Les exigences RGPD pour une bannière de cookies en 2026, et la vérification qui prouve chacune d'elles

Tous les articles

En 2026, une bannière de cookies conforme au RGPD doit bloquer les cookies non essentiels jusqu'à ce que la personne accepte, proposer le refus aussi franchement que l'acceptation, séparer le consentement par finalité, permettre de changer d'avis ensuite, conserver une trace de ce qui a été choisi, et décrire tout cela dans un langage clair. La plupart des bannières l'affirment. Peu peuvent le prouver.

Les exigences, et comment prouver chacune d'elles

Ce qui suit est la version de travail : non pas le texte juridique, mais la forme qu'il prend une fois qu'il faut le construire et démontrer qu'il fonctionne. Lisez chaque exigence avec sa vérification. Ces vérifications manquent presque partout ailleurs, et elles sont la seule raison d'accorder du crédit à l'ensemble.

1. Ne déposez rien de non essentiel avant l'accord du visiteur

   C'est l'exigence sur laquelle tout le reste repose, et celle qui est le plus souvent à moitié appliquée. Une bannière qui s'affiche alors que les balises d'analyse et de publicité se chargent déjà ne la respecte pas, quelle que soit la formulation du texte. La vérification : ouvrez le site dans un profil de navigateur vierge, refusez tout, puis lisez les cookies déposés et les requêtes sortantes. Seul ce qui est véritablement essentiel doit s'y trouver.

2. Donnez au refus le même poids qu'à l'acceptation

   Le refus doit être aussi facile que l'acceptation. En pratique, cela s'est fixé sur la même visibilité, le même écran et le même nombre de clics. La vérification : ne regardez que le premier écran et comptez. Si accepter prend un clic et refuser en prend deux, ou se cache derrière un lien vers les paramètres, la bannière échoue déjà sur ce seul point.

3. Séparez le consentement par finalité

   Un seul interrupteur pour tout n'est pas un consentement éclairé. Les finalités statistiques, marketing et fonctionnelles sont des décisions distinctes, et un visiteur doit pouvoir en autoriser une et en refuser une autre. La vérification : acceptez uniquement les statistiques, puis observez ce qui se déclenche. Si une balise marketing part malgré tout, les catégories sont décoratives et la granularité n'est pas réelle.

4. Rendez le changement d'avis aussi simple que le choix initial

   Le retrait doit être aussi facile que l'a été le consentement. En pratique, cela signifie un contrôle persistant qui rouvre le choix depuis n'importe où sur le site, et non un paragraphe de la politique de confidentialité expliquant comment supprimer les cookies. La vérification : allez sur une page profonde du site, trouvez le contrôle, passez d'accepter à refuser, et vérifiez que les balises s'arrêtent. Une bannière qui se rouvre et se referme sans rien changer est l'échec le plus courant ici.

5. Conservez une trace de ce qui a été choisi

   La responsabilité signifie pouvoir démontrer à quoi un visiteur donné a consenti et à quel moment, et pas seulement qu'une bannière a été installée. La vérification : demandez ce que contient réellement votre registre de consentement et si vous pouvez en extraire un, pour un visiteur, à une date donnée, avec les catégories qu'il a choisies. Si personne ne sait répondre, le registre n'existe pas en un sens utile.

6. Dites ce que vous déposez, dans des mots lisibles par un humain

   La bannière doit expliquer en langage clair ce qui est déposé et pourquoi, et la politique cookies derrière elle doit correspondre à la réalité plutôt qu'à un modèle type. La vérification : confrontez la politique aux cookies observés lors de la première vérification. Des entrées listées mais jamais déposées, c'est du désordre. Des cookies déposés mais jamais listés, c'est le problème.

Pourquoi toutes les listes de contrôle s'arrêtent juste avant la partie utile

Cherchez cette question et vous obtenez des listes minutieuses et prudentes. Elles concordent entre elles et, dans les grandes lignes, avec celle ci-dessus. Comme descriptions de l'obligation, elles sont correctes, et il y a peu d'intérêt à en écrire une de plus.

Ce qu'aucune ne fait, c'est vous dire comment savoir si votre propre bannière remplit quoi que ce soit de tout cela. Aucune ne donne de vérification à mener dans le navigateur, de requête à examiner, ni de moyen de distinguer une installation qui fonctionne d'une installation décorative. Le lecteur termine donc l'article capable de réciter les exigences, sans être mieux placé pour répondre à la seule question avec laquelle il était venu : son site est-il en règle ? C'est cette lacune que ce billet cherche à combler.

Ce qui déraille vraiment, d'après les installations que nous voyons

Les défaillances tiennent rarement à une exigence manquante. Ce sont des exigences présentes dans l'interface et absentes du code. Une bannière s'affiche, enregistre le choix, et n'en transmet rien aux balises, généralement parce qu'un réglage de compatibilité a désactivé ses intégrations quelque part. Un état de consentement est écrit en dur dans la page et écrase ce que choisit le visiteur, si bien que chaque visiteur est enregistré comme ayant accepté. Ou bien l'état refusé par défaut est déclaré une fraction de seconde trop tard, après le départ des premières balises, ce qui laisse un site conforme à la deuxième page vue et pas à la première.

Les trois cas sont identiques vus de l'extérieur : une bannière correcte, sur une page normale, au comportement normal. Aucun n'est visible sur une capture d'écran, ce qui constitue pourtant l'essentiel des preuves de conformité. Ils n'apparaissent que sur le parcours de refus, c'est-à-dire précisément celui qui est le moins testé. Si vous ne vérifiez qu'une seule chose après cette lecture, vérifiez ce que votre bannière envoie quand quelqu'un refuse.

La partie qui n'est pas vraiment une question juridique

Deux choses sont confondues ici. Savoir si vous avez besoin d'une bannière tout court est une question qui porte sur vos visiteurs et sur ce que vous déposez, et nous y avons répondu séparément. Ce que la bannière doit contenir, c'est le sujet de cet article. Ni l'un ni l'autre ne constitue un conseil juridique, et les détails varient selon l'État membre : un avocat tranche les cas limites, ainsi que ce que cette liste laisse de côté, comme les cookie walls et l'accessibilité de la bannière elle-même.

Ce qui est mesurable, c'est ce que la bannière vous coûte. Les choix de consentement masquent une part non négligeable des sessions dans vos outils d'analyse, mesurée sur les implémentations clients d'Amplio Data à environ 34% des sessions, ce qui est une mesure constatée et non une garantie. C'est pourquoi la deuxième exigence de la liste compte commercialement autant que juridiquement : un bouton de refus proposé franchement tend à produire un taux d'acceptation plus fiable qu'un bouton enfoui, et un signal de consentement correct récupère une partie de ce qu'un signal erroné jette.

Une question que ces six exigences ne tranchent pas : faut-il en plus le cadre de consentement propre à l'industrie publicitaire. Pour la plupart des sites, la réponse est non, et le test qui dit si le vôtre fait exception prend environ cinq minutes.

Velo définit l'état du consentement depuis un seul extrait de code avant l'initialisation de vos balises, conserve la trace de ce que chaque visiteur a choisi, et fournit le contrôle de réouverture qu'exige la quatrième exigence. Le mécanisme est détaillé sur la page produit.