En bref
- La symétrie des boutons prime sur le reste. Refuser doit se faire au même écran, en un clic, avec le même poids visuel qu’accepter.
- Une finalité, une phrase. Écrivez ce que vous faites de la donnée en langage courant, pas la liste des technologies employées.
- Trois choix au premier écran. Tout accepter, tout refuser, personnaliser. Le détail vient au second niveau, tous interrupteurs désactivés.
- Les contenus embarqués attendent le clic. Une vidéo chargée d’office dépose des traceurs avant tout choix : votre bannière ne protège plus rien.
Prenez le site d’une PME au hasard et regardez sa bannière cookies. Vous y verrez presque toujours un bouton « Tout accepter » plein et coloré, une mention « Paramétrer » en gris clair, et aucun bouton « Tout refuser » au premier écran.
Ce n’est pas un détail graphique. Fin décembre 2021, la CNIL a sanctionné Google à hauteur de 150 millions d’euros et Facebook à hauteur de 60 millions pour un motif tenant en une ligne : refuser demandait plusieurs clics quand accepter n’en demandait qu’un. Le texte n’était pas en cause, la géométrie des boutons l’était.
Le cadre juridique, lui, est stable, et documenté dans notre article sur les conditions d’exemption CNIL. Ce qui manque presque toujours, c’est sa traduction en boutons et en phrases.
Quatre règles de conception qui ne se négocient pas
- Refuser au même niveau qu’accepter. Même écran, même nombre de clics, même taille, même contraste. Un refus en texte gris à côté d’une acceptation en aplat de couleur ne remplit pas la condition.
- Aucune case pré-cochée. La Cour de justice de l’Union européenne l’a tranché le 1er octobre 2019 dans l’arrêt Planet49 : une case cochée par défaut ne vaut pas consentement.
- La poursuite de la navigation ne vaut pas accord. Si votre croix de fermeture vaut acceptation, elle est illégale ; si elle ne vaut rien, la bannière doit rester affichée.
- Pas de consentement obtenu par lassitude. Réafficher la bannière à chaque page à qui vient de refuser fabrique un accord par épuisement. La CNIL recommande de conserver un refus aussi longtemps qu’un accord, six mois environ.
Les motifs trompeurs se retournent contre l’entreprise
Le Comité européen de la protection des données a publié le 17 janvier 2023 le rapport de sa cellule dédiée aux bannières cookies. Trois procédés y reviennent d’un pays à l’autre.
- Le bouton de refus grisé. Il existe, parfois au premier écran, mais son contraste le range au niveau d’une mention légale.
- Le texte anxiogène. « En refusant, vous perdrez des fonctionnalités » est faux dans la quasi-totalité des cas : les cookies nécessaires ne sont pas soumis au choix.
- Le second niveau inaccessible. Un lien « Paramétrer » qui ouvre quarante prestataires sans refus global transforme le refus en corvée de quarante clics.
Ajoutez-y la colonne « intérêt légitime » pré-cochée, qui annule le refus exprimé juste à côté. Ces procédés coûtent plus qu’ils ne rapportent : un consentement obtenu par la ruse n’est pas valide, la donnée collectée sur cette base devient inexploitable, et les traitements qui reposaient dessus tombent avec elle. Vous ne perdez pas un mois de trafic, vous perdez l’historique.
L’erreur à ne pas commettre Recopier la bannière d’un concurrent parce qu’elle a l’air sérieuse. Vous ignorez si elle a été auditée, si elle correspond aux traceurs déposés chez vous, ou si l’entreprise n’est pas déjà sous le coup d’une mise en demeure. Les sanctions de décembre 2021 visaient deux des sites les plus visités au monde : la notoriété du modèle ne prouve rien.
La rédaction : une finalité, une phrase
C’est le passage que presque personne ne travaille, alors qu’il décide de la validité du consentement : celui-ci doit être éclairé, donc compris avant le clic.
Quatre règles suffisent. Le sujet, c’est vous, pas « le site ». Le verbe décrit ce que vous faites de la donnée, à l’indicatif présent, jamais au conditionnel. Aucun nom de technologie dans la phrase principale : « cookie » et « traceur » ne disent rien à votre visiteur. Et si la phrase contient deux fois « et », vous avez fusionné deux finalités à séparer.
| Finalité | Formulation courante | Formulation lisible |
|---|---|---|
| Mesure d’audience | « Cookies analytiques pour améliorer votre expérience » | « Nous comptons les visites et les pages lues pour savoir quels contenus fonctionnent. Ces statistiques ne servent pas à vous adresser de la publicité. » |
| Publicité ciblée | « Cookies marketing pour des offres pertinentes » | « Nous signalons à Google et à Meta que vous avez consulté certaines pages, pour vous montrer nos publicités sur d’autres sites. » |
| Personnalisation | « Personnaliser votre navigation » | « Nous gardons en mémoire les produits que vous avez regardés, pour les remettre en avant à votre prochaine visite. » |
| Cookies nécessaires | « Cookies strictement nécessaires au site » | « Ces fichiers gardent votre panier et votre session ouverts. Sans eux le site ne marche pas, et ils ne demandent pas votre accord. » |
Le titre mérite le même traitement. « Nous utilisons des cookies » n’apprend rien à personne. « Nous mesurons l’audience de ce site et nous diffusons de la publicité. Vous choisissez ce que vous acceptez. » annonce l’enjeu en deux phrases.
Trois niveaux de choix, et ce qu’on affiche au premier écran
Le premier écran contient trois boutons de même poids visuel : tout accepter, tout refuser, personnaliser. Au-dessus, deux lignes annonçant les finalités principales et un lien vers votre politique de confidentialité. Rien d’autre, aucun logo de partenaire.
Le second écran se range par finalité, quatre à six entrées, tous les interrupteurs désactivés à l’ouverture. Seuls les cookies nécessaires y figurent actifs, expliqués et non modifiables. En bas, deux boutons : enregistrer mes choix, et tout refuser. Sans le second, un visiteur venu comprendre se retrouve piégé dans le détail. Un lien de pied de page doit enfin permettre de rouvrir la fenêtre à tout moment, faute de quoi le retrait exigé par le RGPD reste théorique.
Ce qu’il faut retenir Un visiteur sait s’il accepte que vous diffusiez de la publicité. Il ne sait pas s’il accepte un prestataire dont il n’a jamais entendu le nom. Ranger le second niveau par finalité, et non par outil, est ce qui rend le choix possible : la liste des prestataires reste obligatoire, mais sous chaque finalité.
Vidéos, cartes et chat : les traceurs que vous ne voyez pas
Un lecteur vidéo, une carte interactive ou un widget de messagerie chargent du code hébergé ailleurs dès l’affichage de la page, avant tout clic du visiteur. Votre bannière peut être parfaite, le dépôt a déjà eu lieu, et c’est le premier point qu’un contrôle regarde.
La correction s’appelle le chargement au clic : vous remplacez le contenu embarqué par une vignette statique et une phrase du type « Cette vidéo est hébergée par YouTube. En la lançant, vous acceptez que ce service dépose des cookies. » Le contenu ne se charge qu’après ce clic, qui vaut consentement pour ce service.
Ce que chaque décision change, sur la conformité et sur la donnée
Chaque décision a deux effets : un effet juridique, un effet sur ce que vous mesurez. Les poser côte à côte évite d’arbitrer à l’aveugle. Nous traitons ce que le consentement change sur vos chiffres à part.
| Décision de conception | Effet sur la conformité | Effet sur la donnée collectée |
|---|---|---|
| « Tout refuser » au premier écran | Lève le motif de sanction le plus fréquent depuis 2021 | Acceptation en baisse, accords restants exploitables sans réserve |
| Finalités en langage courant | Rend le consentement éclairé, condition de validité | Moins de retraits tardifs et moins de réclamations |
| Suppression des cases pré-cochées | Aligne sur l’arrêt Planet49 du 1er octobre 2019 | Chute du volume au démarrage, puis stabilisation sur un choix réel |
| Contenus tiers chargés au clic | Supprime le dépôt avant choix, premier point vérifié en contrôle | Perte des lectures automatiques, pages allégées |
| Choix modifiable en pied de page | Rend le retrait effectif, exigence du RGPD | Quelques retraits visibles, à lire comme un signal |
Un signal mérite ensuite une surveillance continue : la part de vos événements de mesure qui portent un état de consentement clair. Quand elle se dégrade, c’est en général qu’on a modifié la bannière sans que son intégration technique suive, et personne ne le voit avant le bilan trimestriel. Nous détaillons ce point dans notre article sur la fiabilité de la mesure.
La revue de bannière en six points
Cette revue se fait en une heure, sans développeur. C’est notre premier passage sur tout site audité.
- En navigation privée, comptez les clics pour tout refuser, puis pour tout accepter. Si les deux nombres diffèrent, arrêtez-vous là.
- Rechargez sans rien cliquer et listez, dans l’inspecteur, tout ce qui est déjà déposé.
- Lisez chaque finalité à voix haute devant quelqu’un d’extérieur. S’il ne peut pas répéter avec ses mots ce que vous faites de sa donnée, la phrase est à refaire.
- Ouvrez le second niveau et comptez les interrupteurs actifs à l’ouverture. La réponse attendue est zéro, hors cookies nécessaires.
- Refusez tout, rechargez cinq fois, puis cherchez en pied de page le lien qui rouvre la fenêtre. Si la bannière revient seule, votre refus n’est pas conservé ; si le lien manque, faites-le ajouter.
- Datez et archivez une capture des deux écrans : en contrôle, vous devez prouver ce qui était affiché à telle date.
Si votre bannière est gérée par une plateforme de gestion du consentement, ces réglages sont dans son interface, pas dans votre code. Le point 2 reste manuel : aucune plateforme ne connaît les contenus tiers posés à la main.
Questions fréquentes
Faut-il obligatoirement un bouton « Tout refuser » sur la bannière cookies ?
La règle n’impose pas le libellé exact, elle impose que refuser soit aussi simple qu’accepter. Un bouton de refus global au premier écran, de même format que celui d’acceptation, est la seule mise en œuvre qui ne prête pas à discussion.
Combien de temps faut-il conserver le choix d’un visiteur ?
La CNIL recommande une durée de l’ordre de six mois, identique pour un accord et pour un refus. Conserver l’accord longtemps et le refus quelques heures caractérise le consentement obtenu par lassitude.
Une vidéo YouTube intégrée nécessite-t-elle un consentement ?
Oui, dès lors que le lecteur se charge et dépose des traceurs sur le poste du visiteur. Remplacez-le par une vignette cliquable accompagnée d’une phrase expliquant ce que déclenche le clic : le contenu se charge après un accord explicite, limité à ce service.
Peut-on bloquer l’accès au site tant que le visiteur n’a pas accepté ?
La CNIL ne les interdit pas par principe et publie depuis mai 2022 des critères d’évaluation au cas par cas. L’un d’eux est l’existence d’une alternative réelle d’accès au contenu, difficile à offrir sans version payante équivalente.
Par où commencer si vous n’avez qu’une heure
Faites les deux premiers points de la revue ci-dessus, et rien d’autre. Le compte de clics dit si vous êtes exposé au motif de sanction le plus courant, et la liste des traceurs déposés avant tout choix dit si votre bannière protège quelque chose ou décore une page.
Le reste est un travail de rédaction, sans obstacle technique, et c’est celui qui produit le plus d’effet : une finalité comprise est une finalité qu’on accepte plus souvent. Ce chantier relève de notre expertise data, analytics et performance, où conformité et mesure se règlent ensemble.
Sur le plan de l’outillage, nos clients utilisent Cookie Consent, édité par Datafirefly Limited, la société sœur de notre agence : bandeau conforme RGPD et CNIL, avec Consent Mode v2 câblé. L’outil ne fait pas le travail de rédaction ci-dessus, il applique proprement les choix que vous avez arbitrés. Le module existe sur les trois socles que nous rencontrons le plus : WordPress et WooCommerce, PrestaShop 8 et 9, Shopware 6. Trois modules distincts, un même modèle commercial : achat unique, douze mois de mises à jour incluses, code source non chiffré. Les plateformes de consentement les plus connues fonctionnent à l’inverse par abonnement indexé sur le volume, et la différence ne se voit pas la première année : elle se voit sur la durée de vie du site, une facture qui suit votre trafic contre une ligne budgétaire qui ne bouge pas.
Un doute sur la conception de votre bannière cookies ? Nous commençons toujours par les deux mêmes mesures : le nombre de clics nécessaires pour refuser, et la liste de ce que votre page dépose avant que le visiteur ait choisi. Parlons-en.