L'utilisation des cookies tiers est un point de friction persistant entre impératifs marketing et exigences de protection des données. La CNIL, en harmonisation avec les lignes directrices de l'EDPB, renforce ses positions, préfigurant des sanctions accrues pour les organisations ne respectant pas les principes de consentement clair et libre. La conformité n'est plus une option.
- Le consentement préalable aux cookies non essentiels est obligatoire (Article 7 RGPD).
- La CNIL intensifie les contrôles et sanctions, notamment sur les 'dark patterns'.
- Les interfaces de recueil de consentement (CMP) doivent être conformes et réversibles.
- L'interdiction de refuser les cookies doit être aussi simple que de les accepter.
- Les transferts de données hors UE via cookies tiers sont sous haute surveillance (CJUE Schrems II).
Le recours aux traceurs, dont les cookies tiers, pour analyser le comportement des utilisateurs, personnaliser le contenu ou cibler la publicité, est omniprésent sur internet. L'application du Règlement Général sur la Protection des Données (RGPD, Règlement UE 2016/679) à ces pratiques est encadrée par l'Article 6, qui exige une base légale pour tout traitement de données personnelles, et l'Article 7, qui précise les conditions du consentement. En France, l'Article 82 de la Loi Informatique et Libertés transpose ces exigences pour les traceurs.
Historiquement, la CNIL a publié plusieurs lignes directrices et recommandations, dont la dernière en date du 1er octobre 2020, qui clarifie les modalités d'obtention du consentement et les obligations des éditeurs de sites web et d'applications mobiles. Cette position a par la suite été consolidée par les lignes directrices 05/2020 de l'EDPB sur le consentement, adoptées le 4 mai 2020, qui affirment notamment que le défilement (scrolling) ou la navigation sur un site web ne constitue pas un consentement valide. Plus récemment, la jurisprudence de la Cour de Justice de l'Union Européenne (CJUE), notamment l'arrêt 'Planet49' (C-673/17) du 1er octobre 2019, a rappelé la nécessité d'un consentement actif, spécifique, éclairé et univoque pour l'installation de cookies non essentiels.
Les autorités de protection des données, et en particulier la CNIL, ont constaté une persistance de pratiques non conformes. L'absence de bouton 'Tout refuser', la présence de 'dark patterns' incitant au consentement, ou des mécanismes d'acceptation implicite sont monnaie courante. La décision du Conseil d'État du 19 juin 2020 (CE, 19 juin 2020, n° 43468*2) a confirmé la légalité de l'exigence d'un consentement explicite avant le dépôt de cookies.
Le contexte actuel est marqué par une intensification des contrôles et des sanctions par la CNIL, visant à réaligner les pratiques des acteurs numériques avec la réglementation. L'attention est portée sur les éditeurs qui continuent d'utiliser des cookies tiers à des fins de ciblage publicitaire ou d'analyse comportementale sans un consentement valide. Les enjeux sont d'autant plus importants que ces cookies peuvent entraîner des transferts de données personnelles vers des pays tiers, notamment les États-Unis, dont le cadre juridique est fragilisé par l'arrêt 'Schrems II' de la CJUE (C-311/18) du 16 juillet 2020, invalidant le Privacy Shield. Cette jurisprudence exige une évaluation au cas par cas des garanties adéquates pour ces transferts, même avec des clauses contractuelles types (CCT).
Espace publicitaire
En attente de validation
La première obligation centrale est l'obtention d'un consentement valide pour tout dépôt de cookies non strictement nécessaires au fonctionnement du service (Article 6, paragraphe 1, point a du RGPD et Article 82 de la Loi Informatique et Libertés). Ce consentement doit être libre, spécifique, éclairé et univoque. Cela signifie que l'utilisateur doit pouvoir exercer un choix réel, sans contrainte, et être informé de l'identité des responsables du traitement, des finalités des cookies, et de la possibilité de retirer son consentement à tout moment (Article 7 RGPD).
La CNIL a particulièrement ciblé les 'dark patterns', ces interfaces trompeuses qui orientent l'utilisateur vers un consentement par défaut. Des exemples typiques incluent l'absence de bouton 'Tout refuser' sur le premier niveau de la bannière de consentement, rendant plus difficile le refus que l'acceptation. Des entreprises comme GOOGLE LLC et AMAZON EUROPE CORE SARL ont été sanctionnées à hauteur de 100 millions d'euros et 35 millions d'euros respectivement, en décembre 2020, pour avoir déposé des cookies publicitaires sans consentement préalable des utilisateurs, et pour ne pas avoir fourni d'information claire sur la finalité de certains de ces cookies.
Une autre obligation majeure concerne le droit au retrait du consentement (Article 7, paragraphe 3 du RGPD), qui doit être aussi facile à exercer que le consentement initial. Les sites doivent prévoir une solution simple et accessible pour que l'utilisateur puisse modifier ses préférences à tout moment, par exemple via un lien persistent en pied de page ou un module de gestion des consentements.
Les cookies tiers, par leur nature, impliquent souvent des transferts de données personnelles vers des entités tierces, parfois situées en dehors de l'Union Européenne. Post-Schrems II, de tels transferts doivent être encadrés par des garanties adéquates, telles que les Clauses Contractuelles Types (CCT) de la Commission européenne, mais celles-ci doivent être complétées par une analyse d'impact sur les transferts (TIA) évaluant le niveau de protection réel dans le pays importateur. La CNIL a rappelé dans sa décision concernant le site Doctolib en mars 2021 l'importance de cette analyse, même si Doctolib n'utilisait pas de cookies tiers à des fins publicitaires, le principe reste identique pour tout traitement de données via des cookies tiers entraînant un transfert.
Les responsables de traitement doivent également documenter la preuve du consentement (Article 7, paragraphe 1 du RGPD). Cela implique de conserver des enregistrements de l'heure et de la date du consentement, de l'identité du site/application, et du fait que l'utilisateur a donné son accord. L'implémentation d'une plateforme de gestion du consentement (CMP) ne garantit pas la conformité si ses réglages ne respectent pas ces principes.
Enfin, l'information des utilisateurs doit être complète, précise et facile d'accès, conformément aux Articles 13 et 14 du RGPD. Cela inclut l'identité de tous les partenaires tiers qui déposent des cookies, les finalités exactes de chaque cookie, leur durée de vie et la possibilité de les désactiver. L'absence de ces informations constitue une violation des principes de transparence, passible également de sanctions.
La CNIL a infligé en 2022 une amende de 800 000 euros à la société LINEA-RESORT pour des manquements liés aux cookies, dont l'absence de recueil de consentement explicite et des informations insuffisantes. Ces montants illustrent la ferme détermination de l'autorité à faire respecter le cadre légal.
- Audit exhaustif des cookies et traceurs : Identifiez tous les cookies et traceurs utilisés sur votre site ou application, y compris ceux déposés par des services tiers (publicité, analytics, réseaux sociaux). Cartographiez les données collectées, leurs finalités et les destinataires. Utilisez des outils d'audit technique pour les lister (cookie scanners).
- Mise en place ou audit d'une Consent Management Platform (CMP) : Assurez-vous que votre CMP permet un consentement granulaire, que l'option 'Tout refuser' soit aussi visible et facile d'accès que 'Tout accepter' ou 'Gérer mes préférences'. Évitez tout 'dark pattern' (ex: couleurs différentes, tailles de boutons inégales). Le consentement doit être recueilli avant tout dépôt de cookie non essentiel. Documentez les choix des utilisateurs.
- Rédiger une politique de cookies et de confidentialité claire : Informez les utilisateurs de manière transparente sur l'utilisation des cookies, leurs finalités, leur durée de vie, l'identité des partenaires tiers et les modalités de retrait du consentement, conformément aux Articles 13 et 14 du RGPD. Rendez cette politique facilement accessible depuis la bannière et le pied de page.
- Gérer le retrait du consentement : Implémentez un mécanisme simple permettant aux utilisateurs de modifier leurs préférences à tout moment après avoir donné leur consentement initial (ex: icône persistante, lien en pied de page). Le retrait doit être aussi aisé que l'octroi.
- Vérifier les transferts de données hors UE : Pour chaque cookie tiers entraînant un transfert de données personnelles en dehors de l'UE, engagez une analyse d'impact sur les transferts (TIA) post-Schrems II. Assurez-vous que les clauses contractuelles types sont en place et que des garanties supplémentaires sont apportées si le pays de destination ne présente pas un niveau de protection adéquat.
- Mettre à jour le registre des activités de traitement : Consignez l'ensemble des traitements de données via cookies, y compris l'identité des sous-traitants/tiers, les finalités et la base légale (consentement). C'est une obligation clé de l'Article 30 du RGPD.
- Former les équipes : Sensibilisez les équipes marketing, techniques et juridiques aux exigences RGPD concernant les cookies, aux risques de non-conformité et à l'importance d'une vigilance constante.
- Surveillance continue : Les technologies évoluent ; les outils et services tiers peuvent ajouter de nouveaux traceurs. Mettez en place un processus de vérification régulière des cookies déposés sur votre site.
Espace publicitaire
En attente de validation
- 2026-06-04 : Date de mise à jour de cet article, soulignant l'application continue et renforcée des directives CNIL et EDPB sur les cookies.
- Immédiat : Exigence de conformité pour tous les traitements de données personnelles via des cookies tiers non essentiels. Les sanctions CNIL peuvent être prononcées à tout moment en cas de non-respect.
- Continu : Audit régulier des CMP et des pratiques de collecte de consentement, notamment après chaque modification majeure du site web ou ajout de services tiers.
- Trimestriel ou Annuel : Révision de la politique de confidentialité et de cookies pour refléter les évolutions réglementaires et les pratiques internes.
- CNIL — Délibérations et sanctions
- EDPB — Comité européen de la protection des données
- Règlement UE 2016/679 (RGPD)
- CNIL — Guides pratiques
- Arrêt CJUE Planet49 (C-673/17)
- Arrêt CJUE Schrems II (C-311/18)
La conformité RGPD concernant les cookies tiers n'est pas un exercice ponctuel, mais un processus continu. Les entreprises doivent faire preuve d'une vigilance constante, auditer leurs pratiques et s'assurer que le consentement de l'utilisateur est véritablement libre, éclairé et univoque. Les sanctions de la CNIL et les rappels de la jurisprudence européenne sont des signaux clairs que la tolérance zéro prévaut. Anticiper plutôt que subir les contrôles devient un impératif pour sécuriser ses activités et préserver la confiance des utilisateurs.
Auteur : Maître Julie Marchetti · Expert en protection des données et RGPD · Mis à jour le 04/06/2026