1. La loi ne parle pas de « cookies »

C’est le premier malentendu, et il explique presque tous les autres.

Le texte applicable en France est l’article 82 de la loi Informatique et Libertés, qui transpose la directive ePrivacy. Il ne mentionne pas les cookies. Il encadre le fait « d’accéder à des informations déjà stockées dans l’équipement terminal de l’utilisateur, ou d’y inscrire des informations ».

Cette formulation change tout :

• Le localStorage, le sessionStorage, les pixels de suivi, le fingerprinting — tout est concerné, y compris les techniques qui n’utilisent aucun cookie.
• La distinction interne / tiers n’est pas le critère juridique. Un cookie déposé par votre propre domaine à des fins de mesure d’audience exige un consentement. Un cookie tiers strictement nécessaire — la répartition de charge d’un CDN, par exemple — n’en exige aucun.

Ce qui détermine l’obligation, c’est la finalité du traceur. Pas sa provenance, pas son nom, pas sa durée.

2. Trois catégories, et non deux

Un point mérite d’être souligné, car il déçoit beaucoup de monde : Google Analytics 4 n’entre pas dans la deuxième catégorie. Google refuse de se positionner en simple sous-traitant renonçant à toute réutilisation des données, ce qui disqualifie l’exemption. GA4 exige donc un consentement préalable, sans exception.

À l’inverse, une solution comme Matomo auto-hébergée et correctement configurée peut bénéficier de l’exemption. C’est l’argument principal de ses défenseurs, et il est solide.

3. Ce que la loi exige exactement de votre bandeau

Le consentement doit être libre, spécifique, éclairé, univoque, et pouvoir être retiré aussi facilement qu’il a été donné. La CNIL en tire cinq obligations concrètes.

Il doit être préalable. Aucun traceur non exempté ne se dépose avant le clic. Poursuivre sa navigation ou faire défiler la page ne vaut pas consentement — cette pratique a été abandonnée depuis longtemps, mais on la croise encore.

Refuser doit être aussi simple qu’accepter. Même niveau de lecture, même visibilité, même nombre de clics. C’est le manquement le plus fréquemment sanctionné, et de loin. Un bouton « Tout accepter » bien visible face à un lien « Paramétrer » en gris clair ne passe pas.

Le choix doit être granulaire. J’y reviens au point suivant, car c’est la question qui revient le plus souvent.

Vous devez pouvoir en apporter la preuve. Un registre des consentements, tenu automatiquement par votre extension.

Le retrait doit rester accessible. Un lien permanent ou une icône flottante permettant de rouvrir ses préférences à tout moment.

4. Faut-il proposer un choix service par service ?

C’est la question qui bloque le plus de monde, et la réponse est plus souple qu’on ne le croit.

La loi exige une granularité par finalité, pas par cookie ni par service.

Vous devez proposer des catégories distinctes, activables indépendamment les unes des autres : mesure d’audience, publicité ciblée, réseaux sociaux, personnalisation. Un visiteur doit pouvoir accepter les statistiques tout en refusant la publicité. C’est cela, un consentement « spécifique ». Un bouton global « Tout accepter » reste autorisé — en complément, jamais en remplacement.

En revanche, l’obligation d’information, elle, se situe bien au niveau du service. Votre politique cookies doit lister chaque traceur avec son nom, sa finalité, sa durée de conservation et son destinataire. D’où les longs tableaux que génèrent les extensions spécialisées.

Consulter la liste et pouvoir cocher chaque ligne sont deux choses différentes. Le réglage service par service est une bonne pratique, pas une obligation — sauf dans l’univers publicitaire programmatique, où le framework IAB TCF l’impose de fait.

5. Le vrai travail technique : le blocage préalable

Voici le point que la plupart des sites manquent, et il rend tout le reste inutile lorsqu’il est raté.

Un bandeau qui s’affiche pendant que Google Analytics, YouTube et Google Fonts se sont déjà chargés n’a aucune valeur juridique. Vous supportez la contrainte visuelle et le risque de sanction, sans le moindre bénéfice.

Une plateforme de gestion du consentement (CMP) digne de ce nom fait deux choses :

1. Elle neutralise les scripts avant leur exécution, généralement en réécrivant <script src="..."> en <script type="text/plain" data-service="..."> — un type MIME que le navigateur refuse d’exécuter.
2. Elle les réinjecte au moment précis où l’utilisateur accepte la catégorie correspondante.

Le parcours complet ressemble donc à ceci :

1. Le visiteur arrive. Aucun traceur n’est déposé.
2. Le bandeau s’affiche. Les scripts sont bloqués et tous les signaux de consentement sont positionnés sur « refusé ».
3. Le visiteur refuse → rien ne se charge, et la navigation se poursuit normalement.
4. Le visiteur accepte → les signaux passent à « accordé », les scripts sont libérés, la mesure démarre.

6. Le Consent Mode v2 : ce que c’est réellement

C’est ici que la confusion atteint son sommet. Le Consent Mode n’est pas un bandeau, et il ne remplace pas un bandeau. C’est un protocole de communication entre votre CMP et les balises Google.

Sans lui, la logique est binaire : la balise se charge, ou elle ne se charge pas. Avec lui, la balise consulte quatre variables avant d’agir :

Techniquement, cela se traduit par un appel gtag('consent', 'default', {...}) positionnant tout sur denied avant le chargement de la bibliothèque Google, suivi d’un gtag('consent', 'update', {...}) déclenché par le clic de l’utilisateur.

Basic ou Advanced : un choix qui a des conséquences juridiques

Le mode Basic ne charge pas la balise tant que le consentement n’a pas été donné. Aucune requête ne part vers Google. C’est la lecture la plus prudente au regard des positions de la CNIL.

Le mode Advanced charge la balise dès l’arrivée du visiteur et envoie des signaux sans cookie même en cas de refus : horodatage, agent utilisateur, adresse IP, page consultée. Google s’en sert pour modéliser statistiquement les conversions manquantes. Le gain analytique est réel, mais la conformité est discutée — une adresse IP demeure une donnée personnelle, et l’exemption de consentement ne couvre pas cela.

Pour un site vitrine, le mode Basic constitue le choix par défaut raisonnable. Le mode Advanced se justifie surtout lorsque des budgets Google Ads significatifs sont en jeu.

Pourquoi c’est devenu obligatoire

Depuis mars 2024, en l’absence de signaux Consent Mode, Google cesse purement et simplement de traiter les données publicitaires en provenance de l’Espace économique européen. Attention : il ne s’agit pas d’une exigence de la CNIL, mais d’une exigence contractuelle de Google. Deux régimes distincts qui, en l’occurrence, pointent dans la même direction.

7. Et concrètement, sur un site WordPress ?

L’intuition la plus répandue est la bonne : un nombre considérable d’éléments déposent des traceurs, souvent à l’insu de l’administrateur du site.

Généralement exemptés : les cookies de session et d’authentification de WordPress (wordpress_logged_in_*, wp-settings-*), le panier WooCommerce, la plupart des extensions de cache.

Nécessitent un consentement, et sont régulièrement oubliés :

• Une vidéo YouTube ou Vimeo intégrée — elle dépose des cookies au chargement de la page, avant même toute lecture. Le domaine youtube-nocookie.com limite la casse, mais ne dispense pas du blocage préalable.
• Google Fonts appelées depuis les serveurs de Google. Les héberger localement est trivial et règle définitivement le problème.
• Google Maps, reCAPTCHA, les avatars Gravatar, les boutons de partage social, les bibliothèques d’icônes servies par CDN.
• Certains constructeurs de pages, qui chargent des ressources tierces sans l’annoncer.
• La case « mémoriser mon nom et mon adresse email » du formulaire de commentaires — acceptable précisément parce qu’elle est décochée par défaut, ce qui en fait un consentement explicite.

Trois vérifications à effectuer

Lancez un scan de cookies. La plupart des CMP sérieuses le font automatiquement et produisent l’inventaire nécessaire à votre politique de confidentialité.

Auditez l’onglet Réseau de votre navigateur, en navigation privée, avant de cliquer sur le bandeau. Tout appel sortant vers un domaine tiers à ce stade est un problème de conformité.

Installez l’extension WP Consent API. Elle sert de langage commun entre votre CMP et les autres extensions, ce qui évite qu’elles s’ignorent mutuellement.

8. Ce qui est en train de changer

Le cadre juridique est en cours de réécriture — mais rien n’est applicable à ce jour.

Le projet de règlement ePrivacy, qui devait remplacer la directive de 2002, a été officiellement retiré en février 2025 après huit années d’enlisement. La base juridique des cookies reste donc la directive de 2002 transposée à l’article 82.

Son remplaçant, la proposition dite « Digital Omnibus » présentée en novembre 2025, fait basculer les règles de consentement directement dans le RGPD, via deux nouveaux articles. L’article 88a restructure le consentement à l’accès à l’équipement terminal ; l’article 88b rendrait juridiquement contraignants les signaux de consentement exprimés au niveau du navigateur.

Trois évolutions méritent l’attention :

• Le refus devrait pouvoir s’exprimer en un seul clic.
• Un site ne pourrait plus resolliciter un utilisateur ayant refusé, pour la même finalité, pendant au moins six mois.
• Surtout, l’article 88a §3 c) créerait une exemption de consentement à l’échelle européenne pour la mesure d’audience réalisée en propre — la voie la plus crédible, à ce jour, vers une analytique sans bandeau dans les vingt-sept États membres.

Il s’agit toutefois d’une proposition de la Commission, pas d’une loi. Le Parlement européen ne s’est pas encore prononcé en séance plénière, le CEPD et le CEPD-EDPS ont exprimé de sérieuses réserves quant au niveau de protection individuelle, et le texte est en négociations de trilogue.

Conclusion pratique : ne modifiez rien à votre configuration par anticipation. Et gardez à l’esprit que même si l’exemption est adoptée, elle viserait la mesure d’audience en propre — ce que GA4 n’est pas, puisque les données transitent chez Google. Si l’objectif est de se passer un jour du bandeau, la trajectoire réaliste s’appelle Matomo auto-hébergé.

En résumé

• La réglementation vise l’accès au terminal, pas les cookies en tant que tels.
• Le critère décisif est la finalité, pas la provenance du traceur.
• Le consentement doit être préalable, granulaire par finalité, aussi facile à refuser qu’à accorder, prouvable et révocable.
• Le choix service par service est une bonne pratique, pas une obligation.
• Sans blocage préalable des scripts, un bandeau ne sert strictement à rien.
• Le Consent Mode v2 est un protocole technique imposé par Google : il complète le bandeau, il ne s’y substitue pas.
• Le cadre évolue en 2026, mais aucune de ces évolutions n’est encore applicable.

Cet article présente le cadre applicable à la date de sa publication et n’a pas valeur de conseil juridique. Pour un site traitant des données sensibles ou opérant à grande échelle, l’accompagnement d’un professionnel de la protection des données reste recommandé.

En PRATIQUE, JE METS MON BANDEAU COMMENT ?

Pour gérer tout cela techniquement, il existe des solutions plus ou moins facile à mettre en oeuvre, souvent payantes, et la quasi totalité exigent la création d’un compte. Une exception, Tarteaucitron.io, solution française, qui propose une version gratuite et open source mais qui est manuelle et chronophage.

Chez Yumigo, on a créé un plugin avec un assistant qui embarque cette version gratuite et sans compte, qui fait tout le travail à votre place. Le beurre et l’argent du beurre, sans bourse délier. Nous vous offrons ce plugin avec plaisir, il suffit de nous le demander via notre formulaire de contact. Nous ne le publions pas sur l’annuaire des plugins pour ne pas pénaliser le modèle économique de Tarteaucitron.io qui fait du bon boulot.