Bannière cookies 2026 : les nouvelles règles CNIL à connaître

Le socle des règles CNIL sur les bannières cookies n'a pas bougé depuis 2020 : le bouton refuser doit être aussi visible que le bouton accepter, et personne ne peut bloquer l'accès à son site aux visiteurs qui refusent. Ce qui a vraiment changé, c'est l'ampleur des contrôles. En 2025, la CNIL a sanctionné 21 organismes pour des manquements liés aux cookies et traceurs, avec deux amendes de 325 millions et 150 millions d'euros contre deux grands acteurs du numérique. Et depuis janvier 2026, une vraie nouveauté s'ajoute au dossier : une recommandation sur le consentement multi-terminaux.

‍

Les 4 règles de base, en vigueur depuis 2020 et toujours contrôlées

‍

La CNIL a adopté ses lignes directrices modificatives et sa recommandation sur les cookies le 17 septembre 2020, avec un délai de mise en conformité fixé à fin mars 2021. Ces règles n'ont pas changé depuis et restent la base de tout contrôle en 2026 :

‍

• Le bouton « Refuser » doit être présenté avec la même visibilité, le même format et le même niveau que le bouton « Accepter », dès le premier écran de la bannière.
• Il est interdit de bloquer l'accès au site à un visiteur qui refuse les cookies non essentiels (pas de « cookie wall »).
• Les cookies ne peuvent pas être conservés indéfiniment : une durée de conservation doit être définie et respectée.
• Le retrait du consentement doit être aussi simple que son dépôt, à tout moment.

‍

Une simple bannière avec un texte du type « Ce site utilise des cookies » sans détail sur les finalités ne suffit pas : la CNIL exige une information précise sur les finalités et les destinataires des données.

‍

Qu'est-ce qui change vraiment en 2026 ?

‍

La vraie nouveauté de 2026, c'est la recommandation de la CNIL sur le consentement multi-terminaux, publiée le 16 janvier 2026. Elle concerne les sites où un visiteur peut se connecter à un compte depuis plusieurs appareils (ordinateur, smartphone, tablette).

‍

Concrètement, trois points à retenir si votre site propose un compte client :

‍

• Un choix exprimé sur un appareil (accepter, refuser ou retirer son consentement) doit s'appliquer aux autres appareils connectés au même compte, avec la même simplicité dans les deux sens.
• L'information affichée doit préciser explicitement que ce choix vaudra pour tous les appareils liés au compte.
• Lors d'une connexion depuis un nouvel appareil, un message doit rappeler à l'utilisateur que ses choix précédents s'appliquent déjà, et le site doit avoir tranché à l'avance comment traiter un conflit entre deux choix différents (garder le plus récent ou les préférences du compte).

‍

Si votre site n'a pas de compte utilisateur (la majorité des sites vitrines de PME), cette recommandation ne change rien pour vous. Elle concerne surtout les sites e-commerce, SaaS ou tout service avec connexion.

‍

Pourquoi une amende de 1,5 million d'euros doit alerter les PME aussi

‍

Le 27 novembre 2025, la CNIL a sanctionné American Express Carte France à hauteur de 1,5 million d'euros pour trois manquements précis sur les cookies : des cookies publicitaires étaient déposés avant même que l'utilisateur n'interagisse avec le bandeau de consentement, certains cookies continuaient d'être posés malgré un refus exprimé, et les cookies déjà déposés continuaient d'être lus après le retrait du consentement.

‍

American Express est un grand groupe, mais les trois erreurs relevées sont exactement celles qui touchent le plus souvent les petits sites : un script Google Analytics ou un pixel publicitaire mal paramétré qui se déclenche au chargement de la page, avant même que la bannière n'ait été affichée ou validée.

‍

Les thématiques de contrôle officiellement prioritaires pour la CNIL en 2026 sont le recrutement, le répertoire électoral unique et les fédérations sportives : les cookies n'y figurent pas nommément. Mais ça ne veut pas dire que la vigilance retombe. Depuis janvier 2026, la CNIL a déjà prononcé 23 nouvelles sanctions via la procédure simplifiée, un mécanisme plus rapide utilisé notamment contre des structures de taille modeste, pour des manquements incluant des violations liées aux cookies, parmi d'autres motifs comme la vidéosurveillance excessive.

‍

‍

Comment vérifier votre propre bannière cookies en 10 minutes

‍

Pas besoin d'un audit RGPD complet pour repérer les erreurs les plus courantes. Quatre vérifications suffisent pour un premier diagnostic :

‍

• Ouvrez votre site en navigation privée : les boutons « Accepter » et « Refuser » ont-ils la même taille, la même couleur d'importance et le même emplacement, ou l'un des deux est-il discret ou pré-coché ?
• Lisez le texte de la bannière : décrit-il les finalités précises (mesure d'audience, publicité, réseaux sociaux) ou se contente-t-il d'une phrase générique ?
• Cliquez sur « Refuser », puis ouvrez les outils de développement de votre navigateur (onglet Application ou Stockage) : des cookies publicitaires ou d'audience sont-ils quand même présents ?
• Cherchez le lien ou le bouton permettant de revenir sur son choix plus tard : existe-t-il, et est-il aussi accessible que la bannière initiale ?

‍

Si l'une de ces quatre vérifications échoue, le problème vient rarement de la bannière elle-même mais de la façon dont les scripts tiers (analytics, publicité, réseaux sociaux) sont connectés au site. C'est un point qu'on intègre directement à la conception technique sur les sites que nous construisons sous Webflow, plutôt que de l'ajouter après coup : découvrez notre service de développement de site web sous Webflow.

‍

Questions fréquentes

‍

Le cookie wall est-il totalement interdit en France ?

Oui pour les cookies non essentiels : la CNIL interdit de bloquer l'accès au contenu d'un site à un visiteur qui refuse les cookies publicitaires ou d'analyse. Seuls les cookies strictement nécessaires au fonctionnement du site (panier, session de connexion) peuvent être déposés sans consentement.

‍

Une petite entreprise risque-t-elle vraiment une sanction pour sa bannière cookies ?

Oui. La procédure de sanction simplifiée, utilisée par la CNIL notamment contre des structures de taille modeste, a déjà donné lieu à 23 nouvelles sanctions depuis janvier 2026, pour des manquements incluant les cookies. Le montant est généralement bien plus faible que pour un grand groupe, mais la sanction reste possible.

‍

Le consentement donné par un visiteur dure-t-il indéfiniment ?

Non. La CNIL exige une durée de conservation définie pour le consentement (généralement de l'ordre de plusieurs mois, à fixer par l'éditeur du site), au-delà de laquelle la bannière doit être proposée à nouveau.

‍

Mon site n'a pas de compte utilisateur : la recommandation multi-terminaux de janvier 2026 me concerne-t-elle ?

Non, elle s'applique aux sites où un visiteur peut se connecter à un compte personnel depuis plusieurs appareils. Un site vitrine sans espace client n'est pas concerné par cette recommandation spécifique, mais reste soumis aux 4 règles de base valables depuis 2020.

‍

Comment savoir si mon site déclenche des cookies avant que le visiteur ait fait son choix ?

Ouvrez votre site en navigation privée sans avoir encore cliqué sur la bannière, puis consultez l'onglet Stockage ou Application des outils de développement de votre navigateur. Si des cookies Google Analytics, Meta Pixel ou publicitaires apparaissent déjà à ce stade, c'est un manquement direct aux règles de la CNIL.