Pas de bandeau cookies sans risque RGPD : la doctrine CNIL 2026

Oui, un site peut tourner sans bandeau cookies et rester parfaitement conforme au RGPD. La condition tient en une phrase : ne déposez aucun traceur qui exige le consentement. Pas de publicité ciblée, pas de réseaux sociaux embarqués qui pistent, pas de mesure d’audience qui sort du cadre d’exemption de la CNIL. Si vous respectez ça, le bandeau n’est pas allégé, il devient inutile.

Je déploie cette configuration sur la quasi-totalité de mes livraisons depuis 2022, dont ce site, urgenceserrures.fr et plombiersidf.fr. Zéro bandeau, zéro fenêtre modale qui masque le contenu à l’arrivée, et des statistiques de fréquentation que je consulte tous les jours. La CNIL ne l’interdit pas. Elle le dit même explicitement. Voici la doctrine exacte, ce qui a changé au 1er janvier 2026, et la stack que j’utilise chez mes clients pour rester conforme sans sacrifier un point de conversion.

La règle exacte : quand le bandeau est obligatoire, quand il ne l’est pas

Le bandeau de consentement ne découle pas du RGPD seul, mais de l’article 82 de la loi Informatique et Libertés, qui transpose la directive ePrivacy. Cet article impose le consentement avant tout accès ou inscription d’information dans le terminal de l’internaute, sauf deux exceptions précises.

La première exception couvre les traceurs strictement nécessaires à la fourniture du service expressément demandé : le cookie de session qui garde un panier, le jeton qui mémorise une connexion, la préférence de langue. La seconde exception couvre certains traceurs de mesure d’audience, sous conditions strictes que je détaille plus bas.

La CNIL est limpide sur ce point dans sa page officielle « que dit la loi ? » : les traceurs qui ne servent qu’au fonctionnement du site ou à une mesure d’audience exemptée n’ont pas besoin de consentement, donc pas de bandeau. Le bandeau ne devient obligatoire que dès l’instant où vous posez un traceur non exempté : un pixel publicitaire, un bouton de partage social qui piste, une carte interactive tierce qui dépose ses propres cookies, ou un Google Analytics standard.

La conséquence est nette. Le bandeau n’est pas une obligation de principe attachée à tout site web. C’est la conséquence d’un choix technique. Choisissez une stack qui ne dépose rien de consentable, et la question du bandeau disparaît à la racine.

Le bandeau coûte cher, en argent et en conversion

Beaucoup d’entreprises gardent un bandeau « par sécurité », en croyant se couvrir. C’est un raisonnement à l’envers, pour deux raisons.

D’abord, un bandeau mal conçu est lui-même une source de sanction. Le 6 janvier 2022, la CNIL a sanctionné Google à hauteur de 150 millions d’euros et Facebook à hauteur de 60 millions d’euros, précisément parce que refuser les cookies y était plus difficile que les accepter. Il fallait cinq clics pour tout refuser chez Google et trois chez Facebook, contre un seul clic pour tout accepter. La CNIL a assorti sa décision d’une injonction de mise en conformité sous trois mois, sous astreinte de 100 000 euros par jour de retard. Poser un bandeau ne vous protège pas : un bandeau non conforme vous expose à une sanction que vous n’auriez pas eue sans traceur du tout.

Ensuite, le bandeau détruit de la conversion. Une fenêtre modale qui s’ouvre dès l’arrivée masque le contenu, ralentit le premier rendu utile, et force un arbitrage mental avant même que le visiteur ait lu votre proposition. Sur les sites métier que je gère en Île-de-France, où le trafic mobile dépasse 70 %, chaque friction ajoutée à l’arrivée se paie en taux de rebond. Quand j’ai retiré le bandeau d’un site de services qui en avait hérité d’un ancien prestataire, le délai avant première interaction a baissé et le formulaire de contact a gagné en visibilité immédiate. Le bandeau le plus performant en conversion, c’est celui qui n’existe pas.

Les quatre conditions CNIL pour mesurer son audience sans bandeau

La mesure d’audience est le cas le plus utile, parce que toute PME veut savoir d’où vient son trafic. La CNIL prévoit une exemption de consentement, mais elle est encadrée par quatre conditions cumulatives. Il suffit qu’une seule tombe pour que le consentement redevienne obligatoire.

1. La finalité est strictement limitée à la mesure d’audience du site : mesurer les performances, détecter des problèmes de navigation, optimiser l’ergonomie ou dimensionner les serveurs.
2. Les données produites sont des statistiques anonymes, exploitées pour le seul compte de l’éditeur du site.
3. Aucun recoupement des données avec d’autres traitements, et aucune transmission de données non anonymes à des tiers.
4. Aucun suivi global de la personne d’une application ou d’un site à l’autre.

C’est là que Google Analytics échoue. L’outil croise les données entre services Google et alimente un écosystème publicitaire, ce qui le sort mécaniquement du cadre d’exemption. À l’inverse, des outils comme Matomo correctement configuré, ou une analytics sans cookie comme Plausible, restent dans le périmètre. Dans ma pratique, je préfère l’option qui ne dépose aucun cookie du tout, parce qu’elle ferme le débat avant même de l’ouvrir.

Ce qui change au 1er janvier 2026 : la liste CNIL disparaît

Voici le point que beaucoup de prestataires n’ont pas encore intégré. Jusqu’en 2025, la CNIL tenait un programme d’évaluation public : un éditeur de solution analytics pouvait faire auditer son outil et figurer sur une liste officielle des solutions reconnues comme configurables pour l’exemption. C’était une béquille pratique, on pointait la liste et le débat était clos.

Le 4 juillet 2025, la CNIL a publié de nouvelles règles, à appliquer au plus tard le 1er janvier 2026. Le programme d’évaluation officiel est remplacé par un outil d’auto-évaluation mis à disposition des fournisseurs de solutions, et la liste publique des outils évalués a disparu le 1er janvier 2026.

La conséquence est lourde de sens. La charge de la preuve bascule entièrement sur l’éditeur du site et son prestataire. En cas de contrôle, vous ne pouvez plus invoquer une liste CNIL : vous devez démontrer vous-même que votre configuration respecte les quatre conditions. Pour une PME sans juriste interne, c’est un risque opérationnel réel. Et c’est exactement l’argument qui fait pencher la balance vers une analytics sans cookie : si l’outil ne dépose rien et ne collecte aucune donnée personnelle, il n’y a même pas de dossier d’exemption à constituer, parce qu’on est en dehors du champ de l’article 82.

Ma recommandation concrète : analytics sans cookie

Chez mes clients, je déploie Plausible. C’est l’outil que j’utilise sur ce site et sur mes sites métier. Plausible ne dépose aucun cookie, ne collecte aucune donnée personnelle, n’utilise pas d’identifiant persistant, et ne piste personne d’un site à l’autre, comme le détaille sa politique de données publique. Conséquence directe : pas de consentement requis, donc pas de bandeau, et rien à prouver à la CNIL puisque le traitement sort du périmètre du consentement.

La mise en place est légère. Une seule balise de script dans le <head>, un poids négligeable au regard de mon objectif de page sous 500 Ko, et un tableau de bord qui me donne les sources de trafic, les pages vues et les conversions sans jamais toucher à de la donnée nominative. Sur une stack statique comme Astro déployée sur Netlify, l’intégration prend dix minutes et n’ajoute aucune dépendance lourde.

Pour qui veut héberger ses propres statistiques en Europe, Matomo en mode sans cookie ou auto-hébergé fait le même travail. Le principe reste le même : on choisit un outil qui n’a pas besoin de consentement, et le bandeau devient une question qui ne se pose pas.

Google Analytics, le faux ami

Si vous tenez à Google Analytics, sachez ce que vous gardez avec. Le 10 février 2022, la CNIL a mis en demeure un gestionnaire de site web français d’arrêter d’utiliser Google Analytics, au motif que les transferts de données vers les États-Unis n’étaient pas conformes au RGPD. La saisine remontait à des plaintes déposées le 19 août 2020 par l’association NOYB. La CNIL a laissé un délai d’un mois pour cesser l’usage de l’outil ou passer à une solution sans transfert hors de l’Union.

Google Analytics cumule donc deux problèmes : il impose un bandeau parce qu’il dépose des cookies non exemptés, et il pose une question de transfert de données qu’un bandeau ne résout pas. Vous payez le coût de conversion du consentement sans gagner la tranquillité juridique. C’est le pire des deux mondes. Je l’ai retiré de tous les sites dont j’ai repris la maintenance.

La réponse tient en une décision technique

Un site sans bandeau cookies est conforme au RGPD à une condition : ne déposer aucun traceur qui exige le consentement. La mesure d’audience est possible sans bandeau si elle respecte les quatre conditions de la CNIL, ou plus simplement si vous utilisez un outil sans cookie comme Plausible, qui sort du champ du consentement. Depuis le 1er janvier 2026, la CNIL a supprimé sa liste publique de solutions évaluées : la charge de prouver l’exemption pèse désormais sur vous, ce qui rend l’analytics sans cookie d’autant plus rationnelle. Garder un bandeau « par sécurité » n’est pas une protection : un bandeau non conforme expose à une sanction, et un bandeau conforme coûte de la conversion. Le meilleur bandeau reste celui qu’on n’a pas à afficher.

Ce qu’il faut retenir

• Le bandeau de consentement n’est obligatoire que si votre site dépose des traceurs non exemptés ; sinon, le RGPD ne l’exige pas.
• La CNIL exempte la mesure d’audience de consentement sous quatre conditions cumulatives, dont l’absence de recoupement et de pistage inter-sites.
• Depuis le 1er janvier 2026, la liste publique des solutions évaluées par la CNIL a disparu, et c’est à vous de prouver votre conformité en cas de contrôle.
• Une analytics sans cookie comme Plausible ne dépose rien, ne collecte aucune donnée personnelle, et supprime la question du bandeau à la racine.
• Google Analytics impose un bandeau et n’a pas résolu la question des transferts hors UE pointée par la CNIL en février 2022.
• Un bandeau non conforme est une source de sanction à part entière : la CNIL a infligé 150 et 60 millions d’euros à Google et Facebook en janvier 2022 pour un refus rendu trop difficile.