Bandeau cookies RGPD : 7 erreurs qui te coûtent une amende CNIL en 2026

Le bandeau cookies est LE point n°1 que la CNIL contrôle en 2026. Et c'est aussi celui où la majorité des sites français se plantent — souvent sans le savoir.

Cet article liste les 7 erreurs les plus fréquentes, avec pour chacune :

• Le symptôme exact (comment savoir si tu es concerné)
• Le risque CNIL (montants des amendes selon la taille de l'entreprise)
• La correction concrète en 5-10 minutes

À la fin, tu pourras vérifier ton site en 30 secondes pour savoir si tes cookies sont conformes.

Petit rappel : ce que dit la CNIL en 2026

Selon la règlementation officielle de la CNIL, un bandeau cookies conforme doit respecter 6 principes obligatoires :

1. Information claire et complète sur les cookies utilisés et leurs finalités
2. Consentement libre, spécifique, éclairé et univoque — case non pré-cochée
3. Refuser aussi facilement qu'accepter — bouton "Refuser" au même niveau visuel
4. Aucun cookie non-essentiel ne se charge avant consentement
5. Possibilité de retirer son consentement aussi facilement (lien dans le footer)
6. Conservation du consentement maximum 13 mois (au-delà, redemander)

Si tu rates UNE seule de ces règles, ton site est non-conforme. Et la CNIL n'envoie plus de simples avertissements en 2026 — elle sanctionne directement.

Les 7 erreurs les plus fréquentes

Le mini-audit en 5 minutes : tes cookies sont-ils conformes ?

Avant de plonger dans les corrections, fais ce mini-audit en 5 minutes pour savoir où tu en es :

1. Ouvre ton site en navigation privée (Ctrl+Shift+N sur Chrome)
2. Avant de cliquer sur le bandeau, ouvre F12 → Application → Cookies. Combien de cookies tiers ? S'il y en a déjà → erreur n°2.
3. Regarde ton bandeau : "Refuser" est-il aussi visible que "Accepter" ? Sinon → erreur n°1.
4. Y a-t-il un bouton "Personnaliser" avec choix par catégorie ? Sinon → erreur n°3.
5. Va dans le footer : y a-t-il un lien "Gérer mes cookies" ? Sinon → erreur n°4.
6. Clique "Refuser tout". Recharge la page. Re-vérifie F12 : aucun cookie tiers ne doit s'être créé.
7. Si tu utilises un plugin (Tarteaucitron, Complianz...), vérifie la durée du consentement (13 mois max).

Si tu détectes UNE de ces erreurs, ton bandeau est non-conforme et tu es exposé à une sanction CNIL. La bonne nouvelle : toutes ces corrections prennent 30 minutes à 2 heures maximum avec un bon CMP.

Les 4 CMP recommandées pour 2026

1. Tarteaucitron (gratuit, français, open-source)

Le couteau-suisse historique de la conformité cookies en France. Gratuit, open-source, fait par Amaury Balmer. Convient parfaitement aux sites WordPress, Drupal, custom HTML. Limite : pas de stockage natif des preuves de consentement (à coupler avec un autre outil pour ça).

2. Complianz (freemium, néerlandais)

Le plugin WordPress le plus complet. Version gratuite suffit pour 90% des cas. Inclut : scanner cookies automatique, gestion 4 catégories, blocage natif des scripts, stockage des consentements, intégration Consent Mode v2 de Google. complianz.io

3. Axeptio (freemium, français)

Design soigné, expérience utilisateur très soignée. Plan gratuit limité à 5 000 affichages/mois. À partir de 35€/mois pour les sites à fort trafic. Bon choix pour les sites qui veulent un design pro. axeptio.eu

4. CookieYes (freemium, anglo)

Très utilisé sur WordPress (3M+ installations). Plan gratuit suffisant pour les petits sites. Génère automatiquement la politique cookies. cookieyes.com

Tableau récap : éviter les 7 erreurs

Voici une checklist rapide à imprimer ou enregistrer :

• ☐ Bouton "Refuser" au même niveau visuel que "Accepter"
• ☐ Aucun cookie tiers ne se charge avant clic sur le bandeau
• ☐ Choix par catégorie disponible (mesure / personnalisation / marketing)
• ☐ Lien "Gérer mes cookies" présent dans le footer
• ☐ Durée de stockage du consentement ≤ 13 mois
• ☐ Texte neutre et factuel, pas de dark pattern
• ☐ Stockage de la preuve du consentement (qui, quand, quelles catégories)

Si tu coches les 7 cases, ton bandeau est conforme RGPD/CNIL.

Comment vérifier en 30 secondes (sans audit manuel)

Faire l'audit manuel ci-dessus prend ~5 minutes. Mais tu peux automatiser la vérification avec un scanner externe.

VeriSite est un SaaS français qui scanne automatiquement ton site en 30 secondes et te dit :

• Quels cookies/trackers se chargent AVANT le consentement
• Si ton bandeau est correctement configuré
• Si Google Analytics, Meta Pixel, Hotjar, etc. sont bloqués comme prévu
• Quel CMP est détecté (et s'il est bien configuré)
• Les autres problèmes RGPD, RGAA, LCEN et sécurité de ton site

Le scan est gratuit, sans inscription, sans CB.

FAQ rapide

Mon site n'a pas de Google Analytics, ai-je besoin d'un bandeau cookies ?

Si ton site utilise uniquement des cookies strictement nécessaires (panier, connexion, langue), tu n'as pas besoin de bandeau cookies. Mais 99% des sites utilisent au minimum un outil de mesure (analytics, Hotjar, Tag Manager) → bandeau obligatoire.

Mon hébergeur (OVH, Wix...) ne met pas de cookies tiers, c'est OK ?

L'hébergeur n'est pas le sujet — ce sont les services tiers que TU as ajoutés sur ton site (analytics, ads, embeds vidéos, fonts CDN...) qui posent problème. Vérifie avec un scanner.

Les cookies de session sont-ils RGPD ?

Les cookies "strictement nécessaires" (panier e-commerce, session de connexion, préférence de langue) sont exemptés de consentement. Tu peux les utiliser sans bandeau. Tous les autres (analytics, marketing, personnalisation) nécessitent consentement explicite.

Combien de temps pour passer au RGPD-compliant ?

Pour un site simple : 30-60 minutes (installer un CMP gratuit, le configurer correctement). Pour un site complexe avec 10+ trackers tiers : 2-4 heures pour bien configurer chaque exception.

Quelle est l'amende minimale pour un bandeau non-conforme ?

Pour les TPE/PME : généralement entre 5 000€ et 100 000€ selon le CA et la taille de l'infraction. Pour les ETI : 100 000€ à 1M€. Pour les grands groupes : plusieurs millions d'euros (cf. Yahoo 10M€, Google 150M€).