> RGPD et cookies : consentement préalable, bouton Refuser, preuve, durées CNIL et sanctions réelles. Le guide complet pour mettre votre site en conformité. > > Canonical: https://www.flowconsent.com/fr/laws/rgpd Loi sur les cookies # RGPD et cookies : ce que la loi impose à votre site RGPD et cookies : consentement préalable, bouton Refuser, preuve, durées CNIL et sanctions réelles. Le guide complet pour mettre votre site en conformité. Mis à jour le 9 octobre 2026 · 9 min de lecture [Scanner mon site gratuitement](https://www.flowconsent.com/fr/scan) · [Essayer FlowConsent gratuitement](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=laws) ## Fiche - Nom complet Règlement (UE) 2016/679 relatif à la protection des données - Juridiction Union européenne (EEE) - En vigueur depuis 25 mai 2018 - Autorité CNIL en France, et chaque autorité nationale de l'EEE - Amende maximale 20 M€ ou 4 % du chiffre d'affaires annuel mondial - Modèle de consentement Opt-in ## L'essentiel - Le RGPD s'applique depuis le 25 mai 2018 à tout site qui vise des personnes situées dans l'Union, même s'il est édité hors de l'UE. - Pour les cookies non essentiels, le consentement doit être libre, spécifique, éclairé et univoque, donné par un acte positif clair. - Refuser doit être aussi simple qu'accepter, et retirer son consentement aussi simple que de le donner. - Vous devez pouvoir prouver à tout moment que le consentement a été valablement recueilli. - L'amende peut atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Sommaire > **En bref :** le RGPD fixe les conditions d'un consentement valable, et la règle cookies issue de la directive ePrivacy exige ce consentement avant tout cookie non essentiel. Tout site qui vise des personnes situées dans l'Union européenne est concerné, qu'il soit édité en France, à Londres ou à San Francisco. Le risque n'est pas théorique : la CNIL a prononcé en septembre 2025 des amendes de 325 et 150 millions d'euros pour des cookies déposés sans consentement valable. ## RGPD : de quoi parle-t-on ? Le RGPD, ou Règlement général sur la protection des données, est le règlement (UE) 2016/679 adopté le 27 avril 2016. Il est applicable depuis le **25 mai 2018** et, comme tout règlement européen, il est directement applicable dans chaque État membre sans loi de transposition. Son champ territorial est large. Selon l'article 3, il s'applique : - aux traitements effectués dans le cadre des activités d'un établissement situé dans l'Union, que le traitement ait lieu ou non dans l'Union ; - aux traitements de données de personnes qui se trouvent dans l'Union par un responsable **non établi dans l'Union**, lorsque ces traitements sont liés à l'offre de biens ou de services à ces personnes ou au suivi de leur comportement. Ce deuxième point est décisif pour les cookies : suivre le comportement d'un internaute qui se trouve en France avec un pixel publicitaire ou un outil d'analyse, c'est entrer dans le champ du RGPD. Un point de vocabulaire évite beaucoup de confusions. Le RGPD n'est pas, à lui seul, « la loi cookies ». La règle qui impose le consentement avant de lire ou d'écrire une information sur le terminal de l'internaute vient de la **directive ePrivacy** (article 5, paragraphe 3), transposée en France à l'**article 82 de la loi Informatique et Libertés**. Le RGPD intervient en second rang, mais il est essentiel : c'est lui qui définit ce qu'est un consentement valable, comment le prouver et quelles sanctions s'appliquent quand les cookies servent à traiter des données personnelles. L'article 95 du RGPD organise d'ailleurs explicitement l'articulation entre les deux textes. ## Qui est concerné ? En pratique, la quasi-totalité des sites professionnels : - **les sites vitrines** qui utilisent Google Analytics, un pixel Meta ou LinkedIn, une vidéo YouTube intégrée ou un outil de chat tiers ; - **les boutiques en ligne**, qui cumulent souvent mesure d'audience, remarketing, avis clients et outils d'A/B testing ; - **les médias et éditeurs** financés par la publicité ; - **les SaaS et applications web**, y compris pour leurs pages marketing ; - **les entreprises hors UE** qui vendent à des clients européens ou ciblent des visiteurs européens. La taille de l'entreprise ne change rien à l'obligation. Une association avec un simple formulaire de contact et des vidéos YouTube intégrées est soumise aux mêmes règles qu'un grand site marchand. Seule l'intensité du risque varie : les autorités concentrent leurs contrôles sur les sites à forte audience, mais elles traitent aussi des plaintes individuelles. Les rôles comptent aussi. L'éditeur du site est responsable de traitement pour le bandeau et le dépôt des cookies, y compris ceux de tiers qu'il intègre. Les fournisseurs (Google, Meta, éditeurs d'outils) peuvent être responsables conjoints ou distincts selon l'usage qu'ils font des données. ## Ce que le RGPD impose pour les cookies et le consentement ### La base légale : le consentement, sauf exemption Pour tout cookie non essentiel (publicité, réseaux sociaux, la plupart des outils d'analyse, personnalisation de contenu), la base légale est le **consentement préalable**. Le RGPD le définit à l'article 4 comme une « manifestation de volonté, libre, spécifique, éclairée et univoque » exprimée par une déclaration ou par un **acte positif clair**. Conséquences concrètes, confirmées par la CNIL dans ses lignes directrices et sa recommandation du **17 septembre 2020** : - la simple poursuite de la navigation **ne vaut pas** consentement ; - les cases précochées ne valent pas consentement, comme l'a jugé la CJUE dans l'arrêt Planet49 du 1er octobre 2019 ; - aucun cookie non essentiel ne peut être déposé tant que l'internaute n'a pas cliqué sur un bouton d'acceptation ; - l'internaute doit être informé des finalités, des conséquences de son choix et de l'identité de tous les acteurs qui utilisent des traceurs soumis au consentement. La CNIL avait fixé un délai de mise en conformité qui ne devait pas dépasser six mois, soit au plus tard fin mars 2021. Depuis, ces règles sont pleinement contrôlées. Pour approfondir chaque critère, voyez notre article sur [les 7 conditions de validité du consentement RGPD](https://www.flowconsent.com/fr/blog/consentement-rgpd-conditions-validite). ### Les exemptions Certains traceurs échappent au consentement parce qu'ils sont strictement nécessaires au service demandé. La CNIL cite notamment les traceurs d'authentification, ceux qui mémorisent le panier d'achat, ceux qui gardent en mémoire des préférences d'interface (langue, présentation), l'équilibrage de charge, et certains traceurs de mesure d'audience. Pour ces derniers, les conditions sont strictes : finalité limitée à la mesure d'audience du site, information des personnes, durée de vie limitée (la CNIL cite **13 mois**, sans prorogation automatique) et conservation des données pendant **25 mois** au maximum. Notre guide sur [la règle des 13 mois](https://www.flowconsent.com/fr/blog/duree-conservation-cookies-cnil-13-mois) détaille ces durées, et celui sur [les 4 catégories de cookies](https://www.flowconsent.com/fr/blog/categories-cookies-rgpd-guide) vous aide à classer vos traceurs. ### Durée du choix et retrait La CNIL considère que conserver les choix pendant **6 mois** constitue généralement une bonne pratique, à adapter au cas par cas. Le refus se conserve comme l'acceptation, pour ne pas harceler l'internaute à chaque visite. Le retrait est un droit explicite : l'article 7 du RGPD prévoit que la personne peut retirer son consentement **à tout moment** et qu'il doit être **aussi simple de retirer que de donner** son consentement. Un lien « Gérer mes cookies » en pied de page ou une icône flottante permanente remplit cette exigence. ### La preuve L'article 7 impose au responsable de traitement d'être **en mesure de démontrer** le consentement. La CNIL demande de pouvoir fournir à tout moment la preuve d'un recueil valable et cite des moyens possibles : mise sous séquestre du code, captures horodatées, audits réguliers, conservation des configurations de la CMP. Concrètement, il faut un registre horodaté de chaque choix, rattaché à la version du bandeau affichée. Notre article sur [la preuve de consentement](https://www.flowconsent.com/fr/blog/preuve-consentement-cookies-stocker-duree) précise ce qu'il faut stocker. ## Le bandeau de cookies conforme au RGPD Un bandeau conforme au premier niveau doit afficher : - les **finalités** des traceurs, dans un langage clair ; - un bouton **Accepter** et un bouton **Refuser** de même niveau, de même taille et de même lisibilité ; - un accès à un **paramétrage par finalité** (et la liste des partenaires) ; - un lien vers votre politique de cookies. Les pratiques à proscrire, régulièrement relevées par la CNIL : - un bouton Refuser caché dans un second écran ou remplacé par un lien discret ; - des couleurs ou des tailles qui rendent l'acceptation visuellement dominante ; - des cases précochées dans le panneau de paramétrage ; - des cookies publicitaires déposés dès l'arrivée sur le site, avant toute interaction ; - un refus qui n'est pas respecté (traceurs encore actifs après un clic sur Refuser) ; - un mur de cookies sans alternative équilibrée. La CNIL a rappelé dans sa décision contre Google de septembre 2025 qu'un cookie wall n'est pas illégal en soi, à condition que le consentement reste libre et éclairé. Pour une check-list visuelle complète, consultez notre [guide du bandeau cookies conforme](https://www.flowconsent.com/fr/blog/bandeau-cookies-conforme-rgpd-guide), notre analyse des [dark patterns interdits par la CNIL](https://www.flowconsent.com/fr/blog/dark-patterns-cookies-cnil-interdit) et notre article sur [le cookie wall et ses alternatives](https://www.flowconsent.com/fr/blog/cookie-wall-legal-rgpd-alternatives). ## Sanctions et contrôles **L'autorité** : en France, la CNIL contrôle et sanctionne les manquements à l'article 82 de la loi Informatique et Libertés. Ailleurs dans l'EEE, chaque autorité nationale applique sa propre transposition de la règle cookies. Les sanctions purement « RGPD » relèvent quant à elles du mécanisme de coopération européen. **Le plafond** : l'article 83 du RGPD prévoit, pour les violations des principes de base (y compris les conditions du consentement), une amende pouvant atteindre **20 000 000 EUR ou 4 % du chiffre d'affaires annuel mondial total** de l'exercice précédent, le montant le plus élevé étant retenu. Trois cas réels, tous issus de communications officielles : - **SHEIN, 150 millions d'euros (1er septembre 2025)** : la CNIL a constaté que plusieurs traceurs, notamment publicitaires, étaient déposés dès l'arrivée sur shein.com, avant toute interaction avec le bandeau. Elle a aussi relevé des bandeaux d'information incomplets et le non-respect du choix des utilisateurs. - **GOOGLE, 325 millions d'euros (1er septembre 2025)** : deux amendes (200 millions pour Google LLC, 125 millions pour Google Ireland Limited) pour l'affichage de publicités entre les courriels Gmail sans consentement et pour des cookies déposés lors de la création d'un compte Google sans consentement valable. - **Planet49 (CJUE, 1er octobre 2019)** : la Cour de justice a jugé qu'une case cochée par défaut ne constitue pas un consentement valable, que les informations stockées soient ou non des données personnelles. La CNIL rappelle que, depuis 2020, elle a sanctionné à de nombreuses reprises des organismes pour des manquements similaires. Notre article sur [les sanctions CNIL liées aux cookies](https://www.flowconsent.com/fr/blog/sanctions-cnil-cookies-cas-reels) les recense en détail. ## Checklist de conformité 1. **Inventoriez vos traceurs** avec un scan de toutes vos pages (voir notre [méthode d'audit de cookies](https://www.flowconsent.com/fr/blog/audit-cookies-site-web-methode)). 2. **Classez chaque cookie** par finalité et identifiez ceux qui sont réellement exemptés. 3. **Bloquez tous les scripts non essentiels** avant le consentement, y compris les pixels et les vidéos intégrées. 4. **Affichez un bandeau** avec Accepter et Refuser au même niveau, plus un paramétrage par finalité. 5. **Respectez le refus** : vérifiez qu'aucun traceur non essentiel ne se déclenche après un clic sur Refuser. 6. **Conservez le choix** pendant une durée raisonnable (6 mois est la bonne pratique citée par la CNIL), puis redemandez. 7. **Offrez un retrait permanent** via un lien ou une icône accessible sur toutes les pages. 8. **Tenez un registre de preuves** horodaté et exportable. 9. **Publiez une politique de cookies** à jour, avec la liste des cookies et leur durée (notre [modèle de politique de cookies](https://www.flowconsent.com/fr/blog/politique-de-cookies-rgpd-guide) vous y aide). 10. **Configurez Google Consent Mode v2** si vous utilisez Google Ads ou GA4. ## Comment FlowConsent vous aide à respecter le RGPD FlowConsent est une CMP européenne, hébergée en Europe, pensée pour appliquer ces règles sans configuration complexe. Le script **bloque les traceurs avant le consentement**, le bandeau affiche Accepter et Refuser au même niveau, et chaque choix est enregistré pour constituer une **preuve de consentement exportable** (voir la documentation du [rapport de preuve](https://www.flowconsent.com/fr/doc/proof-report)). Le **scan automatique** détecte les cookies de votre site et alimente la déclaration de cookies, et **Google Consent Mode v2** est intégré nativement. Commencez par un diagnostic avec notre [scanner gratuit](https://www.flowconsent.com/fr/scan), puis suivez le [guide d'installation rapide](https://www.flowconsent.com/fr/doc/quick-install) : comptez une dizaine de minutes. L'offre est gratuite jusqu'à 25 000 sessions par mois, puis 14,99 €/mois jusqu'à 100 000 sessions. [Créez votre compte gratuitement](https://app.flowconsent.com/auth/register). ## Pour aller plus loin Le RGPD pose le cadre, mais chaque outil (Google Analytics, pixels publicitaires, Consent Mode) soulève des questions spécifiques. Les articles ci-dessous approfondissent les conditions du consentement, la preuve, les durées de conservation et les sanctions réelles. Commencez par celui qui correspond à votre priorité du moment. Pour aller plus loin ## Approfondir : RGPD. Des guides pratiques du blog pour appliquer ces règles sur votre site. [Blog](https://www.flowconsent.com/fr/blog/consentement-rgpd-conditions-validite) ### [Consentement RGPD : les 7 conditions de validité](https://www.flowconsent.com/fr/blog/consentement-rgpd-conditions-validite) [Lire l'article ](https://www.flowconsent.com/fr/blog/consentement-rgpd-conditions-validite)· [Blog](https://www.flowconsent.com/fr/blog/bandeau-cookies-conforme-rgpd-guide) ### [Bandeau cookies conforme : le guide pour ne rien oublier](https://www.flowconsent.com/fr/blog/bandeau-cookies-conforme-rgpd-guide) [Lire l'article ](https://www.flowconsent.com/fr/blog/bandeau-cookies-conforme-rgpd-guide)· [Blog](https://www.flowconsent.com/fr/blog/categories-cookies-rgpd-guide) ### [Les 4 catégories de cookies RGPD : guide complet](https://www.flowconsent.com/fr/blog/categories-cookies-rgpd-guide) [Lire l'article ](https://www.flowconsent.com/fr/blog/categories-cookies-rgpd-guide)· [Blog](https://www.flowconsent.com/fr/blog/sanctions-cnil-cookies-cas-reels) ### [Sanctions CNIL liées aux cookies : les cas réels à connaître](https://www.flowconsent.com/fr/blog/sanctions-cnil-cookies-cas-reels) [Lire l'article ](https://www.flowconsent.com/fr/blog/sanctions-cnil-cookies-cas-reels)· [Blog](https://www.flowconsent.com/fr/blog/preuve-consentement-cookies-stocker-duree) ### [Preuve de consentement cookies : que stocker et combien de temps](https://www.flowconsent.com/fr/blog/preuve-consentement-cookies-stocker-duree) [Lire l'article ](https://www.flowconsent.com/fr/blog/preuve-consentement-cookies-stocker-duree)· [Blog](https://www.flowconsent.com/fr/blog/duree-conservation-cookies-cnil-13-mois) ### [Durée de conservation des cookies : la règle des 13 mois expliquée](https://www.flowconsent.com/fr/blog/duree-conservation-cookies-cnil-13-mois) [Lire l'article ](https://www.flowconsent.com/fr/blog/duree-conservation-cookies-cnil-13-mois)· [Blog](https://www.flowconsent.com/fr/blog/rgpd-cookies-2026-ce-qui-change) ### [RGPD et cookies en 2026 : ce qui a changé et ce qui arrive](https://www.flowconsent.com/fr/blog/rgpd-cookies-2026-ce-qui-change) [Lire l'article ](https://www.flowconsent.com/fr/blog/rgpd-cookies-2026-ce-qui-change)· [Blog](https://www.flowconsent.com/fr/blog/google-analytics-conforme-rgpd) ### [Google Analytics est-il conforme au RGPD ? Le guide GA4 complet](https://www.flowconsent.com/fr/blog/google-analytics-conforme-rgpd) [Lire l'article](https://www.flowconsent.com/fr/blog/google-analytics-conforme-rgpd) Questions ## RGPD et cookies : vos questions Une question qui n'est pas dans la liste ? Écrivez-nous, on répond vite. [Nous écrire](https://www.flowconsent.com/fr/demo) ### Le RGPD impose-t-il vraiment un bandeau cookies ? Le RGPD ne parle pas de bandeau, mais il fixe les conditions du consentement. En France, c'est l'article 82 de la loi Informatique et Libertés, issu de la directive ePrivacy, qui exige ce consentement avant tout cookie non essentiel. Le bandeau est simplement le moyen le plus courant de le recueillir. Si votre site n'utilise que des cookies exemptés (panier, session, sécurité, certaines mesures d'audience), aucun bandeau n'est nécessaire. ### Un site hors de l'Union européenne doit-il respecter le RGPD ? Oui, dès qu'il cible des personnes qui se trouvent dans l'Union. L'article 3 du RGPD l'applique aux responsables non établis dans l'UE lorsque leurs activités concernent l'offre de biens ou de services à ces personnes, ou le suivi de leur comportement. Un site américain qui vend en France ou qui y pose des cookies publicitaires est donc concerné. ### Combien de temps conserver le choix de l'internaute ? La CNIL indique qu'une conservation des choix pendant 6 mois constitue généralement une bonne pratique, à apprécier au cas par cas. Le refus doit être conservé comme l'acceptation, pour ne pas réinterroger l'internaute à chaque visite. Pour les cookies de mesure d'audience exemptés, la CNIL retient une durée de vie de 13 mois sans prorogation automatique, et une conservation des données de 25 mois au maximum. ### Le bouton « Tout refuser » est-il obligatoire ? La CNIL rappelle que refuser les traceurs doit être aussi aisé que de les accepter, et elle recommande un bouton « tout refuser » à côté de « tout accepter ». Son absence a été au cœur de plusieurs sanctions. En pratique, un bouton Refuser au même niveau que le bouton Accepter est le moyen le plus sûr de démontrer cette symétrie. ### Que faut-il pouvoir prouver en cas de contrôle ? L'article 7 du RGPD exige que vous puissiez démontrer que la personne a consenti. La CNIL cite comme moyens possibles la mise sous séquestre du code du bandeau, des captures horodatées, des audits réguliers ou la conservation des configurations de votre CMP. Gardez une trace de chaque choix (date, version du bandeau, finalités acceptées ou refusées). ### Le consentement est-il nécessaire pour Google Analytics ? En règle générale, oui. L'exemption de la CNIL est réservée aux traceurs dont la finalité est strictement limitée à la mesure d'audience du site, avec une durée de vie et une conservation encadrées, ce que la configuration standard de GA4 ne garantit pas. Il faut donc le bloquer jusqu'au consentement. Google Consent Mode v2 permet ensuite d'ajuster le comportement des balises selon le choix de l'internaute. ## Sources officielles Les textes et lignes directrices sur lesquels s'appuie cette page. - [Texte du RGPD (CNIL, chapitre par chapitre) ](https://www.cnil.fr/fr/reglement-europeen-protection-donnees)www\.cnil.fr - [RGPD, chapitre VIII : article 83 et amendes administratives (CNIL) ](https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre8)www\.cnil.fr - [CNIL : lignes directrices modificatives et recommandation cookies du 17 septembre 2020 ](https://www.cnil.fr/fr/cookies-et-autres-traceurs-la-cnil-publie-des-lignes-directrices-modificatives-et-sa-recommandation)www\.cnil.fr - [CNIL : questions-réponses sur les lignes directrices et la recommandation ](https://www.cnil.fr/fr/questions-reponses-lignes-directrices-modificatives-et-recommandation-cookies-traceurs)www\.cnil.fr - [CNIL : cookies et outils de mesure d'audience ](https://www.cnil.fr/fr/cookies-et-autres-traceurs/regles/cookies-solutions-pour-les-outils-de-mesure-daudience)www\.cnil.fr - [CNIL : sanction de 150 millions d'euros contre SHEIN (septembre 2025) ](https://www.cnil.fr/fr/cookies-deposes-sans-consentement-la-cnil-sanctionne-shein-dune-amende-de-150-millions-deuros)www\.cnil.fr - [CNIL : sanction de 325 millions d'euros contre GOOGLE (septembre 2025) ](https://www.cnil.fr/fr/publicites-inserees-entre-les-courriels-et-cookies-la-cnil-sanctionne-google-dune-amende-de-325)www\.cnil.fr - [CJUE, affaire C-673/17 Planet49, communiqué du 1er octobre 2019 ](https://curia.europa.eu/jcms/upload/docs/application/pdf/2019-10/cp190125fr.pdf)curia.europa.eu Autres lois ## Les autres lois sur les cookies et la vie privée. [Directive ePrivacy · Opt-in](https://www.flowconsent.com/fr/laws/directive-eprivacy) ### [Directive ePrivacy : la règle européenne des cookies expliquée](https://www.flowconsent.com/fr/laws/directive-eprivacy) [Lire le guide ](https://www.flowconsent.com/fr/laws/directive-eprivacy)· [CCPA / CPRA · Opt-out](https://www.flowconsent.com/fr/laws/ccpa-cpra) ### [CCPA et CPRA : les obligations cookies pour les sites qui visent la Californie](https://www.flowconsent.com/fr/laws/ccpa-cpra) [Lire le guide ](https://www.flowconsent.com/fr/laws/ccpa-cpra)· [UK GDPR / PECR · Mixte](https://www.flowconsent.com/fr/laws/uk-gdpr-pecr) ### [UK GDPR et PECR : les règles cookies au Royaume-Uni](https://www.flowconsent.com/fr/laws/uk-gdpr-pecr) [Lire le guide ](https://www.flowconsent.com/fr/laws/uk-gdpr-pecr)· [TDDDG · Opt-in](https://www.flowconsent.com/fr/laws/tdddg) ### [TDDDG : la loi allemande sur les cookies expliquée](https://www.flowconsent.com/fr/laws/tdddg) [Lire le guide ](https://www.flowconsent.com/fr/laws/tdddg)· [nLPD (Suisse) · Opt-out](https://www.flowconsent.com/fr/laws/nlpd-suisse) ### [nLPD suisse et cookies : ce que la loi impose à votre site](https://www.flowconsent.com/fr/laws/nlpd-suisse) [Lire le guide ](https://www.flowconsent.com/fr/laws/nlpd-suisse)· [LGPD (Brésil) · Mixte](https://www.flowconsent.com/fr/laws/lgpd-bresil) ### [LGPD au Brésil : ce que la loi impose pour les cookies](https://www.flowconsent.com/fr/laws/lgpd-bresil) [Lire le guide ](https://www.flowconsent.com/fr/laws/lgpd-bresil)· [LOPDGDD (Espagne) · Opt-in](https://www.flowconsent.com/fr/laws/lopdgdd-espagne) ### [LOPDGDD et LSSI : les règles cookies en Espagne](https://www.flowconsent.com/fr/laws/lopdgdd-espagne) [Lire le guide](https://www.flowconsent.com/fr/laws/lopdgdd-espagne) [Voir toutes les lois](https://www.flowconsent.com/fr/laws) ## Mettez votre site en conformité aujourd'hui. Gratuit jusqu'à 25 000 sessions par mois. Sans carte bancaire, sans engagement. [Créer ma bannière](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Scanner mon site](https://www.flowconsent.com/fr/scan)