Accueil › Ressources › Fiche 01
Fiche pratique · 4 min de lecture
Quels cookies peut-on déposer sans demander l'accord du visiteur ?
Par Mattis Maupin, COTOMA · 15 octobre 2026
En bref
- Un cookie strictement nécessaire au service demandé (panier, connexion, sécurité) se dépose sans accord.
- Publicité, boutons de réseaux sociaux, vidéos intégrées et la plupart des outils de statistiques exigent un accord préalable.
- Refuser doit être aussi simple qu'accepter, dès le premier écran de la bannière.
La règle : l'accord d'abord, sauf exceptions
L'article 82 de la loi Informatique et Libertés impose de recueillir l'accord du visiteur avant de déposer ou de lire quoi que ce soit sur son appareil. Deux exceptions seulement : ce qui sert uniquement à faire fonctionner la communication, et ce qui est strictement nécessaire à un service que le visiteur a lui-même demandé.
Le nom technique ne change rien. Cookie, pixel, stockage local ou empreinte du navigateur suivent la même règle : on regarde à quoi l'outil sert, pas comment il s'appelle.
Ce que vous pouvez déposer sans demander
| Usage | Exemple | Sans accord ? |
|---|---|---|
| Panier d'achat | Garder les articles choisis d'une page à l'autre | Oui |
| Connexion | Rester connecté à son espace client | Oui |
| Sécurité | Bloquer les tentatives de connexion répétées | Oui |
| Choix dans la bannière | Se souvenir que le visiteur a refusé | Oui |
| Préférence d'affichage | Langue ou thème choisi par le visiteur | Oui |
| Mesure d'audience | Nombre de visites par page | Oui, sous conditions (voir ci-dessous) |
La mesure d'audience n'échappe à l'accord que si l'outil sert uniquement à vos statistiques, ne transmet rien à un tiers, ne suit pas le visiteur sur d'autres sites, produit des chiffres anonymes, garde ses cookies 13 mois au plus et les données 25 mois au plus. Le visiteur doit en être informé et pouvoir s'y opposer. Google Analytics, dans sa configuration habituelle, ne remplit pas ces conditions.
Ce qui exige l'accord préalable
- La publicité et le reciblage : pixel Meta, balises Google Ads, régies publicitaires.
- Les boutons de partage des réseaux sociaux qui déposent leurs propres traceurs.
- Les vidéos YouTube et les cartes Google Maps intégrées en mode standard.
- Les outils de statistiques ou d'enregistrement de sessions qui ne remplissent pas les conditions ci-dessus.
Tant que le visiteur n'a pas cliqué sur « Accepter », aucun de ces outils ne doit se charger. Continuer à naviguer ne vaut pas accord.
Les erreurs de bannière les plus sanctionnées
- Pas de bouton « Tout refuser » au même niveau que « Tout accepter ».
- Des traceurs déposés avant même le premier clic.
- Des cases cochées d'avance.
- Une bannière qui revient à chaque visite après un refus : la CNIL recommande de garder le choix, accord comme refus, pendant six mois environ.
- Aucun moyen de changer d'avis ensuite, alors qu'un lien « Gérer les cookies » en bas de page suffit.
Vérifier votre site en cinq minutes
- Ouvrez votre site dans une fenêtre de navigation privée.
- Sans cliquer sur la bannière, appuyez sur F12, puis ouvrez l'onglet Application (Chrome, Edge) ou Stockage (Firefox), rubrique Cookies.
- Tout cookie qui ne correspond pas au tableau ci-dessus, comme
_gaou_fbp, pose problème. - Cliquez sur « Tout refuser » et rechargez la page : aucun nouveau cookie ne doit apparaître.
Fiche d'information générale, à jour au 15 octobre 2026. Elle ne remplace pas un avis juridique adapté à votre situation.