour les structures ne disposant pas d’un DPO en interne, faire appel à un prestataire externe ou à un outil certifié reste souvent plus rapide qu’une refonte entièrement maison. Le panorama des obligations RGPD sur les cookies et traceurs propose une grille de lecture utile pour prioriser les actions selon les ressources disponibles.

Action concrète : planifiez un audit trimestriel de vos traceurs, même en l’absence de changement apparent sur le site, car les scripts tiers évoluent souvent sans notification.

Faut-il rédiger une politique de cookies distincte de la politique de confidentialité ?

La confusion entre ces deux documents reste fréquente, y compris chez des dirigeants avertis. La politique de confidentialité couvre l’ensemble des traitements de données personnelles de l’entreprise, tandis que la politique de cookies se concentre spécifiquement sur les traceurs déposés sur le site.

Cette distinction n’est pas qu’une formalité juridique. Elle permet à l’utilisateur de comprendre rapidement quels cookies sont utilisés, pour quelle finalité, et pendant combien de temps, sans avoir à parcourir un document général de plusieurs pages. La transparence exigée par le RGPD passe justement par cette clarté documentaire.

Une politique de cookies complète doit détailler : la liste des traceurs, leur éditeur (interne ou tiers), leur durée de vie, leur finalité précise et les moyens offerts pour les refuser ou les supprimer. Les nouvelles règles applicables aux cookies insistent sur ce niveau de détail, désormais attendu par les autorités de contrôle lors d’un examen approfondi.

Action concrète : vérifiez que votre site propose bien deux documents distincts et accessibles, et non un texte unique mélangeant confidentialité générale et gestion des cookies.

Un site vitrine sans e-commerce doit-il aussi se conformer aux règles cookies ?

Oui. Dès qu’un site dépose des cookies non strictement nécessaires, comme des outils de mesure d’audience classiques ou des boutons de réseaux sociaux, le consentement préalable de l’utilisateur reste obligatoire, quelle que soit l’activité du site.

Peut-on bloquer l’accès au site en cas de refus des cookies ?

Non, sauf exception rare et justifiée. Conditionner l’accès au contenu à l’acceptation des cookies non essentiels constitue une pratique sanctionnée par la CNIL, considérée comme un consentement non libre.

Combien de temps un cookie peut-il rester actif sans nouveau consentement ?

La durée recommandée est de 13 mois maximum, soit 395 jours. Au-delà, un nouveau recueil du consentement doit être effectué auprès de l’utilisateur.

Une PME sous-traitante doit-elle signer un contrat spécifique avec ses clients ?

Oui, un contrat de sous-traitance détaillant les traitements effectués, les mesures de sécurité et les modalités en cas d’incident est obligatoire selon l’article 28 du RGPD.

Les outils d’analyse d’audience nécessitent-ils toujours un consentement ?

Pas systématiquement. Certains outils certifiés par la CNIL, produisant des statistiques anonymisées et non réutilisables à d’autres fins, peuvent être exemptés de consentement préalable.