Un bandeau cookies est-il obligatoire sur mon site ?

Un bandeau cookies n'est obligatoire que si votre site dépose ou lit sur l'appareil du visiteur quelque chose dont il n'a pas strictement besoin : des cookies de mesure d'audience non exemptés, des pixels publicitaires, une carte Google Maps ou une vidéo YouTube intégrées. Un site qui n'utilise rien de tout cela n'a rien à demander et n'a pas besoin de bandeau. En France, la règle est l'article 82 de la loi Informatique et Libertés, et la CNIL explique dans ses lignes directrices comment l'appliquer. Voici la règle avec ses sources officielles, ce qui ajoute souvent des cookies sans que vous le sachiez, et comment vérifier votre propre site.

Ceci n'est pas un conseil juridique, mais un résumé simple de textes officiels, vérifiés le 9 novembre 2026. Si votre activité repose sur le suivi publicitaire, demandez l'avis d'un avocat ou consultez la CNIL.

La règle en France et dans l'Union européenne

Le consentement d'abord, pour tout ce qui n'est pas strictement nécessaire. L'article 5(3) de la directive « vie privée et communications électroniques » n'autorise le stockage d'informations sur l'appareil d'un visiteur, ou leur lecture, qu'avec son consentement, sauf si c'est strictement nécessaire au service qu'il a demandé (directive 2002/58/CE, version consolidée). En France, ce texte est transposé à l'article 82 de la loi Informatique et Libertés, dans sa version en vigueur depuis le 1er juin 2019 : l'information claire et complète du visiteur, puis son accord, sauf si l'accès ou le stockage « est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur ».

Le « consentement » est celui du RGPD : libre, spécifique, éclairé et univoque, donné par un acte positif clair (article 4(11)), et aussi facile à retirer qu'à donner (article 7(3)) (RGPD sur EUR-Lex).

Il n'y a pas que les cookies. Les lignes directrices 2/2023 du Comité européen de la protection des données sur le champ technique de l'article 5(3) (version 2.0, adoptée le 7 octobre 2024, en anglais) couvrent aussi le stockage local, les pixels de suivi et le suivi par l'adresse des pages. « Nous n'utilisons pas de cookies, seulement un pixel » ne vous dispense donc de rien. La CNIL parle d'ailleurs de « cookies et autres traceurs ».

Ce que demande la CNIL

La CNIL a adopté le 17 septembre 2020 des lignes directrices modifiées et une recommandation sur les cookies et autres traceurs (présentation sur cnil.fr). Les points qui comptent pour un petit site :

• Un acte positif clair. Le visiteur consent en cliquant sur « Accepter », par exemple. Continuer à naviguer ne vaut pas accord, et sans accord aucun traceur non essentiel n'est déposé.
• Refuser aussi simplement qu'accepter. La CNIL le dit en toutes lettres sur sa page « Cookies et traceurs : que dit la loi ? », et recommande un bouton « Tout refuser » à côté de « Tout accepter ».
• Pouvoir changer d'avis, facilement et à tout moment.
• Pouvoir prouver à tout moment que le consentement a été recueilli valablement.

Ce n'est pas théorique : en janvier 2022, la CNIL a annoncé une amende de 150 millions d'euros contre Google et de 60 millions d'euros contre Facebook, parce que facebook.com, google.fr et youtube.com ne permettaient pas de refuser les cookies aussi simplement que de les accepter (lettre d'information de la CNIL, janvier 2022).

Ce qui ne demande pas de consentement

La CNIL liste les traceurs dispensés de consentement (que dit la loi ?) :

• ceux qui retiennent le choix du visiteur sur les cookies ;
• ceux qui servent à se connecter (authentification), y compris ceux qui sécurisent la connexion ;
• ceux qui gardent le contenu d'un panier ou servent à facturer ;
• ceux qui personnalisent l'interface, quand c'est attendu par le visiteur (la langue choisie, par exemple) ;
• ceux qui répartissent la charge entre les serveurs ;
• certains traceurs de mesure d'audience, sous conditions.

Le cas de la mesure d'audience

C'est la grande différence avec beaucoup d'autres pays : en France, des statistiques de visite peuvent se passer de consentement si elles respectent toutes ces conditions, détaillées par la CNIL sur sa page « Cookies : solutions pour les outils de mesure d'audience » (datée du 4 juillet 2025) :

• servir uniquement à mesurer l'audience du site, pour le seul compte de l'éditeur ;
• produire uniquement des statistiques anonymes ;
• ne pas être recoupées avec d'autres traitements, ni transmises à des tiers sous une forme non anonyme ;
• ne pas permettre de suivre la navigation de la personne sur d'autres sites.

La CNIL recommande aussi d'en informer les visiteurs (dans la politique de confidentialité, par exemple), de limiter la durée de vie des traceurs à environ 13 mois sans la prolonger à chaque visite, et de ne pas garder les informations plus de 25 mois. Elle précise que certains outils sortent de l'exemption quand leur fournisseur réutilise les données pour son propre compte, même si certains peuvent être réglés pour l'éviter.

Et si vous avez des visiteurs hors de l'UE ?

• Au Royaume-Uni, la règle est le règlement 6 de PECR. Depuis le 5 février 2026, il prévoit lui aussi des exceptions, dont des statistiques destinées à améliorer votre propre site, avec information et possibilité simple de s'y opposer (annexe A1 sur legislation.gov.uk, en anglais). La publicité et le suivi d'un site à l'autre restent soumis au consentement.
• Aux États-Unis, aucune loi fédérale n'impose de bandeau. Les lois des États, comme le CCPA californien, fonctionnent surtout par opposition (un lien « Do Not Sell or Share My Personal Information ») pour les entreprises au-dessus de certains seuils (California Attorney General, en anglais).

Pas de traceurs, pas de bandeau

Si rien sur votre site ne dépose ni ne lit quoi que ce soit qui ne soit pas strictement nécessaire, il n'y a rien à accepter, et un bandeau ne ferait que gêner vos visiteurs. Il vous faut quand même une politique de confidentialité qui dit ce que le site fait des données personnelles, par exemple ce que collecte le formulaire de contact. Le bandeau et la page de confidentialité sont deux choses différentes.

Ce qui ajoute des cookies sans que vous le sachiez

La plupart des petits sites ne déposent pas de cookies volontairement. Ils les reçoivent de quelque chose qu'on y a ajouté. Une crêperie à Nantes qui colle sa carte Google Maps et une vidéo de sa salle sur YouTube a déjà deux sources :

• Une carte Google Maps intégrée. Les règles de confidentialité de Google citent « la version intégrée de Google Maps » parmi ses produits présents dans des sites tiers, et précisent que les sites qui utilisent les services Google peuvent partager des informations avec Google (règles de confidentialité de Google).
• Une vidéo YouTube intégrée. Le lecteur se charge depuis Google dès l'ouverture de la page. Google liste des cookies YouTube comme PREF et VISITOR_INFO1_LIVE sur sa page consacrée aux cookies. Les deux cas, et la solution, sont dans comment intégrer Google Maps et YouTube sans cookies.
• La mesure d'audience. Google Analytics 4 dépose deux cookies propres au site, _ga et _ga_<container-id>, qui durent chacun deux ans par défaut (aide Google Analytics).
• Les pixels publicitaires de Meta, TikTok, Pinterest ou Google Ads. Ceux-là demandent toujours un consentement : voir ajouter un pixel Meta légalement dans l'UE (en anglais).
• Les widgets de chat, de réservation et les fils de réseaux sociaux chargés depuis les serveurs d'une autre entreprise. Vérifiez la documentation de chacun.
• Les polices Google Fonts chargées depuis Google. Pas besoin de cookie pour que cela compte : le navigateur du visiteur se connecte à Google, qui reçoit son adresse IP. En janvier 2022, un tribunal de Munich a condamné l'éditeur d'un site à verser 100 € à un visiteur pour avoir transmis ainsi son adresse IP à Google sans consentement, en relevant que les polices pouvaient être utilisées sans se connecter à Google (LG München I, 3 O 17493/20, en allemand). Héberger les fichiers de police sur votre propre site évite le problème.

Comment vérifier votre propre site

Pas besoin d'outil, un navigateur d'ordinateur suffit :

1. Ouvrez votre site dans une fenêtre de navigation privée, pour repartir de zéro.
2. Ouvrez les outils de développement (F12 dans Chrome, Edge ou Firefox).
3. Dans Chrome ou Edge, allez dans Application → Stockage → Cookies ; dans Firefox, Stockage → Cookies. Tout ce qui s'y trouve a été déposé sans que vous cliquiez sur quoi que ce soit.
4. Allez dans l'onglet Réseau et rechargez la page. Regardez les domaines de la liste : chacun de ceux qui ne sont pas votre site a reçu l'adresse IP de votre visiteur.
5. Faites défiler toute la page, puis regardez à nouveau : certains contenus intégrés ne se chargent qu'une fois à l'écran.

Si les étapes 3 et 4 ne montrent que votre propre domaine, vous n'avez probablement pas besoin de bandeau. Si elles montrent Google, Meta ou d'autres, retenez-les jusqu'à un « oui », ou retirez-les.

Comment Ginta s'en occupe

C'est nous qui faisons Ginta : voici donc comment nos sites procèdent. Un site Ginta ne dépose aucun cookie par défaut, et sa page de confidentialité, que Ginta rédige d'après ce que le site utilise vraiment, le dit :

Les éléments de la liste ci-dessus sont gérés pour vous :

• Les polices Google Fonts sont servies depuis l'adresse du site lui-même : le navigateur du visiteur ne contacte jamais Google.
• Les photos d'illustration de Pexels aussi.
• Google Maps demande d'abord. Une page avec une carte Google affiche le bandeau de Ginta avec un choix « Cartes » (le seul choix quand le site n'a pas de traceur). Après un « oui », la carte de Google s'affiche aussitôt. Avant cela, la carte est une image créée par le serveur de Ginta, avec « Ouvrir dans Google Maps » et « Afficher la carte interactive », qui ne charge que cette carte-là.
• YouTube et les autres lecteurs vidéo ne se chargent que quand le visiteur clique sur lecture.
• Les statistiques de visite sont comptées sur le serveur de Ginta, sans cookie : voir des statistiques de visite sans cookies (en anglais).

Le 9 novembre 2026, nous avons ouvert deux sites de démonstration Ginta dans un navigateur vierge, hollin-mobile-massage.ginta.page et krume-leipzig.ginta.page, et les avons fait défiler jusqu'en bas : toutes les requêtes allaient vers l'adresse du site lui-même, et aucun cookie ni stockage local n'avait été déposé. (Le site de Leipzig a une carte : il affiche donc le bandeau avec le choix « Cartes », et rien n'est enregistré tant que le visiteur n'a pas répondu.)

Quand vous ajoutez un traceur, le bandeau arrive tout seul (sur les pages avec une carte Google, il est déjà là, jusque-là avec le seul choix « Cartes »). Collez l'identifiant d'un pixel Meta, d'un pixel TikTok, de Google Analytics 4, de Google Ads ou de Pinterest dans les Réglages du site → Marketing et suivi (avec toutes les offres, gratuite comprise), ou demandez-le dans le chat. Ginta ajoute alors un bandeau avec Accepter, Refuser et Paramètres de même taille, ne charge rien avant « Accepter », place « Paramètres des cookies » dans le pied de page et liste les traceurs sur la page de confidentialité :

Le détail est sur les pixels et le bandeau cookies (en anglais) et dans la documentation sur le suivi (en anglais). L'autre cookie qu'un site Ginta peut déposer, c'est aussi vous qui le choisissez : quand vous rendez un site privé, les visiteurs qui saisissent son mot de passe reçoivent un cookie qui les garde connectés, ce qui est strictement nécessaire.

Là où Ginta est moins bon

• Ginta ne garde pas de registre central des choix de chaque visiteur. La réponse est mémorisée sur l'appareil du visiteur. Or la CNIL demande de pouvoir prouver le consentement, et les règles de Google relatives au consentement de l'utilisateur dans l'UE demandent de conserver des traces du consentement. Si une régie publicitaire vous en demande, vérifiez ce qu'elle accepte.
• Les scripts que Ginta ne reconnaît pas. Avec les offres payantes, vous pouvez ajouter d'autres scripts extérieurs. Les traceurs connus écrits à la main dans les pages sont retenus jusqu'à « Accepter », et le reste est nommé sur la page de confidentialité, mais Ginta ne peut pas savoir si un script inconnu demande un consentement. Mettez-le dans Réglages → Marketing et suivi → Autre script de suivi : il attendra le bandeau.
• La page de confidentialité de Ginta est en anglais pour l'instant, même sur un site en français (elle le signale elle-même). Le bandeau cookies, lui, est en français.
• Ginta ne peut pas remplir vos coordonnées. La page de confidentialité a besoin du nom et de l'adresse de votre entreprise ; tant que vous ne les avez pas ajoutés, un vide reste à leur place.