TL;DR
Un dark pattern cookies est une technique de design qui pousse l'utilisateur à accepter les cookies sans choix réel, par exemple en cachant le bouton Refuser ou en le rendant moins visible que le bouton Accepter. La CNIL considère que ces pratiques invalident le consentement recueilli, car il n'est ni libre ni éclairé au sens du RGPD. En décembre 2024, la CNIL a mis en demeure plusieurs éditeurs de sites pour utilisation de dark patterns dans leurs bannières cookies, avec un délai d'un mois pour se mettre en conformité.
Qu'est-ce qu'un dark pattern dans une bannière cookies ?
Un dark pattern est un choix de design d'interface délibérément conçu pour orienter l'utilisateur vers une action qui sert l'éditeur du site, pas l'utilisateur. Dans le contexte des cookies, cela signifie pousser les visiteurs à cliquer sur "Tout accepter" sans leur laisser un vrai choix.
Le terme vient du designer Harry Brignull, qui a créé le site darkpatterns.org pour documenter ces pratiques. Les autorités européennes de protection des données les appellent aussi "deceptive design patterns" ou "interfaces trompeuses".
Un dark pattern cookies est une manipulation de l'interface de consentement qui empêche l'utilisateur de prendre une décision libre et éclairée sur l'utilisation de ses données. La CNIL, le CEPD (Comité Européen de la Protection des Données) et d'autres autorités considèrent que le consentement obtenu via un dark pattern n'est pas validé au sens du RGPD.
Quels sont les dark patterns les plus courants dans les bannières cookies ?
Les autorités de protection des données ont identifié plusieurs pratiques récurrentes dans les bannières de consentement. Voici les six types de dark patterns les plus fréquents.
Asymétrie visuelle entre Accepter et Refuser
Le bouton "Tout accepter" est affiché en couleur vive, en gros caractères, bien visible. Le bouton "Refuser" ou "Continuer sans accepter" est en texte gris, en petite taille, ou présenté comme un simple lien hypertexte. Cette asymétrie crée une hiérarchie visuelle qui oriente le choix de l'utilisateur. C'est le dark pattern le plus répandu dans les bannières cookies.
Parcours asymétrique (plus de clics pour refuser)
Accepter les cookies se fait en un clic. Refuser nécessite de naviguer dans un sous-menu, de décocher des catégories une par une, puis de valider. Ce déséquilibre dans le nombre d'étapes rend le refus plus pénible que l'acceptation. La CNIL exige que refuser les cookies soit aussi simple qu'accepter, en nombre de clics et en effort.
Absence du bouton Refuser sur le premier écran
Certaines bannières affichent "Tout accepter" et "Personnaliser mes choix", mais pas de bouton "Tout refuser" au premier niveau. L'utilisateur qui veut refuser doit ouvrir la personnalisation, ce qui ajoute une étape. La CNIL considère cette pratique comme non conforme.
Formulations ambiguës ou culpabilisantes
Utiliser des libellés comme "Je décline les fonctionnalités non essentielles" au lieu de "Refuser" crée de la confusion. Certains sites vont plus loin avec des formulations culpabilisantes du type "Je refuse d'améliorer mon expérience". Ces techniques de "confirmshaming" visent à décourager le refus.
Cases pré-cochées
Présenter les catégories de cookies avec toutes les cases cochées par défaut oblige l'utilisateur à décocher manuellement chaque option. Le RGPD est explicite sur ce point : le silence ou les cases pré-cochées ne constituent pas un consentement valide (considérant 32 du RGPD, confirmé par l'arrêt Planet49 de la CJUE).
Notre guide sur les 4 catégories de cookies RGPD précise lesquelles peuvent être actives par défaut et lesquelles doivent rester décochées.
Cookie wall (mur de cookies)
Le cookie wall bloque l'accès au contenu du site tant que l'utilisateur n'a pas accepté les cookies. L'utilisateur n'a pas de choix réel : c'est accepter ou partir. La CNIL autorise les cookie walls sous conditions très strictes (une alternative équitable doit exister), mais dans la plupart des cas, cette pratique invalide le consentement.
Pourquoi la CNIL sanctionne-t-elle les dark patterns cookies ?
La réponse tient en un principe : le consentement aux cookies doit être libre, spécifique, éclairé et univoque, conformément au RGPD (article 4, paragraphe 11) et à l'article 82 de la loi Informatique et Libertés qui transpose la directive ePrivacy.
Un dark pattern empêche le consentement d'être "libre" puisqu'il oriente la décision. Il empêche aussi le consentement d'être "éclairé" quand les formulations sont ambiguës. Le consentement recueilli par une bannière utilisant des dark patterns est donc juridiquement invalide. Et si le consentement est invalide, tous les cookies déposés sur cette base le sont aussi.
Ces critères font partie d'un ensemble plus large, détaillé dans notre article sur les 7 conditions de validité du consentement RGPD.
La CNIL ne sanctionne pas un "mauvais design" en tant que tel. Elle sanctionne le fait que le consentement obtenu n'est pas conforme, ce qui revient à déposer des cookies sans base légale.
Que s'est-il passé en décembre 2024 ?
En décembre 2024, la CNIL a annoncé avoir mis en demeure plusieurs éditeurs de sites web après avoir reçu des plaintes concernant des dark patterns dans leurs bannières cookies. Les éditeurs concernés ont reçu un délai d'un mois pour modifier leurs interfaces de consentement.
Les pratiques identifiées par la CNIL dans ces mises en demeure incluaient des boutons "Accepter" mis en avant par la couleur, la taille ou le style de police, tandis que l'option "Refuser" était présentée comme un simple lien textuel peu visible. D'autres sites présentaient plusieurs boutons "Accepter" mais un seul bouton "Refuser", ou plaçaient le bouton de refus dans un endroit difficile à repérer.
Cette vague de mises en demeure s'inscrit dans une tendance plus large. La CNIL a déjà infligé des amendes pour des problèmes liés aux cookies à plusieurs reprises : Google (150 millions d'euros), Facebook (60 millions d'euros), Amazon (35 millions d'euros), TikTok (5 millions d'euros). Ces montants concernaient des manquements à la réglementation cookies au sens large, pas uniquement des dark patterns, mais le message est clair : la CNIL prend le sujet au sérieux.
Pour le détail de ces décisions, consultez notre récapitulatif des sanctions de la CNIL liées aux cookies.
Comment vérifier si votre bannière utilise des dark patterns ?
La méthode la plus simple est de tester votre propre bannière comme un utilisateur ordinaire. Posez-vous ces questions en la regardant.
Le bouton Refuser est-il aussi visible que le bouton Accepter ? Même taille, même couleur, même emplacement relatif. Si l'un est en vert vif et l'autre en gris clair, c'est un dark pattern.
Pour des repères visuels, parcourez nos exemples de bandeaux cookies RGPD et bonnes pratiques.
Refuser les cookies demande-t-il le même nombre de clics qu'accepter ? Si accepter = 1 clic et refuser = 3 clics (ouvrir les préférences, tout décocher, valider), c'est un parcours asymétrique.
Les formulations sont-elles neutres ? "Tout accepter" et "Tout refuser" sont neutres. "Accepter et continuer" face à "Je décline les services d'amélioration de l'expérience" ne l'est pas.
Des cases sont-elles pré-cochées ? Si l'utilisateur arrive dans le panneau de personnalisation avec des catégories déjà activées (hors cookies strictement nécessaires), c'est non conforme.
Un scanner de cookies peut aussi vous aider à identifier les scripts qui se chargent avant que le consentement soit donné, ce qui est un problème distinct mais souvent lié aux bannières mal configurées.
Erreurs fréquentes (et comment les éviter)
Croire qu'un petit déséquilibre visuel n'est pas un problème. La CNIL ne fixe pas de seuil de tolérance. Si le bouton Refuser est objectivement moins visible que le bouton Accepter, le consentement est potentiellement invalide. Correction : utilisez la même taille, le même poids de police et un contraste équivalent pour les deux options.
Confondre "Personnaliser" et "Refuser". Proposer "Tout accepter" et "Personnaliser mes choix" sans bouton "Tout refuser" n'est pas suffisant. L'utilisateur doit pouvoir refuser en un clic, sans passer par un écran de personnalisation. Correction : ajoutez un bouton "Tout refuser" au premier niveau de la bannière.
Utiliser des formulations ambiguës pour le refus. Des libellés comme "Continuer avec les paramètres par défaut" ou "Je refuse les fonctionnalités non essentielles" ne sont pas clairs. Correction : utilisez un libellé explicite comme "Tout refuser" ou "Refuser les cookies non essentiels".
Penser que le cookie wall est toujours interdit. La CNIL a précisé que le cookie wall peut être acceptable si une alternative équitable est proposée (par exemple, un accès payant sans cookies). Mais dans la pratique, très peu de sites remplissent ces conditions. Correction : consultez les lignes directrices sur le cookie wall et évaluez si votre cas est vraiment éligible.
Ne pas tester le rendu mobile. Un bouton bien visible sur desktop peut devenir quasi invisible sur mobile si le responsive n'est pas bien géré. Les dark patterns involontaires sur mobile sont fréquents. Correction : testez votre bannière sur au moins trois tailles d'écran avant de la mettre en production.
Dans FlowConsent, vous pouvez ajuster la mise en page, les couleurs et la typographie avec un aperçu en direct, comme l'explique notre documentation sur la personnalisation de votre bannière cookies.
Laisser les cases pré-cochées dans le panneau de personnalisation. Par défaut, seuls les cookies strictement nécessaires (qui ne nécessitent pas de consentement) peuvent être activés. Toutes les autres catégories doivent être décochées. Correction : vérifiez la configuration de votre CMP pour que les catégories optionnelles soient désactivées par défaut.
Dark patterns cookies : ce que les régulateurs vérifient
Pour comprendre le niveau d'exigence, voici un résumé de ce que la CNIL et les autres autorités européennes contrôlent dans les bannières de consentement.
Checklist : bannière cookies sans dark patterns
- Le bouton "Tout refuser" est présent au premier niveau de la bannière, sans clic supplémentaire.
- Les boutons "Tout accepter" et "Tout refuser" ont la même taille, la même couleur et le même poids visuel.
- Refuser les cookies demande exactement le même nombre de clics qu'accepter.
- Les formulations sont neutres et explicites ("Tout accepter" / "Tout refuser"), sans jargon ni culpabilisation.
- Dans le panneau de personnalisation, seuls les cookies strictement nécessaires sont cochés par défaut.
- Aucun script non essentiel (analytics, publicité, réseaux sociaux) ne se charge avant que l'utilisateur ait fait son choix.
- La bannière est testée et lisible sur mobile (boutons accessibles, texte lisible, pas de dark pattern involontaire).
- La croix de fermeture de la bannière (si présente) ne vaut pas acceptation.
- L'utilisateur peut modifier son choix à tout moment via un lien accessible sur le site (souvent en footer).
- La politique de cookies est accessible depuis la bannière.
Conclusion
Les dark patterns dans les bannières cookies ne sont pas un détail de design. Ce sont des pratiques qui invalident le consentement et exposent votre site à des sanctions. La CNIL l'a réaffirme fin 2024 en mettant en demeure des éditeurs, et la tendance ne va pas s'inverser.
La règle est simple : refuser les cookies doit être aussi facile qu'accepter. Même visibilité, même nombre de clics, même clarté. Si votre bannière ne respecte pas cette symétrie, le consentement qu'elle recueille est fragile juridiquement.
Pour vérifier l'état de votre bannière et identifier les scripts qui se chargent avant consentement, scannez votre site gratuitement avec FlowConsent.