Cookie wall en France : position CNIL et Conseil d'État
Le cookie wall n'est pas interdit en soi en France. Critères CNIL de 2022, jurisprudence du Conseil d'État et checklist pour une bannière centrale conforme.
En France, un cookie wall n’est pas interdit en soi : le Conseil d’État a annulé en 2020 l’interdiction générale posée par la CNIL, et la licéité s’apprécie au cas par cas. Les critères publiés par la CNIL en 2022 encadrent la pratique, en particulier l’existence d’une alternative et son tarif. Pour un site qui dépose des traceurs, la question pratique est presque toujours la même : une bannière centrale avec un refus aussi simple que l’acceptation est-elle équivalente à un mur ? Dans la plupart des cas, non, et c’est ce que je vérifie en audit.
Définition : cookie wall et bannière centrale
Un cookie wall conditionne l’accès à un service à l’acceptation des cookies. L’utilisateur qui refuse ne voit pas le contenu, ou doit payer pour y accéder.
Une bannière centrale avec refus n’est pas un cookie wall. Elle propose deux choix équivalents, « Accepter » et « Refuser », et l’accès au site ne dépend pas du choix. La différence est juridique et technique : dans le premier cas le consentement n’est pas libre, dans le second il l’est.
Cette distinction compte pour le consultant, car beaucoup de bannières ressemblent à un mur sans en être un, et inversement.
Chronologie des positions
2019 : lignes directrices CNIL. La CNIL pose une interdiction générale des cookie walls. Le texte fixe le principe que le consentement doit être libre, ce qui exclut en pratique le refus sanctionné par une privation d’accès.
19 juin 2020 : décision du Conseil d’État (n° 434684). Le juge annule l’interdiction générale, au motif qu’elle ne pouvait pas résulter de simples lignes directrices. Il ne déclare pas pour autant les cookie walls licites : leur légalité doit être appréciée au cas par cas.
17 septembre 2020 : lignes directrices et recommandation CNIL. La CNIL pose notamment l’exigence qu’un refus soit aussi simple qu’une acceptation, avec un bouton « Refuser tout » au premier niveau de la bannière.
16 mai 2022 : premiers critères d’évaluation. La CNIL publie les critères qu’elle utilise pour évaluer un cookie wall. Le principal est l’existence d’une alternative à un tarif raisonnable. La CNIL ne fixe pas de seuil : l’éditeur doit pouvoir justifier la contrepartie monétaire proposée. Un second critère limite les traceurs de la version payante aux finalités nécessaires à la rémunération du service. Des cas particuliers sont prévus, notamment les contenus exclusifs, les services administratifs en ligne et les acteurs incontournables. Je n’ai pas relu l’intégralité du texte pour cet article ; je m’appuie sur la présentation qu’en fait la CNIL, à vérifier avant toute décision.
Positions européennes
Le Comité européen de la protection des données (EDPB) a publié ses lignes directrices 05/2020 sur le consentement, qui traitent du refus sans préjudice. L’EDPB a aussi adopté en avril 2024 un avis sur les modèles « consent or pay » des très grandes plateformes (Opinion 08/2024). Je n’ai pas pu vérifier cet avis à la source au moment de la rédaction ; je ne m’appuie donc pas sur son contenu détaillé ici.
Le point qui compte pour un site français : le droit national (CNIL, Conseil d’État) reste la référence pour les bannières, et le RGPD fixe le cadre du consentement libre.
Ce qui est admis au cas par cas, ce qui ne l’est pas
Je résume la lecture pratique, sans garantie juridique :
- Plus probablement admissible : une alternative réelle, sans traceurs publicitaires, à un tarif justifiable, avec une information claire sur le choix.
- Difficilement défendable : un refus payant pour un service ordinaire, un tarif élevé sans justification, ou une version payante qui garde les traceurs publicitaires.
- Non admissible en pratique : un accès bloqué tant que le visiteur n’accepte pas les cookies, sans alternative.
Les médias qui proposent « pay or okay » se trouvent dans la zone grise la plus discutée. Pour un site d’entreprise ou de services, la situation est plus simple : il n’y a en général aucune raison de poser un mur.
Implications pour le tracking
Une bannière centrale avec refus équivalent n’est pas un cookie wall. Mais le refus doit produire un effet réel : aucun tag publicitaire ne doit se déclencher avant le choix, et un refus doit être aussi efficace qu’une acceptation.
Les sanctions 2025 le montrent. Le bilan CNIL 2025 classe les cookies sans consentement en premier motif de sanctions par volume, devant les autres sujets. Un texte européen en négociation, le paquet Digital Omnibus, pourrait modifier ces règles ; il n’est pas adopté à ce jour. La CNIL vérifie concrètement : bannière, requêtes réseau, délai entre arrivée sur le site et premier hit publicitaire.
Pour le choix de l’outil, la question de la bannière centrale ou discrète a un impact direct sur l’attribution et sur la conformité ; je ne la traite pas à nouveau ici.
Checklist de conformité d’une bannière centrale
- Le bouton « Refuser tout » est au premier niveau, avec le même poids visuel que « Accepter ».
- Aucun tag non essentiel ne se charge avant un choix. Je le teste en navigation privée, onglet Réseau.
- Le refus est appliqué aux tags Google et Meta, y compris via Consent Mode, sans configuration partielle.
- Le retrait du consentement est accessible à tout moment, par exemple depuis le pied de page.
- Le choix est mémorisé et la durée du cookie de consentement est documentée.
- Les libellés sont identiques pour accepter et refuser, sans répétition trompeuse de l’option d’acceptation.
Pour un audit complet du paramétrage, je propose l’audit de conformité Consent Mode. Le glossaire CNIL et le glossaire ePrivacy donnent les définitions de base.
Mises en demeure 2024-2025
La CNIL envoie depuis fin 2024 des mises en demeure à plusieurs éditeurs pour bannières trompeuses. Le schéma est le même : un délai d’un mois pour corriger, sans amende directement liée à ces courriers. Les défauts relevés sont récurrents : bouton d’acceptation mis en valeur par la couleur ou la taille, refus noyé dans le texte, option d’acceptation répétée plusieurs fois alors que le refus n’apparaît qu’une fois.
Le bilan 2025 publié par la CNIL recense 259 décisions, dont 83 sanctions et 143 mises en demeure, pour un total de 486,8 M€ d’amendes. Ces chiffres sont à relire avec prudence : deux dossiers concentrent l’essentiel du montant, comme je l’écris dans le bilan CNIL 2025.
FAQ
Un cookie wall est-il illégal en France ? Pas dans l’absolu. Depuis la décision du Conseil d’État de 2020, sa licéité s’apprécie au cas par cas, selon les critères de la CNIL. Un refus payant pour un service ordinaire est très difficile à défendre.
Une bannière qui bloque l’accès tant qu’on n’accepte pas est-elle conforme ? Non, en pratique. Sans alternative réelle, le consentement n’est pas libre, et le site s’expose à une mise en demeure ou à une sanction.
Faut-il proposer un tarif payant pour éviter le cookie wall ? Ce n’est pas une obligation. Une bannière centrale avec refus équivalent suffit, à condition que le refus soit réellement appliqué aux traceurs.
