Bandeau cookies : la CNIL sanctionne aussi les petits sites

Le bandeau cookies est souvent la seule brique de conformité RGPD que le visiteur voit, et c'est aussi celle que la CNIL contrôle le plus facilement. Entre juin 2025 et mars 2026, la commission a sanctionné pour des manquements liés aux cookies aussi bien des géants du numérique (325 millions d'euros, 150 millions d'euros) qu'une collectivité territoriale, un club de sport ou un petit site de vente à distance, avec des amendes de 2 000 à 20 000 euros. Dans le même temps, la réforme européenne dite « Digital Omnibus », qui promettait de simplifier les bandeaux, reste bloquée en première lecture. Ce billet fait le point sur ce qui s'applique réellement à votre site vitrine à l'automne 2026, sur les dérives techniques qui rendent un bandeau non conforme sans que personne ne s'en aperçoive, et sur la place que la gestion du consentement doit occuper dans votre contrat de maintenance.

Bandeau cookies en 2026 : ce que la loi exige vraiment de votre site

En France, un site doit obtenir le consentement libre, spécifique, éclairé et préalable de l'internaute avant de déposer tout cookie ou traceur non indispensable, et lui permettre de refuser aussi facilement qu'il accepte. Cette règle découle de l'article 82 de la loi Informatique et Libertés, interprété par les lignes directrices et la recommandation de la CNIL publiées à l'automne 2020. Elle s'applique quelle que soit la taille de l'organisme.

Concrètement, l'obligation se décompose en quatre exigences que tout responsable de site peut vérifier lui-même :

• Le préalable : aucun traceur soumis à consentement (publicité, réseaux sociaux, vidéo intégrée, mesure d'audience non exemptée) ne doit être déposé avant le choix de l'internaute. Un simple défilement de page ne vaut pas consentement.
• La symétrie : le refus doit être aussi simple que l'acceptation. Un bouton « Tout accepter » au premier niveau et un refus caché derrière un lien « Paramétrer » constituent le manquement le plus fréquemment relevé.
• L'information : le bandeau doit indiquer les finalités, l'identité des destinataires (les partenaires), et la possibilité de retirer son consentement à tout moment.
• La preuve et la durée : vous devez pouvoir démontrer qu'un consentement a été recueilli, et le redemander à intervalles raisonnables. La CNIL recommande de conserver les choix de l'internaute pendant une durée limitée, généralement de l'ordre de six mois.

Le point important pour un dirigeant ou un responsable communication est le suivant : ces quatre exigences ne sont pas satisfaites une fois pour toutes par l'installation d'un module. Elles dépendent du comportement réel du site, page par page, au moment où la CNIL ou un plaignant le visite. Or ce comportement change à chaque mise à jour, chaque nouvelle extension, chaque balise ajoutée par une équipe marketing ou un prestataire publicitaire.

Les sanctions CNIL 2025-2026 : les petits sites ne sont pas épargnés

La CNIL ne sanctionne pas seulement les grandes plateformes : son tableau officiel des sanctions recense, entre juin 2025 et mars 2026, plus d'une dizaine d'amendes « cookies » visant des PME, des éditeurs, un club de sport et une collectivité territoriale, pour des montants compris entre 2 000 et 20 000 euros. Le risque est donc réel pour un site vitrine ordinaire.

Les dossiers les plus médiatisés concernent évidemment les grands acteurs. Le 1er septembre 2025, la CNIL a prononcé une amende de 325 millions d'euros contre une société développant plusieurs services en ligne (délibération SAN-2025-004) et de 150 millions d'euros contre un site de vente en ligne de vêtements (délibération SAN-2025-005), toutes deux pour des manquements à l'information et au consentement en matière de cookies. En novembre 2025 ont suivi 750 000 euros contre un éditeur de presse et régie publicitaire, 1,5 million d'euros contre un émetteur de cartes de paiement, puis 3,5 millions d'euros fin décembre 2025 contre une société du secteur tertiaire, le consentement aux cookies figurant parmi les griefs.

Mais la partie la plus instructive du tableau, pour une PME, est ailleurs. Voici quelques sanctions prononcées en procédure simplifiée, telles que publiées par la CNIL :

• 18 juin 2025 : 3 000 euros contre une société de vente à distance, pour défaut de consentement aux cookies ;
• 16 octobre 2025 : 20 000 euros et injonction contre une société gérant des centres de sports et de loisirs (cookies, information des personnes et sécurité des données) ;
• 4 novembre 2025 : 4 000 euros contre une collectivité territoriale, pour un défaut d'information sur les cookies ;
• 13 novembre 2025 : 5 000 euros contre un commerce de détail de chaussures ;
• 18 décembre 2025 : 2 000 euros et injonction contre une agence de voyage ;
• 26 mars 2026 : 15 000 euros et injonction contre un organisateur d'événements, les cookies figurant parmi six manquements.

Le rythme s'est accéléré en 2026 : le 6 juillet 2026, la CNIL indiquait avoir prononcé 23 nouvelles sanctions en procédure simplifiée depuis janvier, dont 19 issues de plaintes, pour un total de 133 750 euros, soit environ 5 800 euros en moyenne. Vidéosurveillance, cookies et non-respect des droits d'accès et d'effacement forment les principaux motifs. Le fait que la majorité de ces dossiers naissent de plaintes d'internautes compte : un bandeau défaillant n'a pas besoin d'être repéré par un contrôle pour être sanctionné.

Cette procédure simplifiée a été créée par la loi n° 2022-52 du 24 janvier 2022 pour traiter les dossiers peu complexes. L'amende y est plafonnée à 20 000 euros, la décision est prise par un seul membre de la formation restreinte et il n'y a pas d'audience publique. C'est précisément ce qui rend la procédure redoutable pour les petits sites : elle permet à la CNIL de traiter un grand nombre de dossiers « cookies » rapidement, sans que l'enjeu financier justifie une instruction lourde.

Le montant de l'amende n'est d'ailleurs pas le seul coût. L'injonction qui l'accompagne souvent impose une mise en conformité sous un délai court, parfois assortie d'une astreinte journalière. Le tableau 2026 de la CNIL recense plusieurs liquidations d'astreinte, de 850 à 5 100 euros, contre des organismes qui n'avaient pas répondu à une injonction antérieure. Autrement dit, ne pas corriger coûte une seconde fois.

Digital Omnibus : pourquoi la réforme européenne ne change rien pour l'instant

La proposition européenne de « Digital Omnibus » présentée le 19 novembre 2025, qui prévoit de déplacer les règles sur les cookies dans le RGPD et de simplifier les bandeaux, n'est pas adoptée : au 12 octobre 2026, le Conseil de l'UE n'a toujours pas arrêté son mandat de négociation et le Parlement européen n'a pas voté sa position. Les règles actuelles, article 82 et lignes directrices CNIL, s'appliquent donc sans changement.

La Commission européenne a publié le 19 novembre 2025 un paquet de simplification du droit numérique. Son volet « données » propose notamment un nouvel article 88a du RGPD qui intégrerait les règles sur les cookies, aujourd'hui issues de la directive ePrivacy, et un article 88b sur l'expression du consentement par des signaux automatisés, lisibles par une machine, émis par exemple par le navigateur. Parmi les mesures annoncées figurent un refus en un seul clic et l'interdiction de redemander le consentement pour la même finalité pendant au moins six mois après un refus.

Sur le papier, la perspective est séduisante : moins de bandeaux, un choix exprimé une fois dans le navigateur. Dans les faits, le calendrier s'est enlisé :

• le comité européen de la protection des données (EDPB) et le contrôleur européen (EDPS) ont rendu le 11 février 2026 un avis conjoint exprimant de sérieuses réserves sur la protection des personnes et la sécurité juridique ;
• le volet consacré à l'intelligence artificielle a été dissocié et adopté séparément, devenant le règlement (UE) 2026/1744 du 27 juillet 2026 ;
• au Parlement européen, les commissions LIBE et ITRE ont publié leur projet de rapport le 22 juin 2026 et plus de 1 750 amendements ont été déposés avant le 15 juillet ;
• au Conseil, la présidence irlandaise a fait circuler le 2 octobre 2026 un projet de mandat de 163 pages (document 13886/26) ; la réunion du Coreper du 7 octobre s'est achevée sans vote, en raison de désaccords sur le Data Act, et un nouveau vote des ambassadeurs était attendu le 11 octobre. Nous n'avons pas pu en confirmer l'issue à la date de rédaction, et aucun trilogue n'a commencé ;
• sur le fond des cookies, ce projet du Conseil ramènerait le délai avant une nouvelle sollicitation après un refus de six mois (proposition de la Commission) à au moins quatre mois, conserverait le principe du consentement avec une liste d'exceptions dont la mesure d'audience de premier niveau, et ne rétablirait pas le signal de consentement émis par le navigateur.

Même dans l'hypothèse la plus rapide, un texte adopté devra ensuite entrer en application, puis les navigateurs et les outils de gestion du consentement devront implémenter les nouveaux signaux. Pour un site vitrine, la conclusion pratique est simple : il serait imprudent de geler la mise en conformité en attendant la réforme. Les sanctions de 2025-2026 ont toutes été prononcées sur la base des règles actuelles, qui restent celles que la CNIL contrôle.

Il y a d'ailleurs un bénéfice à anticiper. Les principes centraux de la réforme, refus en un clic et respect durable d'un refus, correspondent déjà aux exigences de la CNIL. Un site dont le bandeau respecte aujourd'hui la symétrie et la durée de conservation des choix n'aura que peu à modifier si le texte aboutit.

Comment un bandeau conforme devient non conforme sans que personne ne le voie

Un bandeau cookies devient non conforme le plus souvent sans intervention volontaire : une extension mise à jour, une vidéo intégrée, un script publicitaire ajouté dans le gestionnaire de balises ou une nouvelle page peuvent déposer des traceurs avant le consentement. C'est une dérive de maintenance, pas un défaut d'installation, et elle se détecte uniquement par des contrôles réguliers.

Chez Pulsar Agency, qui maintient des sites Joomla, WordPress, Drupal et PrestaShop depuis 2005, les causes de dérive que nous rencontrons lors des reprises et des audits se répartissent en quelques familles récurrentes.

Les intégrations ajoutées par le contenu

Une vidéo YouTube ou Vimeo insérée directement dans un article, une carte Google Maps sur la page contact, un fil Instagram ou un bouton de partage : chacun de ces éléments charge des ressources tierces et peut déposer des cookies dès l'affichage de la page. Si l'outil de gestion du consentement ne bloque pas ces intégrations jusqu'au choix de l'internaute, le site dépose des traceurs sans consentement. Le problème apparaît fréquemment des mois après la mise en ligne, quand un rédacteur ajoute une vidéo à un billet sans savoir qu'elle n'est pas couverte.

Les balises ajoutées dans le gestionnaire de balises

Google Tag Manager et ses équivalents permettent à une équipe marketing ou à une agence publicitaire d'ajouter un pixel de conversion sans toucher au code. C'est pratique, et c'est la première source de dérive : une balise déclenchée « sur toutes les pages » sans condition de consentement s'exécute avant le choix de l'internaute. Le responsable du site ignore souvent même qu'elle existe.

Les mises à jour d'extensions et de thèmes

Une mise à jour d'extension de formulaire, de chat, d'avis clients ou de thème peut ajouter un script tiers, changer le nom d'un cookie ou modifier l'ordre de chargement des scripts. L'outil de consentement, qui reconnaissait l'ancien comportement, laisse passer le nouveau. Sur WordPress, certaines extensions de mise en cache ou d'optimisation qui regroupent et différent les scripts peuvent aussi casser le blocage préalable mis en place par l'outil de consentement.

Les polices et bibliothèques chargées depuis un tiers

Les polices Google Fonts appelées depuis les serveurs de Google transmettent l'adresse IP du visiteur à un tiers à chaque affichage. Une juridiction allemande l'a jugé illicite dès janvier 2022 (tribunal régional de Munich). La solution de maintenance consiste à héberger ces polices localement, ce que nous détaillons dans notre FAQ sur Google Fonts et le RGPD.

Le bandeau qui ne s'affiche plus

Dernier cas, plus brutal : après une mise à jour du CMS, un conflit JavaScript ou l'expiration de l'abonnement à l'outil de consentement, le bandeau disparaît purement et simplement, alors que les traceurs continuent d'être déposés. Sans supervision, personne ne s'en aperçoit, car le site « fonctionne ».

Tous ces cas ont un point commun : ils résultent de l'évolution normale d'un site vivant. Un contrôle annuel ne suffit pas à les attraper à temps ; un contrôle après chaque intervention technique notable, plus une vérification périodique, si.

Mesure d'audience sans consentement : ce qui est réellement exempté

Certains outils de mesure d'audience peuvent fonctionner sans consentement si leur usage est strictement limité à des statistiques anonymes pour le compte exclusif de l'éditeur, avec des cookies d'une durée maximale de 13 mois et des données conservées au plus 25 mois. Google Analytics 4, dans sa configuration standard, ne remplit pas ces conditions et reste soumis au consentement.

L'exemption de mesure d'audience est l'un des leviers les plus utiles pour un site vitrine, car elle permet de conserver des statistiques fiables même quand une large part des visiteurs refuse les cookies. Les conditions fixées par la CNIL sont cependant strictes :

• la finalité doit être limitée à la mesure de l'audience du site (pages vues, sessions, performance technique), à l'exclusion de tout ciblage, profilage ou remarketing ;
• les données ne doivent servir qu'à produire des statistiques anonymes, sans recoupement avec d'autres traitements ni transmission à des tiers ;
• les traceurs ne doivent pas permettre de suivre l'internaute sur d'autres sites ;
• la durée de vie des cookies est limitée à 13 mois, sans prorogation automatique à chaque visite, et les informations collectées ne sont pas conservées plus de 25 mois ;
• l'internaute doit être informé et pouvoir s'opposer.

Plusieurs outils disposent d'un guide de paramétrage publié par la CNIL pour fonctionner dans ce cadre, 8f703c941f7dd47850572d0b25ca00e3-gdprlock étant le plus répandu sur les sites que nous maintenons. Attention toutefois : l'exemption tient au paramétrage, pas au nom de l'outil. Un 8f703c941f7dd47850572d0b25ca00e3-gdprlock configuré pour enregistrer les adresses IP complètes, croiser des données ou suivre des identifiants d'utilisateurs connectés sort du cadre de l'exemption.

Côté Google, la situation est différente. Depuis mars 2024, Google exige des sites utilisant ses services publicitaires et Google Analytics auprès d'internautes de l'Espace économique européen qu'ils transmettent les signaux du Consent Mode v2, une obligation liée au règlement sur les marchés numériques (Digital Markets Act). Sans ces signaux, les données des nouveaux utilisateurs européens ne sont plus exploitables pour la publicité. Le Consent Mode ne dispense pas du bandeau : il transmet à Google le choix exprimé dans le bandeau. Un site qui l'a mal implémenté perd donc à la fois sa conformité et la qualité de ses données marketing.

Choisir et maintenir une plateforme de gestion du consentement

Une plateforme de gestion du consentement (CMP) affiche le bandeau, bloque les traceurs avant le choix et conserve la preuve du consentement. Les offres vont de solutions gratuites et open source à des abonnements de quelques dizaines d'euros par mois pour un site vitrine ; le critère décisif n'est pas le prix, mais la capacité de l'outil à bloquer réellement chaque traceur présent sur votre site.

Le marché se partage schématiquement en trois catégories :

• Les solutions open source à intégrer, comme la bibliothèque tarteaucitron.js, développée en France. Elles sont gratuites, mais demandent une intégration technique soignée : chaque service tiers doit être déclaré et chaque intégration (vidéo, carte, pixel) branchée sur le gestionnaire. Leur conformité dépend entièrement de la qualité de cette intégration et de son suivi dans le temps.
• Les CMP en mode SaaS destinées aux PME, qui détectent automatiquement une partie des cookies et proposent un bandeau paramétrable. À titre d'exemple, la grille d'Axeptio publiée en 2026 comprend une offre gratuite limitée à 200 visiteurs par mois, puis des formules à 29 euros par mois (jusqu'à 5 000 pages vues) et 69 euros par mois, avec prise en charge du Consent Mode v2.
• Les CMP « entreprise », utilisées par les grands comptes et les sites à forte audience publicitaire, qui gèrent le cadre IAB TCF, plusieurs domaines et des tableaux de bord de consentement. Leur coût se négocie généralement au volume.

Les modules intégrés à certains CMS ou thèmes forment une quatrième famille, souvent la plus fragile : ils affichent un bandeau mais ne bloquent pas toujours les scripts au préalable. Un bandeau qui demande l'accord sans rien bloquer est sans doute la pire des situations, car il donne au responsable du site une fausse impression de conformité.

Quel que soit l'outil, cinq points de paramétrage reviennent dans chaque audit :

1. un bouton « Tout refuser » au premier niveau, de même taille et de même visibilité que « Tout accepter » ;
2. le blocage effectif, avant consentement, de chaque service soumis à consentement, vérifié sur une session de navigation vierge ;
3. une liste des finalités et des partenaires à jour, cohérente avec la politique de confidentialité ;
4. un moyen permanent de modifier ses choix, par exemple un lien en pied de page ;
5. une durée de conservation du choix raisonnable et une nouvelle demande à l'échéance.

Ce dernier point illustre bien la nature du sujet : un outil de consentement n'est pas un produit qu'on installe, mais un composant qu'on maintient, au même titre que le CMS et ses extensions.

Auditer son bandeau cookies : la méthode en six étapes

Un audit de bandeau cookies consiste à visiter le site dans un navigateur vierge, à relever les traceurs déposés avant tout choix, puis après un refus et après une acceptation, et à comparer ce relevé avec ce que le bandeau et la politique de cookies annoncent. Cette vérification, réalisée page par page sur les gabarits clés, révèle l'essentiel des écarts.

Voici la méthode que nous appliquons, et que vous pouvez en partie reproduire vous-même :

1. Partir d'une session vierge. Navigation privée, cache vidé, aucune extension de blocage de publicité active, sinon le test est faussé.
2. Relever les traceurs avant tout choix. Dans les outils de développement du navigateur (onglet Application ou Stockage, puis onglet Réseau), noter les cookies déposés et les requêtes envoyées à des domaines tiers dès l'arrivée sur la page. À ce stade, seuls les traceurs strictement nécessaires et la mesure d'audience exemptée sont admissibles.
3. Tester les gabarits, pas seulement l'accueil. Une page contact avec carte, un article avec vidéo, une page produit, un formulaire : chaque gabarit peut charger des services différents.
4. Cliquer sur « Tout refuser » et recommencer. Après un refus, aucun traceur soumis à consentement ne doit apparaître, y compris en changeant de page ou en revenant le lendemain.
5. Cliquer sur « Tout accepter » et contrôler la liste. Les traceurs déposés doivent correspondre aux finalités et partenaires annoncés, sans service caché.
6. Confronter avec les documents. Politique de cookies, politique de confidentialité et mentions légales doivent décrire la même réalité que le relevé technique.

La CNIL publie par ailleurs des outils pour aider les éditeurs à visualiser les traceurs déposés, et de nombreux scanners en ligne existent. Ils sont utiles pour un premier repérage, mais ne remplacent pas un test manuel sur les parcours réels, notamment parce qu'ils ne déclenchent pas toujours les intégrations chargées au défilement ou au clic.

Le contrôle des cookies fait partie de l'audit de site web que nous réalisons avant toute reprise de maintenance, et vous trouverez dans notre FAQ le détail de ce que vérifie un audit RGPD de site web.

Intégrer la conformité cookies au contrat de maintenance

La conformité du bandeau cookies doit figurer explicitement dans le contrat de maintenance de votre site : contrôle des traceurs après chaque mise à jour notable, mise à jour de l'outil de consentement, vérification périodique de son affichage et de son blocage, et traçabilité des interventions. Sans clause écrite, ce contrôle n'est fait par personne.

Le RGPD et la loi Informatique et Libertés placent la responsabilité sur l'éditeur du site, c'est-à-dire sur votre organisation, pas sur l'agence qui l'a construit ni sur celle qui le maintient. Le prestataire technique agit toutefois sur les éléments qui créent ou corrigent la non-conformité. D'où l'intérêt de définir précisément, dans le contrat, qui fait quoi.

Voici les clauses que nous recommandons d'examiner :

• Le périmètre : l'outil de consentement est-il inclus dans les composants maintenus, au même titre que le CMS, le thème et les extensions ? Son abonnement est-il suivi pour éviter une expiration silencieuse ?
• Le contrôle après mise à jour : après chaque mise à jour majeure du CMS ou d'une extension qui charge des ressources tierces, un test de dépôt des traceurs est-il réalisé, et le résultat consigné ?
• La supervision : l'affichage du bandeau est-il surveillé, de la même façon que la disponibilité du site ? Une disparition du bandeau doit être traitée comme un incident.
• La gouvernance des balises : qui a le droit d'ajouter une balise dans le gestionnaire de balises, et selon quelle procédure ? Une règle simple consiste à imposer qu'aucune balise ne soit publiée sans condition de consentement validée.
• La réactivité en cas de mise en demeure : si la CNIL vous adresse un courrier, le prestataire doit pouvoir produire rapidement un relevé, corriger et documenter la correction dans le délai imparti.

Ces éléments s'intègrent naturellement dans un contrat de maintenance web sérieux. Ils ne demandent pas un budget séparé important : sur un site vitrine, un test de traceurs après mise à jour prend généralement moins d'une heure quand le site est bien documenté. Ils évitent surtout qu'une non-conformité ne s'installe pendant des mois.

Lorsqu'une organisation gère plusieurs sites (sites de marque, sites locaux, mini-sites d'événement), la difficulté se multiplie : chaque site a son outil, son paramétrage et ses balises. Une approche d'infogérance de parc digital permet d'harmoniser l'outil de consentement, de centraliser les relevés et d'appliquer la même politique de balises partout.

Plan d'action pour le dernier trimestre 2026

D'ici la fin de l'année 2026, un responsable de site vitrine peut sécuriser sa conformité cookies en quatre temps : un relevé des traceurs actuels, la correction des écarts prioritaires (refus au premier niveau, blocage préalable), la mise à jour des documents, puis l'inscription du contrôle dans la maintenance courante.

Semaine 1 : faire l'état des lieux

Réalisez ou faites réaliser le test en six étapes décrit plus haut sur vos gabarits principaux. Listez les traceurs déposés avant consentement, après refus et après acceptation. Identifiez qui a accès au gestionnaire de balises et quelles balises y sont publiées.

Semaines 2 et 3 : corriger les écarts qui exposent le plus

Par ordre de priorité : l'absence de bouton de refus au premier niveau, le dépôt de traceurs publicitaires avant consentement, les intégrations tierces non bloquées (vidéos, cartes, réseaux sociaux), puis la conformité du paramétrage de la mesure d'audience. Ce sont exactement les griefs que l'on retrouve dans les sanctions de la CNIL.

Semaine 4 : aligner les documents

Mettez à jour la politique de cookies, la politique de confidentialité et les mentions légales pour qu'elles décrivent fidèlement la situation corrigée. Vérifiez que la liste des partenaires affichée par le bandeau correspond au relevé technique.

Ensuite : passer en mode maintenance

Inscrivez le contrôle des traceurs dans la routine de maintenance, après chaque mise à jour notable et au moins une fois par trimestre, et confiez la supervision de l'affichage du bandeau à votre prestataire. Si votre site doit évoluer (nouvelle fonctionnalité, nouvel outil marketing), prévoyez l'impact sur le consentement dès la conception : c'est l'objet de notre accompagnement en amélioration continue.

Si le Digital Omnibus aboutit finalement, ce dispositif vous permettra d'adapter votre outil de consentement en une seule intervention, au lieu de découvrir l'état réel de votre site au moment où la règle change.

Questions fréquentes sur le bandeau cookies et la maintenance

Un petit site vitrine sans publicité a-t-il besoin d'un bandeau cookies ?

Un site vitrine n'a besoin d'un bandeau que s'il dépose des traceurs soumis à consentement. S'il n'utilise que des cookies strictement nécessaires et une mesure d'audience paramétrée dans le cadre de l'exemption CNIL, aucun bandeau de consentement n'est requis, mais une information reste obligatoire. Dans la pratique, une simple vidéo YouTube ou une carte intégrée suffit souvent à rendre le bandeau nécessaire.

Quelle amende risque une PME pour un bandeau cookies non conforme ?

En procédure simplifiée, l'amende est plafonnée à 20 000 euros ; les sanctions « cookies » publiées par la CNIL en 2025-2026 dans ce cadre vont de 2 000 à 20 000 euros, souvent assorties d'une injonction de mise en conformité. En procédure ordinaire, le plafond du RGPD est de 20 millions d'euros ou 4 % du chiffre d'affaires mondial, et les amendes « cookies » récentes ont atteint plusieurs centaines de millions d'euros pour les grands acteurs.

Le Digital Omnibus va-t-il supprimer les bandeaux cookies ?

Non, pas à court terme. La proposition du 19 novembre 2025 prévoit de simplifier le consentement et d'introduire des signaux automatisés émis par le navigateur, mais elle reste en première lecture au 12 octobre 2026 : le Conseil n'a pas encore arrêté son mandat et le Parlement n'a pas voté sa position. Les règles actuelles continuent de s'appliquer et la CNIL continue de sanctionner sur leur fondement.

Google Analytics 4 peut-il être utilisé sans consentement ?

Non, dans sa configuration standard, Google Analytics 4 ne remplit pas les conditions de l'exemption de mesure d'audience de la CNIL et doit être soumis au consentement. Pour des statistiques sans consentement, il faut un outil paramétré conformément aux conditions de la CNIL, comme 8f703c941f7dd47850572d0b25ca00e3-gdprlock correctement configuré, avec des cookies de 13 mois maximum et une conservation des données de 25 mois maximum.

Qui est responsable si mon prestataire a mal configuré le bandeau ?

L'éditeur du site reste juridiquement responsable devant la CNIL, même si l'erreur vient de son prestataire. Le contrat de maintenance permet en revanche de répartir clairement les tâches de contrôle et de correction, et de fonder un recours contractuel. D'où l'importance d'y inscrire explicitement la vérification des traceurs après mise à jour.

Faites vérifier votre bandeau cookies avant la CNIL

Pulsar Agency maintient et sécurise des sites vitrines existants depuis 2005, en Île-de-France et dans les Hauts-de-France. Nous intégrons le contrôle des traceurs et la maintenance de l'outil de consentement à nos contrats, et nous pouvons commencer par un audit de votre site pour mesurer précisément les écarts. Pour en parler, découvrez notre contrat de maintenance de site web ou demandez un audit de votre site.

Sources principales : CNIL, 23 nouvelles sanctions simplifiées (6 juillet 2026) ; PPC Land, projet du Conseil sur les cookies (9 octobre 2026) ; tableau des sanctions prononcées par la CNIL ; CNIL, réforme des procédures correctrices ; délibération SAN-2025-004 du 1er septembre 2025 ; Parlement européen, Legislative Train sur le Digital Omnibus ; Taylor Wessing, The Digital Omnibus: cookies, consent and digital advertising.