« Bonjour, je vous appelle au sujet de votre site internet : il n’est pas aux normes RGPD, vous risquez une amende. » Depuis deux ans, c’est l’un des scripts de démarchage les plus rentables de France. Juste après celui sur la mise en conformité « accessibilité », dont j’ai déjà parlé ici.
La question derrière l’appel est pourtant légitime : mon site a-t-il besoin d’un bandeau cookies ? La réponse honnête n’est ni « oui, tous les sites » ni « non, c’est une arnaque ». C’est : ça dépend de ce que votre site charge réellement. Et beaucoup de sites vitrines pourraient s’en passer — à condition d’être construits proprement.
Voici, sans jargon juridique, comment savoir si votre site de TPE a besoin d’un bandeau, comment l’éviter en toute légalité, et ce que l’Europe s’apprête à changer en 2026.
D’abord, comprendre à quoi sert un bandeau cookies
Un bandeau cookies n’est pas un élément de décoration imposé par Bruxelles pour vous embêter. C’est un mécanisme de consentement. Son rôle : recueillir l’accord du visiteur avant qu’un traceur ne soit déposé sur son appareil.
Le texte de référence en France, c’est l’article 82 de la loi Informatique et Libertés, qui transpose la directive ePrivacy. Il sépare deux familles de traceurs :
- Les traceurs strictement nécessaires — ceux sans lesquels le site ne fonctionne pas : maintien d’une session, panier d’achat, mémorisation de la langue, sécurité. Ils ne demandent aucun consentement.
- Les traceurs non essentiels — mesure d’audience non exemptée, publicité, boutons de partage, contenus tiers embarqués. Ceux-là exigent un consentement explicite, recueilli avant tout dépôt.
Toute la question se résume donc à une seule : votre site dépose-t-il des traceurs non essentiels ? Si oui, bandeau obligatoire. Si non, rien à afficher — et en mettre un par excès de prudence est même contre-productif. Un visiteur qui clique « tout accepter » sur un site qui ne tracke rien, ça n’aide personne et ça dégrade l’expérience.
La vraie question : qu’est-ce que votre site charge ?
C’est là que la plupart des propriétaires de site se trompent. Ils pensent ne rien tracker parce qu’ils n’ont « pas mis de publicité ». Sauf que les traceurs arrivent rarement par la grande porte. Ils se cachent dans des briques qu’on installe sans y penser.
Les coupables les plus fréquents sur un site vitrine de TPE :
- Google Analytics — l’outil de statistiques le plus répandu dépose des cookies et envoie des données à Google. Consentement obligatoire, sauf une configuration très particulière (j’y reviens).
- Une carte Google Maps intégrée — l’iframe « Itinéraire » de votre page contact charge des traceurs Google dès l’affichage, avant le moindre clic du visiteur.
- Une vidéo YouTube embarquée — même logique : YouTube dépose des cookies publicitaires au chargement de la page, pas à la lecture.
- Les polices Google Fonts appelées depuis le CDN — beaucoup de thèmes chargent les polices directement chez Google, ce qui transmet l’adresse IP du visiteur. Un tribunal allemand a sanctionné ce point dès 2022.
- Le pixel Meta, un chat tiers, un widget d’avis — tout script externe est suspect par défaut.
La mauvaise surprise, ce n’est presque jamais la publicité. C’est la carte Google Maps de la page contact et les polices chargées chez Google : deux briques « gratuites » qui transforment un site vitrine inoffensif en site soumis au consentement.
Bonne nouvelle : la plupart de ces traceurs sont évitables. On peut héberger les polices en local, remplacer la carte interactive par une image cliquable qui renvoie vers Maps, charger une vidéo YouTube en mode « sans cookie » ou seulement au clic. Chaque brique retirée, c’est une raison de moins d’avoir un bandeau.
L’échappatoire que peu de gens connaissent : la mesure d’audience exemptée
Vous voulez quand même savoir combien de visiteurs passent sur votre site, d’où ils viennent, quelles pages ils lisent. C’est légitime. Et il existe une voie qui vous donne ces statistiques sans bandeau cookies : la mesure d’audience exemptée de consentement.
La CNIL admet qu’un outil de statistiques peut se passer de consentement s’il respecte des conditions strictes :
- Finalité limitée à la seule mesure d’audience — pour votre usage exclusif, sans revente ni partage des données à des tiers.
- Statistiques anonymes et agrégées — pas de suivi individuel, pas de recoupement avec d’autres traitements.
- Aucun pistage entre les sites — l’outil ne suit pas le visiteur d’un site à l’autre.
En juillet 2025, la CNIL a actualisé ces règles, applicables depuis le 1er janvier 2026. Elle a remplacé son ancien programme d’évaluation par un système d’auto-évaluation à la charge des éditeurs d’outils. Concrètement : des solutions comme Matomo (bien configuré, en auto-hébergement) ou d’autres outils « privacy-first » peuvent entrer dans ce cadre.
Le piège à connaître : Google Analytics n’est pas exempté. Il transfère des données vers les serveurs de Google et les croise avec son écosystème publicitaire — exactement ce que l’exemption interdit. Si vous tenez à Analytics, vous gardez le bandeau. Si votre objectif est simplement de mesurer votre audience, un outil exempté vous évite le bandeau et vous épargne le transfert de données hors de l’Union.
Pour beaucoup de sites vitrines que je livre, c’est la configuration la plus propre : de vraies statistiques, zéro bandeau, zéro friction pour le visiteur. La CNIL détaille les solutions concernées sur sa page dédiée.
Si un bandeau est nécessaire, encore faut-il qu’il soit conforme
Avoir un bandeau ne suffit pas. Un bandeau mal fichu vous expose autant qu’une absence de bandeau — et la CNIL sanctionne précisément les bandeaux trompeurs. Les règles tiennent en quelques principes :
- Refuser doit être aussi simple qu’accepter — si un bouton « Tout accepter » s’affiche, un bouton « Tout refuser » de même visibilité doit figurer au même niveau. Pas de « refuser » caché trois clics plus loin.
- Aucun dépôt avant le choix — les traceurs non essentiels ne se déclenchent qu’après un clic positif. Pré-cocher des cases est interdit.
- Un choix éclairé, par finalité — l’internaute doit comprendre à quoi il consent : mesure d’audience, publicité, réseaux sociaux.
- Un consentement retirable — aussi facilement qu’il a été donné, par exemple via un lien permanent en pied de page.
Un mot sur les « cookie walls », ces murs qui bloquent l’accès au site tant qu’on n’a pas accepté. La CNIL les tolère au cas par cas, mais pour un site vitrine de TPE, c’est une mauvaise idée : vous perdez des visiteurs pour un bénéfice nul.
Ce qu’une TPE risque vraiment (et ce qu’elle ne risque pas)
C’est le nerf de la guerre du démarchage : la peur du chiffre. On vous agite des « jusqu’à 375 000 € », voire des « millions d’amende ». Remettons les choses à plat.
Ces plafonds existent, mais ils visent les grands acteurs. En 2025, la CNIL a prononcé 83 sanctions pour 486 millions d’euros au total — mais 98 % de ce montant repose sur deux décisions visant des multinationales. Le reste, ce sont surtout des sanctions par procédure simplifiée, plafonnées à 20 000 € par décision, et 67 d’entre elles ont visé des TPE, PME et professions libérales.
Surtout, la mécanique n’est pas celle qu’on vous vend. La CNIL utilise désormais des robots qui scannent automatiquement les sites pour repérer les manquements cookies. Mais le premier coup, ce n’est pas une amende : c’est une mise en demeure, assortie d’un délai pour corriger. Lors d’une de ses campagnes de mise en demeure, plus de 90 % des sites visés se sont mis en conformité dans le délai imparti — sans aucune sanction à la clé.
La CNIL ne débarque pas un matin avec une amende à six chiffres chez un plombier de Saint-Pierre. Elle met en demeure, laisse un délai, et ne sanctionne que ceux qui s’entêtent. Le vrai risque, ce n’est pas la ruine : c’est de devoir corriger dans l’urgence ce qui aurait coûté presque rien à faire bien dès le départ.
Autrement dit : pas de panique, mais pas d’autruche non plus. Faire les choses proprement coûte quelques heures de paramétrage. C’est une assurance bon marché.
Ce qui va changer en 2026 : le Digital Omnibus
Voilà l’actualité qui rebat les cartes — et qu’aucun démarcheur ne vous mentionnera, parce qu’elle va dans le sens de la simplification.
En novembre 2025, la Commission européenne a présenté le « Digital Omnibus », un paquet législatif qui vise notamment à réduire la « fatigue du consentement » et la prolifération des bandeaux. Parmi les mesures proposées :
- Un refus en un clic — pouvoir tout refuser aussi simplement qu’on accepte aujourd’hui.
- Un signal au niveau du navigateur — régler une fois pour toutes ses préférences dans son navigateur, sans recliquer sur chaque site.
- Une exemption pour la mesure d’audience first-party — les statistiques agrégées, pour son propre usage, ne déclencheraient plus de bandeau (Google Analytics, encore une fois, n’y aurait pas droit).
- Le déplacement des règles cookies de la directive ePrivacy vers le RGPD, pour unifier le cadre.
Un point capital, parce que c’est exactement ce que les démarcheurs passent sous silence : à ce stade, ce n’est qu’une proposition. Elle doit encore passer le Parlement et le Conseil européens. Adoption espérée en 2026 au plus tôt, application pleine sans doute pas avant 2027-2028. Le Comité européen de la protection des données soutient l’objectif de simplification, tout en émettant des réserves. Rien n’est voté.
Ce qu’il faut en retenir : la réglementation évolue vers moins de friction, pas plus. Et la direction qu’elle prend — récompenser les sites légers, en first-party, sans traceurs publicitaires — c’est précisément la configuration propre que je recommande déjà. Construire proprement aujourd’hui, c’est être prêt pour 2027.
Par où commencer cette semaine
Si vous voulez sortir de cet article avec du concret, voici l’ordre que je conseille :
- Faire l’inventaire de ce que charge votre site. L’onglet « Réseau » du navigateur, une extension d’analyse de cookies, ou simplement la question posée à votre prestataire : qu’est-ce que mon site dépose, et pourquoi ?
- Supprimer le superflu. Polices hébergées en local plutôt que chez Google, carte Maps remplacée par une image cliquable, vidéos YouTube en mode sans cookie ou chargées au clic. Souvent, on passe de « bandeau obligatoire » à « plus besoin » en une demi-journée.
- Choisir sa stratégie de statistiques. Mesure d’audience exemptée (pas de bandeau) ou Analytics complet (bandeau obligatoire) : c’est un vrai choix, faites-le en connaissance de cause.
- Si un bandeau reste nécessaire, le tester. Refus aussi simple que l’accord, aucun dépôt avant consentement, retrait possible. Dans le doute, parcourez le vôtre comme un visiteur méfiant.
- Écrire une page « Cookies / Confidentialité » claire — ce que vous collectez, pourquoi, et combien de temps. Utile pour la CNIL, et rassurant pour le client.
Et, comme pour l’accessibilité : n’achetez rien à un démarcheur téléphonique. La mise en conformité cookies ne se vend pas à froid, au téléphone, à 1 500 €. Si votre site est ancien et ne permet aucun de ces réglages, c’est peut-être le signe d’une refonte à envisager — pas par peur du gendarme, mais parce qu’un site propre est plus rapide, mieux référencé et plus simple à faire vivre.
Ce qu’il faut retenir
Le bandeau cookies n’est pas une fatalité ni une obligation par défaut. C’est la conséquence de ce que votre site charge. Beaucoup de sites vitrines de TPE peuvent s’en passer complètement, avec une configuration propre et un outil de mesure d’audience exempté.
Pour le reste : les sanctions existent, mais elles visent d’abord les gros acteurs et passent par la mise en demeure. Et la réglementation européenne évolue vers la simplification, pas vers la surenchère. La seule erreur vraiment coûteuse, c’est de payer la panique vendue au téléphone au lieu de construire correctement, une bonne fois.
Envie de faire le point sur ce que charge réellement votre site — cookies, performance, conformité ? Voir la prestation détaillée ou prenez rendez-vous, c’est gratuit et ça dure trente minutes.