« Peut-on supprimer la bannière de cookies ? » La question arrive tôt ou tard sur le bureau du DPO, souvent portée par le marketing ou par l'équipe produit, lassés d'un bandeau qui ralentit les pages et fait fuir une partie des visiteurs. La réponse tient en deux temps. Aujourd'hui, un site peut se passer de bannière s'il ne dépose que des traceurs exemptés de consentement, et les conditions sont précises. Demain, un signal envoyé par le navigateur pourrait remplacer la bannière pour les sites qui gardent des traceurs soumis au consentement : c'est l'objet de l'article 88 ter du Digital Omnibus, toujours en négociation.
Ce guide fait le tri : ce que le droit impose vraiment, les traceurs qui échappent au consentement, la méthode pour passer un site à zéro bannière, et ce que le DPO peut préparer en attendant le texte européen.
Ce que le droit impose : le consentement, pas la bannière
Aucun texte n'oblige à afficher une bannière. L'article 5, paragraphe 3, de la directive 2002/58/CE (ePrivacy), transposé en France à l'article 82 de la loi Informatique et Libertés, impose le consentement préalable de l'utilisateur avant toute lecture ou écriture d'informations sur son terminal, sauf deux exceptions : les traceurs qui ont pour finalité exclusive de permettre ou faciliter la communication par voie électronique, et ceux strictement nécessaires à un service expressément demandé par l'utilisateur.
La bannière n'est que l'interface la plus répandue pour recueillir ce consentement, qui doit répondre aux conditions du RGPD : libre, spécifique, éclairé et univoque, et démontrable par le responsable de traitement (article 7 du RGPD). La CJUE l'a rappelé dans l'arrêt Planet49 (C-673/17) du 1er octobre 2019 : une case précochée ne vaut pas consentement. En France, le cadre est fixé par les lignes directrices de la CNIL (délibération n° 2020-091) et sa recommandation sur les modalités pratiques (délibération n° 2020-092), toutes deux du 17 septembre 2020. La CNIL en contrôle l'application : le 31 décembre 2021, elle a sanctionné Google à hauteur de 150 millions d'euros parce que refuser les cookies demandait plusieurs clics, quand un seul suffisait pour les accepter.
Conséquence directe : pas de traceur soumis au consentement, pas de consentement à recueillir, donc pas de bannière. Tout l'enjeu est de savoir quels traceurs en sont dispensés.
Les traceurs exemptés de consentement
Les traceurs strictement nécessaires
Les lignes directrices de la CNIL citent plusieurs exemples de traceurs qui, dans la plupart des cas, peuvent être exemptés :
- les traceurs qui conservent le choix exprimé par l'utilisateur sur le dépôt de traceurs ;
- les traceurs d'authentification, y compris ceux qui sécurisent ce mécanisme, par exemple en limitant les tentatives d'accès robotisées ;
- les traceurs qui gardent en mémoire le contenu d'un panier d'achat ;
- les traceurs de personnalisation de l'interface, comme le choix de la langue ;
- les traceurs d'équilibrage de charge.
La qualification se fait traceur par traceur, sur sa finalité réelle. Un même cookie qui sert à la fois l'authentification et le ciblage publicitaire n'est plus exempté.
La mesure d'audience exemptée
La CNIL range aussi dans les traceurs exemptés certains outils de mesure d'audience. Selon sa fiche « Cookies : solutions pour les outils de mesure d'audience » (mise à jour le 4 juillet 2025), ces traceurs doivent :
- servir une finalité strictement limitée à la mesure d'audience du site, pour le compte exclusif de l'éditeur ;
- produire uniquement des statistiques anonymes ;
- ne pas conduire à un recoupement avec d'autres traitements, ni à la transmission de données non anonymes à des tiers ;
- ne pas permettre de suivre la navigation d'une personne sur plusieurs sites ou applications.
La CNIL recommande en outre d'informer les utilisateurs, de limiter la durée de vie des traceurs à treize mois sans prorogation automatique, et de conserver les données collectées vingt-cinq mois au maximum. Un outil comme Matomo peut entrer dans ce cadre s'il est correctement configuré : notre guide pour utiliser Matomo en conformité avec les recommandations de la CNIL détaille les réglages. À l'inverse, un outil dont l'éditeur réutilise les données pour ses propres fins ne remplit pas la condition d'usage exclusif : c'est l'un des points examinés dans notre guide Google Analytics 4 et RGPD.
Ce qui reste soumis au consentement
Le ciblage et le reciblage publicitaires, les boutons de partage des réseaux sociaux qui déposent des traceurs tiers, les vidéos intégrées avec suivi, les outils de chat ou de CRM qui rattachent le parcours de navigation à un contact : tous ces usages demandent un consentement. Un site qui en conserve un seul garde une interface de recueil, et donc, aujourd'hui, une bannière.
Passer un site à zéro bannière : la méthode
Le chantier est plus organisationnel que technique. Il se mène en cinq étapes.
- Inventorier les traceurs réellement déposés, en production et sur chaque domaine : scan du site, revue du gestionnaire de balises, lecture des scripts tiers. L'inventaire déclaré par les équipes diffère presque toujours de ce que le navigateur reçoit.
- Qualifier chaque traceur au regard des exemptions : finalité, émetteur, durée de vie, destinataires des données.
- Retirer ou remplacer les traceurs soumis au consentement : outil de mesure d'audience configuré selon la fiche de la CNIL, vidéos en mode sans suivi, partage social par simple lien plutôt que par module tiers.
- Informer les personnes. Exemptés de consentement, les traceurs ne sont pas exemptés d'information : leur finalité et leur durée de vie figurent dans la politique de cookies.
- Documenter et recontrôler : tracer l'analyse d'exemption dans le registre des traitements, et rejouer le scan à chaque refonte ou ajout de script.
Le renoncement a un coût qu'il faut assumer devant les équipes : plus de reciblage publicitaire, plus de suivi individuel du parcours dans le CRM, une mesure d'audience moins fine. C'est le choix qu'a fait leto.legal, avec une mesure d'audience exemptée et un seul traceur fonctionnel : nous racontons ce passage dans pas de bandeau de cookies sur leto.legal. Pour les sites qui ne peuvent pas s'en passer, notre guide pour choisir son outil de gestion des cookies détaille les critères d'une interface de recueil conforme.
Le signal automatisé : la piste européenne pour remplacer la bannière
Pour les sites qui gardent des traceurs soumis au consentement, une autre voie est en discussion. La proposition de Digital Omnibus COM(2025) 837 du 19 novembre 2025 prévoit, dans un nouvel article 88 ter du RGPD, que le consentement, le refus et l'opposition de l'article 21, paragraphe 2, puissent être exprimés une fois pour toutes par un signal lisible par machine, émis par le navigateur, que les sites devraient respecter. Le signal ne crée pas de nouvelle base légale : il automatise la transmission d'un choix qui reste soumis aux conditions de l'article 7.
Retirée du texte de compromis de la présidence du Conseil en juin 2026, la mesure est défendue depuis juillet par la campagne Kill the Cookie Banner : l'épisode et ses acteurs sont détaillés dans notre actualité sur le Conseil, Google et les bannières cookies, et les autres volets de la réforme dans notre analyse du Digital Omnibus. Ni le Conseil ni le Parlement européen n'ont encore arrêté leur position, selon le suivi législatif du Parlement. Pour un DPO, la conclusion pratique est simple : rien ne change avant le texte final, mais le travail d'inventaire et de preuve décrit ci-dessous servira dans les deux scénarios.
Ce que le DPO peut préparer dès maintenant
Que l'article 88 ter revienne ou non, trois chantiers servent dans les deux scénarios.
Un inventaire des traceurs tenu à jour
C'est le préalable à tout : à l'exemption aujourd'hui, à l'application d'un signal demain. Chaque traceur soumis au consentement doit être rattaché à une finalité et à un traitement du registre, faute de quoi aucun signal, ni aucun clic, ne pourra lui être appliqué correctement.
Une preuve des choix qui ne dépend pas de l'interface
Un consentement ou un refus doit pouvoir être démontré, qu'il vienne d'un clic ou d'un signal. Conserver la date, la finalité concernée et le moyen d'expression du choix, ainsi que la date des refus, permet de répondre à un contrôle et de respecter, le cas échéant, un délai avant toute nouvelle demande.
Les bonnes questions aux prestataires
Pour la solution de gestion du consentement : sait-elle lire un signal normalisé et l'appliquer aux traceurs concernés, et selon quel calendrier ? Pour l'outil de mesure d'audience : sa configuration remplit-elle chacune des conditions de l'exemption, et le contrat interdit-il au fournisseur toute réutilisation des données ? Ces points relèvent du contrat de sous-traitance et de l'audit des sous-traitants.
Questions fréquemment posées
Un site est-il obligé d'afficher une bannière de cookies ?
Non. La loi impose le consentement avant le dépôt de traceurs non exemptés, pas une bannière. Un site qui ne dépose que des traceurs strictement nécessaires ou une mesure d'audience exemptée n'a pas de consentement à recueillir, donc pas de bannière à afficher. Il doit tout de même informer les personnes de ces traceurs.
Quels traceurs sont exemptés de consentement ?
L'article 82 de la loi Informatique et Libertés exempte les traceurs dont la finalité exclusive est de permettre la communication électronique, et ceux strictement nécessaires à un service expressément demandé. La CNIL cite notamment les traceurs d'authentification, de panier, de choix de langue, d'équilibrage de charge, ceux qui conservent le choix de l'utilisateur, ainsi que certains outils de mesure d'audience.
Quelles conditions pour une mesure d'audience sans consentement ?
Selon la CNIL, la mesure doit être limitée à l'audience du site pour le compte exclusif de l'éditeur, produire des statistiques anonymes, sans recoupement ni transmission de données non anonymes à des tiers, et sans suivi de la navigation sur d'autres sites. La CNIL recommande une durée de vie des traceurs de treize mois au plus et une conservation des données de vingt-cinq mois au plus.
Le signal automatisé de l'article 88 ter supprimerait-il le consentement ?
Non. Il automatiserait la transmission du choix, sans modifier les conditions du consentement fixées par le RGPD. Un consentement exprimé par signal devrait rester libre, spécifique, éclairé et univoque, et le responsable de traitement devrait toujours pouvoir le démontrer.
Où en est l'article 88 ter du Digital Omnibus ?
Proposé par la Commission le 19 novembre 2025, il a été retiré du texte de compromis de la présidence du Conseil du 18 juin 2026. Le Conseil n'a pas encore adopté son mandat et le Parlement européen n'a pas arrêté sa position : son sort se jouera au trilogue.
