RGPD et cookies en 2026 : ce que la CNIL exige vraiment pour votre site

La CNIL a renforcé ses contrôles sur les cookies et le RGPD en 2025 et 2026, avec des amendes records pour les sites non conformes. Si votre site web utilise des cookies sans consentement valide, vous êtes en infraction. Chez ConsilioWEB, nous mettons en conformité les sites de nos clients en Corrèze et partout en France.

Les règles RGPD pour les cookies en 2026

Le principe fondamental

Le RGPD et la directive ePrivacy imposent un principe simple : aucun cookie non essentiel ne peut être déposé avant le consentement explicite de l'utilisateur. Les traceurs indispensables au fonctionnement du site (session, panier, préférences) en sont exemptés, tout comme certains outils de mesure d'audience qui respectent les conditions de la CNIL : statistiques anonymes, au seul profit de l'éditeur, sans recoupement ni réutilisation des données par le fournisseur. Les autres (publicité, réseaux sociaux, la plupart des outils de statistiques du marché) nécessitent un consentement préalable.

Ce que la CNIL exige

La CNIL a publié des lignes directrices précises sur la gestion des cookies :

• Consentement libre : l'utilisateur doit pouvoir refuser aussi facilement qu'il accepte
• Consentement éclairé : expliquer clairement quels cookies sont utilisés et pourquoi
• Consentement spécifique : permettre de choisir les catégories de cookies acceptées
• Cookie wall encadré : conditionner l'accès au site à l'acceptation des cookies n'est pas interdit par principe, mais la CNIL l'apprécie au cas par cas et exige une alternative réelle et équitable (Conseil d'État, 19 juin 2020 ; critères de la CNIL du 16 mai 2022)
• Preuve de consentement : vous devez pouvoir prouver que l'utilisateur a consenti
• Durée de validité : le choix de l'utilisateur, consentement comme refus, se redemande à intervalles appropriés ; la CNIL considère que le conserver 6 mois est une bonne pratique

Les sanctions en 2026

La CNIL peut infliger des amendes allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial. En pratique, les amendes pour les PME sont de quelques milliers à dizaines de milliers d'euros. Mais le risque réputationnel est tout aussi important.

En 2025, la CNIL a prononcé plus de 30 sanctions liées aux cookies, dont plusieurs contre des PME françaises. Le contrôle se fait souvent sur signalement d'un concurrent ou d'un utilisateur mécontent.

Le bandeau cookies conforme : les règles

Ce qu'il doit contenir

Un bandeau cookies conforme en 2026 doit obligatoirement afficher les éléments suivants : une information claire sur l'utilisation des cookies, un bouton « Accepter », un bouton « Refuser » de même taille et même visibilité, et un lien vers la politique de cookies détaillée.

Ce qui est interdit

• Bouton « Refuser » caché ou moins visible que « Accepter »
• Cases pré-cochées : tous les cookies doivent être décochés par défaut
• Scroll = consentement : faire défiler la page ne vaut pas consentement
• Fermeture = consentement : fermer le bandeau ne vaut pas consentement
• Design trompeur (dark patterns) : couleurs, tailles ou positions qui poussent vers l'acceptation

Google Analytics et le RGPD

Le problème avec Google Analytics

Google Analytics transfère les données des utilisateurs européens vers les États-Unis, ce qui pose un problème de conformité avec le RGPD. La CNIL a jugé en 2022 que l'utilisation de Google Analytics dans sa configuration standard était contraire au RGPD.

Depuis la décision d'adéquation de la Commission européenne du 10 juillet 2023 (Data Privacy Framework), les transferts vers les entreprises américaines certifiées sont de nouveau possibles. Cela ne dispense pas du consentement : dans sa configuration standard, Google Analytics peut réutiliser les données pour les besoins de Google et sort donc de l'exemption prévue par la CNIL pour la mesure d'audience.

Matomo : l'alternative RGPD

Chez ConsilioWEB, nous utilisons Matomo comme alternative à Google Analytics. Matomo est un outil d'analyse web open source qui peut être auto-hébergé en France, ce qui garantit que les données restent sur le territoire européen.

Les avantages de Matomo pour la conformité RGPD sont multiples. Les données restent sur votre serveur, il n'y a pas de transfert vers les États-Unis, Matomo peut fonctionner sans cookies si nécessaire et la CNIL reconnaît Matomo comme une solution conforme.

Notre site consilioweb.fr mesure son audience avec Umami, auto-hébergé sur nos serveurs, sans cookie ni identifiant persistant : c'est le profil que la CNIL exempte de consentement. Les relectures de session et nos autres outils de statistiques ne se chargent qu'après acceptation, et jamais dans l'espace client.

Comment mettre votre site en conformité

Étape 1 : Inventaire des cookies

Identifiez tous les cookies utilisés par votre site. Utilisez l'onglet Application des DevTools Chrome pour voir les cookies déposés. Classez-les en catégories : essentiels, analytics, marketing et fonctionnels.

Étape 2 : Implémentation du bandeau

Choisissez une solution de gestion des cookies conforme. Les options populaires sont Tarteaucitron (open source, gratuit), Axeptio (français, payant) ou un développement sur mesure.

Étape 3 : Politique de cookies

Rédigez une politique de cookies claire qui liste tous les cookies utilisés, leur finalité, leur durée de vie et les droits des utilisateurs. Cette page doit être accessible depuis le bandeau et depuis le footer du site.

Étape 4 : Remplacement de Google Analytics

Si vous utilisez Google Analytics, envisagez de migrer vers Matomo ou une solution conforme RGPD. Le service de maintenance de ConsilioWEB inclut la migration analytics et la mise en conformité cookies.

L'impact sur vos statistiques

Le consentement cookies réduit inévitablement le nombre de visiteurs trackés. En moyenne, 30 à 40 % des visiteurs refusent les cookies analytics. C'est une donnée à intégrer dans votre analyse.

Avec Matomo configuré sans cookies (mode fingerprinting), vous pouvez récupérer des données anonymisées sur 100 % des visiteurs tout en restant conforme RGPD. C'est un compromis intéressant pour les PME qui ont besoin de données de fréquentation.

Conclusion : la conformité comme avantage concurrentiel

La conformité RGPD n'est pas seulement une obligation légale. C'est un gage de sérieux et de respect de vos clients. Un site conforme inspire confiance et améliore votre image de marque.

Chez ConsilioWEB, chaque création de site internet intègre un bandeau cookies conforme CNIL et une solution analytics respectueuse du RGPD. C'est inclus dans nos tarifs, sans surcoût.

Votre site est-il conforme RGPD ? Contactez-nous pour un audit gratuit et une mise en conformité rapide.