Votre bandeau cookies affiche « Tout refuser ». Votre site obéit-il vraiment ?

Ce qui s'est passé

Le 29 octobre 2026, la CNIL a rendu publique une sanction de 7 millions d'euros contre deux sociétés du groupe Fnac : 6 millions pour FNAC DARTY PARTICIPATIONS ET SERVICES, 1 million pour FNAC DIRECT (délibération SAN-2026-015 du 22 octobre 2026, cnil.fr). L'application mobile envoyait à un domaine tiers un identifiant attribué à chaque utilisateur et les produits qu'il consultait, pour lui recommander des articles et entraîner un algorithme de recommandation. Le tout sans consentement, et alors que l'utilisateur avait exprimé le choix de ne pas être suivi. Les sociétés ont un mois pour prouver que leur nouvel outil de consentement fonctionne, sous astreinte de 10 000 € par jour de retard.

Pourquoi ça concerne une entreprise de vingt personnes

Vous n'avez pas d'application et vous n'êtes pas la Fnac. Mais vous avez très probablement un site, et sur ce site un bandeau cookies. La question que pose cette décision n'est pas « ai-je un bandeau ? ». C'est : quand un visiteur clique sur « Tout refuser », mon site arrête-t-il réellement de parler à Google, Meta ou LinkedIn ?

Trois choses rendent la question moins théorique qu'elle n'en a l'air.

Le bandeau et le site sont deux choses différentes. Le bandeau enregistre un choix. Ce sont les scripts installés sur le site — mesure d'audience, pixel publicitaire, suivi de conversion, widget de chat — qui doivent ensuite le respecter. Un bandeau posé par-dessus un site dont personne n'a relié les scripts au choix du visiteur ne bloque rien. Il affiche une promesse.

Un traceur n'est pas forcément un cookie. Dans l'affaire Fnac, ce qui est en cause n'est pas un fichier déposé dans le navigateur, mais des requêtes envoyées à un tiers avec un identifiant et des données d'activité. La règle est la même : en l'absence de consentement, ces traceurs « ne peuvent être déposés et/ou lus » sur le terminal de l'utilisateur (CNIL, « Comment mettre mon site web en conformité ? »). Et le jour où un visiteur retire son consentement, il peut falloir désactiver les requêtes vers les domaines tiers, pas seulement effacer des cookies (FAQ de la CNIL, question 29, mise à jour le 29/04/2026).

Rien, dans les règles publiées par la CNIL, ne les réserve aux grands sites. L'obligation de consentement préalable vise tout site et toute application qui dépose ou lit des traceurs non exemptés. Le montant de 7 millions tient à la taille de la Fnac et au nombre d'utilisateurs ; le manquement, lui, est à la portée de n'importe quel site vitrine équipé d'un pixel publicitaire.

Ce qu'il faut faire — sans rien acheter

Trois vérifications, dans un navigateur, sans compétence particulière.

1. Le test du refus, en dix minutes. Ouvrez votre site dans une fenêtre de navigation privée, sur un ordinateur. Avant de cliquer quoi que ce soit, ouvrez les outils de développement (touche F12 sous Windows, ou clic droit puis « Inspecter ») et allez dans l'onglet Réseau. Cliquez sur « Tout refuser », puis rechargez la page et naviguez sur deux ou trois pages. Dans le champ de filtre, tapez successivement google, facebook, linkedin, doubleclick. Si des lignes apparaissent alors que vous avez refusé, vous tenez une question précise à poser au prestataire qui gère votre site : « Qu'est-ce que ces requêtes transmettent, et pourquoi partent-elles après un refus ? » Ne concluez pas seul : certaines peuvent être légitimes. Mais c'est au prestataire de le démontrer, pas à vous de le supposer.

2. Le bandeau lui-même. La CNIL demande que l'on puisse refuser « avec le même degré de simplicité » qu'accepter : deux boutons au même niveau et au même format, « Tout accepter » et « Tout refuser ». Fermer le bandeau sans accepter doit valoir refus, et les cases doivent être décochées par défaut (CNIL). Un bouton « Paramétrer » en face d'un gros « Accepter » ne remplit pas cette condition.

3. Le chemin du retour. Un visiteur doit pouvoir changer d'avis à tout moment, par exemple via un lien en pied de page ou un gestionnaire de cookies accessible en permanence (même page CNIL). Cherchez ce lien en bas de votre site. S'il n'existe pas, c'est une ligne à ajouter, pas un chantier.

Ce qu'il ne faut pas faire

Ne retirez pas le bandeau en vous disant que vous êtes trop petit pour être contrôlé. La règle ne prévoit pas de seuil, et un bandeau absent ne rend pas un pixel publicitaire légal pour autant.

Ne croyez pas que la mesure d'audience est toujours exemptée. Elle ne l'est que si elle se limite à la mesure d'audience pour votre propre compte, produit uniquement des statistiques anonymes, ne suit pas vos visiteurs d'un site à l'autre et n'est ni croisée avec d'autres données ni transmise à des tiers (FAQ de la CNIL, question 9). C'est une liste de conditions, pas une case à cocher.

Ne signez pas dans l'urgence un abonnement à une « solution de conformité ». Une sanction très médiatisée est une saison de démarchage. Ce que vous devez d'abord savoir, c'est ce que fait réellement votre site — et le test du point 1 vous le dit gratuitement.

Sources

• -CNIL — Cookies et application mobile : sanctions de 7 millions d'euros à l'encontre des sociétés FNAC DARTY PARTICIPATIONS ET SERVICES et FNAC DIRECT (publié le 29/10/2026 ; délibération SAN-2026-015 du 22/10/2026)
• -Légifrance — Délibération SAN-2026-015 du 22 octobre 2026
• -CNIL — Cookies et traceurs : comment mettre mon site web en conformité ? (consulté le 01/11/2026)
• -CNIL — Questions-réponses sur les lignes directrices modificatives et la recommandation « cookies et autres traceurs » (mise à jour du 29/04/2026, consultée le 01/11/2026)