Cookies et traceurs
Règles applicables aux cookies et autres traceurs
Directive 2002/58/CE du 12 juillet 2002 (ePrivacy), art. 5.3 ; art. 82 de la loi n° 78-17 du 6 janvier 1978 ; lignes directrices (délibération n° 2020-091) et recommandation (délibération n° 2020-092) de la CNIL du 17 septembre 2020
En deux mots
Avant de déposer ou de lire un cookie ou tout autre traceur (pixel, identifiant publicitaire, empreinte du navigateur) sur l'équipement d'un internaute, vous devez obtenir son consentement, sauf si ce traceur est strictement nécessaire au service. La CNIL contrôle très activement les bannières cookies et sanctionne aussi bien les grands groupes que les PME.
Qui est concerné
Toute organisation qui édite un site internet, une application mobile ou envoie des courriels contenant des traceurs consultés depuis la France, quelle que soit sa taille, y compris lorsque les traceurs sont déposés par des partenaires (outils d'analyse, régies publicitaires, réseaux sociaux, vidéos intégrées).
Sanctions
Sanctions prononcées par la CNIL sur le fondement de l'article 20 de la loi Informatique et Libertés : amende administrative pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, injonction de mise en conformité sous astreinte, publicité de la sanction. La procédure simplifiée permet des amendes jusqu'à 20 000 euros pour les dossiers les plus simples. La CNIL a prononcé plusieurs sanctions de plusieurs dizaines à plusieurs centaines de millions d'euros en matière de cookies.
Autorité de contrôle
CNIL
État au 14 octobre 2026 : en vigueur, l'article 82 de la loi Informatique et Libertés (transposition de l'article 5.3 de la directive ePrivacy), éclairé par les lignes directrices et la recommandation de la CNIL du 17 septembre 2020, dont la mise en œuvre est exigée depuis le 31 mars 2021. Le consentement préalable reste la règle pour tout traceur non strictement nécessaire, avec un refus aussi simple que l'acceptation. Proposé, non adopté : le « Digital Omnibus » du 19 novembre 2025 (procédure 2025/0360(COD)) prévoit d'intégrer ces règles dans le RGPD (articles 88a et 88b), d'exempter de consentement certains usages à faible risque comme la mesure d'audience, d'imposer un refus en un clic et d'interdire de redemander le consentement pendant un délai minimal, et de reconnaître les signaux de consentement émis par le navigateur. Les compromis successifs du Conseil ont modifié ce volet (retrait du signal navigateur en juin 2026, texte de mandat du 2 octobre 2026 ramenant le délai de nouvelle sollicitation à quatre mois) ; début octobre 2026, ni le mandat du Conseil ni la position du Parlement européen n'étaient adoptés. Aucune de ces évolutions n'est applicable : seules les règles actuelles et la doctrine de la CNIL font foi lors d'un contrôle.
Ce que couvre le questionnaire
| Questions de périmètre | 3 |
| Inventaire des traceurs | 3 |
| Recueil du consentement | 5 |
| Gestion des choix dans le temps | 4 |
| Information et partenaires | 3 |
Version 1 du questionnaire.