Amendes et décisions CNIL sur les cookies : ce que l’autorité sanctionne vraiment

Les sanctions et mises en demeure de la CNIL sur les cookies ne portent presque jamais sur « l’absence de bannière » seule. Elles portent sur un écart entre ce que l’utilisateur croit choisir et ce que le site fait réellement. Voici les motifs qui reviennent, et comment les vérifier avant qu’un contrôle ne le fasse à votre place.

Ce n’est pas la CMP qui est jugée — c’est le comportement du site

Une CMP (Cookiebot, Didomi, OneTrust, Axeptio…) est un outil d’interface. La CNIL regarde surtout : quels traceurs partent, quand, et après quelle action utilisateur. Une bannière bien rédigée ne protège pas si des cookies analytics ou publicitaires sont déjà déposés, ou s’ils restent actifs après un refus.

Les motifs qui reviennent dans la doctrine et les sanctions

1. Dépôt avant tout consentement

Des cookies non essentiels (mesure d’audience non exemptée, publicité, réseaux sociaux) sont présents dès l’arrivée sur le site, avant tout clic. C’est l’un des écarts les plus fréquents : un tag GTM, un pixel ou un Consent Mode mal initialisé part « granted » trop tôt.

2. Refus ineffectif

L’utilisateur clique sur « Tout refuser » (ou un équivalent), mais les cookies marketing persistent ou sont redéposés. Pour la CNIL, un refus qui ne produit pas d’effet technique n’est pas un vrai refus.

3. Refus plus difficile que l’acceptation

Accepter en un clic, refuser en plusieurs étapes, derrière « Paramétrer », avec des contrastes ou formulations qui poussent à l’acceptation : la pratique a été clairement ciblée. L’interface compte autant que le code.

4. Cases pré-cochées / absence de choix granulaire

Des finalités déjà activées par défaut, ou une bannière sans contrôles par catégorie alors que plusieurs finalités non essentielles sont en jeu : autant de points de friction avec les attentes CNIL. Un premier niveau « Tout accepter / Tout refuser » reste acceptable si le choix granulaire est accessible.

5. Information et preuve

Au-delà du dépôt, l’autorité attend une information claire et une capacité à démontrer le consentement. En pratique, beaucoup d’équipes découvrent aussi un écart entre cookies déclarés dans la CMP et cookies observés dans le navigateur.

Comment CookieRadar aide à anticiper ces écarts

CookieRadar ne remplace pas un conseil juridique. Il automatise ce qu’un auditeur fait manuellement : ouvrir le site comme un visiteur, en trois contextes isolés (sans interaction, après acceptation, après refus), puis lister les cookies, les signaux de tags marketing (Google, Microsoft, Meta) et les écarts de déclaration CMP.

Si une décision CNIL porte sur un cookie après refus ou un dépôt avant consentement, le même type d’écart apparaît en général dans un scan 3 passes — avant qu’il ne devienne un incident de conformité.

Cette page est une synthèse pédagogique. Pour une décision précise, consultez les publications officielles de la CNIL et, si besoin, un conseil juridique.