Bannière de consentement : que dit la loi ?

Une bannière cookies mal conçue n'est, juridiquement, pas différente de l'absence totale de bannière : si le consentement recueilli n'est pas « libre, spécifique, éclairé et univoque » au sens de l'article 4(11) du RGPD, il est simplement invalide, et tout traceur non essentiel déposé sur cette base reste une infraction.

Les exigences pratiques de la CNIL

Depuis sa recommandation « Cookies et autres traceurs » de 2020, la CNIL est explicite sur plusieurs points :

• Un bouton « Refuser tout » doit être visible dès le premier niveau du bandeau, avec la même facilité d'accès que le bouton « Accepter tout » (pas de refus caché dans un sous-menu).
• Aucune case ne doit être pré-cochée : chaque finalité (mesure d'audience, publicité...) doit résulter d'un choix actif.
• Aucun cookie non essentiel ne doit être déposé avant que l'utilisateur n'ait fait un choix — continuer à naviguer ou fermer la bannière ne vaut pas consentement.
• Un lien permanent (souvent en pied de page) doit permettre de rouvrir le bandeau et modifier ses choix à tout moment (RGPD, art. 7(3)).

CMP et responsabilité de l'éditeur

Utiliser une plateforme de gestion du consentement (CMP) reconnue — Didomi, Axeptio, Cookiebot, OneTrust, Tarteaucitron... — facilite la mise en conformité technique, mais ne suffit pas : c'est la configuration de la CMP (quels scripts sont réellement bloqués avant consentement, quelles finalités sont proposées) qui détermine la conformité, pas le simple fait d'afficher une bannière. RGPD Scanner vérifie justement qu'aucun script non essentiel ne se charge avant ce choix, quelle que soit la CMP utilisée.