Vous cliquez sur « tout refuser », le bandeau disparaît, mais une question demeure : le site a-t-il réellement respecté votre choix ? Des traceurs publicitaires ou de mesure d’audience peuvent parfois être déposés malgré ce refus.
Le refus des traceurs n’est pas une simple préférence d’affichage : il engage les règles du consentement aux cookies et la protection de la vie privée. Comprendre les exceptions, vérifier ce qui se passe après le clic et savoir quoi faire permet de mieux défendre sa confidentialité en ligne.
A retenir :
- Consentement préalable pour les traceurs non exemptés
- Refus aussi simple et accessible que l’acceptation
- Vérification des dépôts après le choix exprimé
- Preuves utiles pour une démarche auprès de la CNIL
Refus des traceurs : quelles règles encadrent le consentement aux cookies ?
Pour comprendre pourquoi un refus doit bloquer certains dépôts, il faut distinguer les traceurs soumis au consentement de ceux qui sont exemptés. La règle concerne notamment la publicité ciblée, certains outils de mesure d’audience et les boutons de partage social.
Traceurs soumis au consentement et exceptions limitées
Selon la CNIL, les traceurs non essentiels ne doivent pas être déposés ni lus avant l’accord de l’internaute. À l’inverse, un cookie nécessaire au fonctionnement d’un panier ou à l’authentification peut être exempté.
Certaines mesures d’audience peuvent également bénéficier d’une exemption, sous des conditions strictes, notamment lorsqu’elles sont configurées de manière à limiter les données collectées. Un outil commercial de suivi publicitaire ne devient pas nécessaire simplement parce qu’il aide le site à financer son activité.
Les exemples ci-dessous montrent pourquoi la finalité, et non le nom technique du cookie, détermine le régime applicable.
Exemples de traceurs concernés :
- Publicité personnalisée et profilage de navigation
- Partage de contenu vers des réseaux sociaux
- Mesure d’audience ne respectant pas les conditions d’exemption
- Authentification ou maintien d’un panier demandé par l’utilisateur
Usage
Consentement préalable
Exemple
Publicité ciblée
Oui
Personnalisation des annonces selon la navigation
Réseaux sociaux
Oui, si le traceur n’est pas exempté
Bouton de partage chargeant un service tiers
Service indispensable
Non, dans les limites de l’exemption
Authentification ou panier d’achat
Mesure d’audience
Selon la configuration
Outil soumis aux conditions définies par la CNIL
Un refus doit être aussi facile qu’une acceptation
Selon la CNIL, le consentement doit être libre, éclairé, spécifique et exprimé par une action claire. Continuer sa navigation, fermer le bandeau ou laisser une case précochée ne suffit pas à prouver un accord valable.
Un bouton « tout refuser » présenté au même niveau que « tout accepter » évite d’imposer plusieurs écrans à la personne qui refuse. Le retrait doit ensuite rester accessible, par exemple grâce à un lien de gestion des préférences visible depuis le site.
Quand ces choix sont présentés sans détour, l’étape suivante consiste à vérifier que le fonctionnement technique correspond réellement à l’interface affichée.
Après un refus global, comment vérifier le blocage des cookies ?
Un bouton visible ne garantit pas, à lui seul, le respect du choix : les scripts doivent également empêcher les dépôts concernés. La vérification peut commencer simplement, sans transformer l’internaute en spécialiste de la sécurité informatique.
Repérer les traceurs déposés après le clic
Notez l’adresse de la page, la date, l’appareil utilisé et le choix effectué sur le bandeau. Une capture d’écran du bouton de refus et du module de gestion des préférences aide à établir précisément le parcours suivi.
Sur un navigateur d’ordinateur, les outils de développement permettent de consulter les cookies enregistrés et les requêtes adressées à des services tiers. Comparez les éléments avant et après le refus, puis rechargez la page pour voir si des traceurs non nécessaires réapparaissent.
Cette vérification ne démontre pas toujours, à elle seule, l’usage exact des données personnelles. Elle peut toutefois rendre un signalement plus concret, surtout si les relevés montrent des dépôts répétés après le refus.
Éléments utiles pour documenter le constat :
- Capture du bandeau et du choix de refus
- Adresse des pages et chronologie des essais
- Liste des cookies ou requêtes observés après le refus
- Réponse écrite de l’éditeur, si vous l’avez sollicité
Ne pas confondre navigation privée et blocage réel
La navigation privée limite surtout la conservation locale de certains éléments après la fermeture de la session. Elle ne constitue pas, à elle seule, une garantie contre les traceurs déposés pendant la visite ou les requêtes envoyées à des tiers.
Le blocage des cookies dans le navigateur peut réduire certains suivis, mais il ne remplace pas l’obligation du site de respecter le choix exprimé. Selon la CNIL, l’éditeur doit recueillir le consentement requis avant les opérations concernées, plutôt que compter sur les réglages personnels de chaque visiteur.
Une fois les faits consignés, il devient plus facile de demander une correction à l’éditeur ou de saisir l’autorité compétente.
Que faire si un site ignore le refus des traceurs ?
Des dépôts persistants après un refus justifient une démarche graduée, en commençant par une demande claire adressée au responsable du site. Un dossier daté, même simple, permet de décrire les faits sans confondre une impression de suivi avec un constat vérifiable.
Contacter l’éditeur puis la CNIL
Adressez votre demande aux coordonnées indiquées dans les mentions légales ou à celles du délégué à la protection des données, si elles sont publiées. Décrivez le refus, les traceurs observés et la date des vérifications, puis demandez que les dépôts concernés cessent.
Si la réponse est absente ou insatisfaisante, vous pouvez déposer une plainte auprès de la CNIL et joindre les captures, les relevés et les échanges. L’autorité peut examiner les pratiques et décider des suites adaptées ; une plainte individuelle ne garantit toutefois pas une sanction publique.
La CNIL a déjà prononcé des sanctions importantes dans ce domaine : en 2020, elle a infligé des amendes de 60 millions d’euros à Google LLC et de 40 millions à Google Ireland Limited. Le Conseil d’État a confirmé ces sanctions en 2022, dans le cadre des manquements examinés sur le site Google.fr.
Comprendre les sanctions et conserver les preuves
Les sanctions dépendent de la gravité des manquements et du cadre juridique applicable. Pour certaines violations du RGPD, le plafond prévu peut atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, tandis que la procédure simplifiée de la CNIL prévoit un plafond de 20 000 euros.
Ces plafonds ne signifient pas qu’un particulier recevra automatiquement une indemnité. Une demande de réparation devant un juge suppose de démontrer un préjudice lié à la violation, par exemple des conséquences concrètes ou des démarches répétées pour faire respecter son refus.
Selon la CNIL, l’information et le consentement préalable restent au cœur des règles applicables aux traceurs. Conserver les preuves, solliciter l’éditeur et documenter la suite permet de transformer un simple clic en démarche utile pour le respect du consentement et la confidentialité en ligne.
Étapes pour agir auprès du site :
- Conservation des captures et relevés techniques
- Demande écrite de cessation des dépôts non consentis
- Plainte auprès de la CNIL avec les pièces disponibles
- Conseil juridique si un préjudice est à faire réparer
Source : CNIL, « Cookies et traceurs : que dit la loi ? » ; CNIL, « Questions-réponses sur les lignes directrices modificatives et la recommandation cookies et autres traceurs » ; Conseil d’État, décision n° 449209.
