Cookies et RGPD sur le site d’une TPE : le minimum à respecter

Sur le site d’une TPE, le minimum consiste à ne déposer aucun cookie non indispensable avant l’accord du visiteur, à proposer « Tout accepter » et « Tout refuser » avec la même facilité, à permettre de changer d’avis à tout moment et à conserver ce choix. Les cookies strictement nécessaires au fonctionnement du site ne demandent pas de consentement. Tout le reste en dépend : publicité, boutons de réseaux sociaux, et la plupart des outils de statistiques.

Qu’est-⁠ce qu’un cookie et que dit la loi ?

Un cookie est un petit fichier que votre site dépose dans le navigateur du visiteur pour se souvenir d’un panier, d’une langue, mais aussi des pages vues ou d’une publicité affichée. La règle française couvre plus largement tous les « traceurs » qui lisent ou écrivent une information sur l’appareil du visiteur.

Le cadre est posé par l’article 82 de la loi Informatique et Libertés, qui transpose la directive européenne ePrivacy. Le consentement doit respecter les conditions du RGPD : libre, spécifique, éclairé, univoque et retirable à tout moment. La CNIL résume l’ensemble dans sa page « Cookies et traceurs : que dit la loi ? ».

Quels cookies demandent un consentement ?

Tous ceux qui ne sont pas strictement nécessaires au service que le visiteur a demandé. La CNIL donne deux exemples typiques : les cookies de publicité personnalisée et ceux des boutons de partage sur les réseaux sociaux. Sur le site d’un artisan ou d’un commerce, on trouve aussi souvent :

• le pixel Meta ou la balise de conversion Google Ads, posés pour mesurer les campagnes publicitaires ;
• une vidéo YouTube intégrée, qui peut déposer ses propres traceurs ;
• une carte ou un widget tiers chargé depuis un autre service ;
• un outil de statistiques qui partage les données avec son éditeur.

À l’inverse, la CNIL dispense de consentement les traceurs qui conservent le choix du visiteur sur les cookies, ceux qui servent à l’authentification, au panier d’achat, à la facturation, à une personnalisation attendue comme la langue, et à l’équilibrage de charge.

Les statistiques de visite ont-⁠elles besoin du consentement ?

Cela dépend de l’outil et de son réglage. Selon la page de la CNIL sur les outils de mesure d’audience, une mesure peut se passer de consentement si elle respecte plusieurs conditions cumulatives :

• elle sert uniquement à mesurer l’audience du site, pour le seul compte de l’éditeur ;
• elle produit des statistiques anonymes ;
• les données ne sont pas recoupées avec d’autres traitements ni transmises à des tiers ;
• elle ne permet pas de suivre la navigation d’une personne sur d’autres sites.

Un outil dont le fournisseur réutilise les données pour son propre compte sort de l’exemption, sauf si cette réutilisation peut être désactivée. La CNIL recommande aussi, sur la même page, de limiter la durée de vie de ces traceurs, en citant l’exemple de treize mois, et de conserver les données collectées vingt-⁠cinq mois au plus. Dans le doute sur votre outil, demandez le consentement.

Peut-⁠on avoir un site sans bandeau cookies ?

Oui. Un site qui ne dépose que des traceurs exemptés n’a besoin d’aucun bandeau. C’est souvent possible pour un site vitrine : une mesure d’audience réglée pour l’exemption, des vidéos chargées seulement au clic, aucun pixel publicitaire. Dès que vous lancez une campagne avec suivi des conversions, le bandeau redevient nécessaire.

À quoi doit ressembler un bandeau cookies conforme ?

La CNIL détaille ses attentes dans sa fiche « Comment mettre mon site web en conformité ? ». Les points principaux :

• le premier écran présente les finalités des traceurs, avec un lien vers le détail et la liste des partenaires ;
• les boutons « Tout accepter » et « Tout refuser » apparaissent au même niveau et dans le même format ;
• un choix par finalité est possible, avec des cases décochées par défaut ;
• la poursuite de la navigation ne vaut pas accord, et toute action autre qu’une acceptation, comme la fermeture du bandeau, vaut refus ;
• aucun design trompeur : pas de bouton de refus grisé, minuscule ou caché derrière « Paramétrer ».

Le point le plus souvent manqué reste le dépôt avant accord : un bandeau peut être impeccable à l’écran alors que le site charge déjà le pixel publicitaire en arrière-⁠plan.

Combien de temps le choix du visiteur reste-t-il valable ?

Dans sa recommandation sur les cookies, dans sa version consolidée de janvier 2026, la CNIL considère qu’une conservation de 6 mois constitue en général une bonne pratique, tant pour le consentement que pour le refus. Un bandeau qui revient après chaque refus pousse le visiteur à céder : c’est à éviter.

Comment le visiteur peut-⁠il changer d’avis ?

Le retrait doit être aussi simple que l’accord. La solution habituelle est un lien « Gérer les cookies » dans le pied de page, qui rouvre le panneau de choix. Il complète la politique de confidentialité, qui explique les traceurs utilisés, leurs finalités et les partenaires concernés : voyez la politique de confidentialité de Devmiweb pour un exemple de présentation.

Comment mettre son site en conformité, étape par étape ?

1. Faites l’inventaire de tout ce que le site charge : statistiques, balises publicitaires, vidéos, cartes, chat, polices ou widgets tiers.
2. Classez chaque outil : exempté, soumis au consentement, ou inutile à retirer.
3. Installez un gestionnaire de consentement, souvent appelé CMP. Des extensions gratuites existent pour WordPress ; l’important est qu’elles bloquent réellement les scripts.
4. Branchez chaque outil soumis au consentement sur la bonne catégorie, pour qu’il ne se charge qu’après l’accord correspondant.
5. Testez en navigation privée : ouvrez les outils de développement du navigateur, onglet « Application » ou « Stockage ». Avant tout clic, seuls des cookies techniques doivent apparaître ; après « Tout refuser », rien de nouveau ne doit être déposé.
6. Mettez la politique de confidentialité à jour avec la liste réelle des traceurs, et ajoutez le lien « Gérer les cookies » en pied de page.
7. Refaites le test à chaque ajout d’outil : une nouvelle campagne Google Ads, un chat, une vidéo intégrée.

D’autres vérifications du même ordre figurent dans notre checklist pour un site professionnel.

Et le reste du RGPD sur un site vitrine ?

Dès qu’un formulaire de contact ou de devis recueille un nom, un e-⁠mail ou un téléphone, le RGPD s’applique aussi à ces données. Le minimum :

• ne demander que les champs utiles pour répondre à la demande ;
• informer, près du formulaire ou par un lien, de l’usage des données, de leur durée de conservation et des droits du visiteur, y compris celui de saisir la CNIL ;
• ne jamais cocher d’avance la case d’inscription à une lettre d’information ;
• supprimer les demandes anciennes qui ne servent plus.

La fiche de service-⁠public.fr sur les mentions obligatoires d’un site d’entreprise rappelle que l’information sur les données personnelles fait partie de ce qui doit figurer sur le site.

Quelles sanctions la CNIL peut-⁠elle prononcer pour les cookies ?

La CNIL contrôle les sites, y compris après des plaintes d’internautes, quelle que soit la taille de l’éditeur. Pour les affaires sans difficulté particulière, elle dispose d’une procédure de sanction simplifiée, écrite, qui peut aboutir à :

• un rappel à l’ordre ;
• une injonction de mise en conformité, avec une astreinte de 100 euros au plus par jour de retard pour une entreprise dont le chiffre d’affaires est inférieur à 50 millions d’euros, selon cette même page de la CNIL ;
• une amende de 20 000 euros au plus pour ces mêmes entreprises, d’après la CNIL.

Les affaires plus lourdes suivent la procédure ordinaire, aux plafonds bien plus élevés. Pour une TPE, le risque le plus probable reste une plainte d’un visiteur suivie d’une demande de mise en conformité.

Le contrôle du bandeau a toute sa place dans la maintenance d’un site, en particulier quand un nouvel outil est ajouté. Si vous préférez qu’on regarde votre configuration actuelle, écrivez-⁠nous.

Questions fréquentes

Peut-⁠on bloquer l'accès au site si le visiteur refuse les cookies ?

C'est ce qu'on appelle un « mur de traceurs ». La CNIL ne l'interdit pas par principe, mais l'examine au cas par cas et attend qu'une alternative réelle et équitable soit proposée à celui qui refuse. Pour le site d'une petite entreprise, qui cherche avant tout à être consulté par ses futurs clients, cette pratique fait surtout fuir des visiteurs. Laissez le site accessible et respectez le refus.

Un plugin de bandeau cookies gratuit suffit-⁠il à être en règle ?

Un plugin, gratuit ou payant, affiche le bandeau, mais il ne bloque pas toujours les traceurs tout seul. Il faut le configurer pour que chaque outil ne se charge qu'après l'accord correspondant. C'est souvent là que les choses coincent : le bandeau s'affiche correctement, alors que les scripts partent déjà en arrière-⁠plan. Vérifiez le résultat après chaque réglage.

Combien coûte la mise en conformité cookies d'un site ?

Cela dépend surtout du nombre d'outils branchés sur le site. Un site vitrine avec une mesure d'audience exemptée et aucune publicité demande peu de travail, parfois aucun bandeau. Un site qui cumule statistiques, balises publicitaires, vidéos et chat demande un vrai inventaire, un gestionnaire de consentement bien réglé et des tests. Chaque nouvel outil doit ensuite être branché et vérifié.

Pourquoi mes statistiques baissent-⁠elles après l'installation du bandeau ?

Parce que les visiteurs qui refusent ne sont plus comptés par les outils soumis au consentement. C'est l'effet normal d'un bandeau bien réglé, pas une perte de clients. Il faut l'accepter et lire ses statistiques en conséquence, plutôt que de revenir à un réglage non conforme. Une mesure d'audience configurée pour l'exemption de la CNIL continue, elle, de compter tout le monde.