# Les conditions d'un consentement aux cookies valable selon le RGPD

> Checklist pratique des conditions posées par le RGPD pour un consentement aux cookies valable : libre, spécifique, éclairé, univoque, prouvable et facile à retirer.

Source: https://cookiesh.eu/fr/blog/valid-consent-checklist  
Published: 2026-02-03

## Key takeaways

- Selon l'article 4(11) du RGPD, un consentement valable doit être libre, spécifique, éclairé et univoque, et exprimé par un acte positif clair.
- Les cases pré-cochées, le défilement de la page, la poursuite de la navigation et la fermeture du bandeau ne valent pas consentement.
- Refuser les cookies doit être aussi simple que les accepter, et retirer son consentement aussi simple que le donner.
- Chaque finalité, comme la mesure d'audience ou le marketing, doit faire l'objet d'un choix distinct plutôt que d'un oui global.
- L'article 7 vous impose la charge de démontrer qu'un visiteur a réellement consenti.

Selon le RGPD, le consentement aux cookies n'est valable que s'il est libre, spécifique, éclairé et univoque, et exprimé par un acte positif clair, comme un clic sur « Accepter ». Vous devez aussi le recueillir avant que le moindre cookie non essentiel ne s'exécute, rendre le refus aussi simple que l'acceptation, permettre aux personnes de le retirer à tout moment et être en mesure de prouver ce que chacune a choisi. Les cases pré-cochées et les mentions du type « en poursuivant votre navigation, vous acceptez » ne passent pas.

## D'où viennent les conditions d'un consentement valable ?

Elles proviennent de deux articles du RGPD, appliqués aux cookies par l'intermédiaire de la directive ePrivacy. L'article 4(11) définit le consentement, et l'article 7 fixe les conditions que vous devez respecter.

La directive ePrivacy exige un consentement pour les cookies non essentiels, mais emprunte sa définition du consentement au droit européen de la protection des données, c'est-à-dire aujourd'hui au RGPD. Notre article [Directive ePrivacy vs RGPD](/fr/blog/eprivacy-directive-vs-gdpr) explique comment s'opère ce passage de relais.

Deux autres sources déterminent la manière dont ces conditions sont interprétées en pratique. Le Comité européen de la protection des données (CEPD), qui réunit les autorités de protection des données de l'UE, a publié les lignes directrices 05/2020 sur le consentement. Et la Cour de justice de l'Union européenne (CJUE) a appliqué ce standard directement aux cookies dans l'arrêt Planet49 (C-673/17, 2019).

## Quelle est la checklist d'un consentement aux cookies valable ?

Passez votre bandeau en production et votre panneau de paramètres au crible de ces dix critères. Un seul manquement peut fragiliser le consentement que vous recueillez.

1. **Préalable.** Aucun cookie, pixel ou script non essentiel ne s'exécute avant que le visiteur ait fait un choix.
2. **Positif.** Le consentement résulte d'une action délibérée. Les cases pré-cochées, le défilement, la poursuite de la navigation et la fermeture du bandeau ne comptent pas.
3. **Refus équivalent.** « Refuser » figure au même niveau que « Accepter », avec une visibilité et un effort comparables.
4. **Granulaire.** Chaque finalité, comme les préférences, la mesure d'audience ou le marketing, peut être acceptée ou refusée séparément.
5. **Distinct.** Le consentement aux cookies n'est pas noyé dans vos conditions générales d'utilisation ou dans une inscription à une newsletter.
6. **Éclairé.** Les visiteurs voient qui sollicite leur consentement, pour quelles finalités, quels tiers sont impliqués et combien de temps durent les cookies.
7. **Clair.** La demande est formulée en des termes clairs et simples et se distingue clairement des autres questions, comme l'exige l'article 7(2).
8. **Inconditionnel.** L'accès à votre contenu ne dépend pas de l'acceptation de cookies non essentiels.
9. **Révocable.** Les visiteurs peuvent changer d'avis à tout moment, aussi facilement qu'ils ont consenti, conformément à l'article 7(3).
10. **Prouvable.** Vous pouvez démontrer qui a consenti à quoi, quand et via quelle version du bandeau, comme l'exige l'article 7(1).

Les sections suivantes détaillent les quatre conditions de l'article 4(11), qui suscitent le plus de litiges, puis le volet de la conservation des preuves.

## Qu'exclut l'exigence d'un consentement « libre » ?

Le consentement n'est pas libre si le visiteur n'a pas de véritable choix, ou s'il subirait une pression ou une pénalité en cas de refus. Pour les bandeaux cookies, cela exclut trois pratiques courantes.

La première est le cookie wall. Les lignes directrices du CEPD sur le consentement considèrent que subordonner l'accès à un site web à l'acceptation de cookies non essentiels ne permet pas d'obtenir un consentement libre.

La deuxième est le regroupement : un seul interrupteur qui couvre à la fois la mesure d'audience, la publicité et la personnalisation, ou un consentement aux cookies lié à l'acceptation de vos conditions générales.

La troisième est la pression exercée par le design. Un bouton « Tout accepter » bien visible à côté d'un lien « Gérer les paramètres » à peine lisible, ou un parcours de refus qui exige plusieurs clics supplémentaires, poussent les internautes vers le oui. Ces designs sont appelés dark patterns (interfaces trompeuses), et notre guide des [dark patterns dans les bandeaux cookies](/fr/blog/cookie-banner-dark-patterns) recense ceux que les autorités ciblent le plus souvent.

## Quel degré de précision et d'information le consentement exige-t-il ?

Il doit être suffisamment spécifique pour que les visiteurs sachent exactement à quelles finalités ils consentent, et suffisamment éclairé pour qu'ils comprennent qui intervient et pour combien de temps. Des formules vagues comme « pour améliorer votre expérience » ne suffisent pas.

Indiquez au minimum qui vous êtes, chaque finalité concernée, les catégories de cookies en jeu, les tiers qui reçoivent des données et le fait que les personnes peuvent retirer leur consentement. Dans l'arrêt Planet49, la CJUE a ajouté que les utilisateurs doivent être informés de la durée de fonctionnement des cookies et de la possibilité ou non pour des tiers d'y avoir accès.

Une approche à plusieurs niveaux fonctionne bien. Le premier niveau résume les finalités en langage clair à côté des boutons d'acceptation et de refus, tandis qu'un second niveau liste chaque cookie, son fournisseur et sa durée de vie. Tenez ce second niveau à jour, car une liste de fournisseurs obsolète laisse les visiteurs moins bien informés qu'ils ne le pensent.

## Qu'est-ce qu'un acte positif univoque ?

Un acte délibéré qui ne peut signifier que oui, comme cliquer sur un bouton d'acceptation ou activer une finalité puis enregistrer. Tout ce qui repose sur le silence, l'inaction ou un réglage par défaut est insuffisant.

| Action du visiteur | Consentement valable ? | Pourquoi |
| --- | --- | --- |
| Clique sur « Tout accepter » dans un bandeau clair | Oui | Action délibérée et éclairée |
| Active « Mesure d'audience » et enregistre | Oui, pour la mesure d'audience uniquement | Spécifique à la finalité choisie |
| Laisse cochée une case pré-cochée | Non | Planet49 : les cases pré-cochées ne valent pas consentement |
| Fait défiler la page ou poursuit sa navigation | Non | Pas un acte positif selon les lignes directrices du CEPD |
| Ferme le bandeau avec l'icône « X » | Non | Fermer un avis ne vaut pas accord |
| Accepte des conditions générales qui mentionnent les cookies | Non | Ni spécifique ni clairement distinct |

Considérez tout ce qui n'est pas un oui explicite comme une « absence de choix pour l'instant » et laissez les catégories non essentielles désactivées jusqu'à ce qu'un choix soit fait.

## Comment prouver le consentement et gérer son retrait ?

L'article 7(1) vous impose la charge de la preuve, et l'article 7(3) exige que le retrait soit aussi simple que l'octroi du consentement. Ces deux aspects doivent être pensés dès la conception, et non ajoutés après une plainte.

Un enregistrement de consentement utile contient un identifiant de consentement pseudonyme, l'horodatage, le choix pour chaque finalité, les versions du bandeau et de la politique affichées, ainsi que le jeu de règles régional appliqué. Évitez de stocker davantage de données personnelles que ce qu'exige cette preuve. Notre guide sur les [preuves de consentement](/fr/blog/proof-of-consent-records) montre à quoi ressemble un journal prêt pour un audit.

Pour le retrait, prévoyez un lien permanent en pied de page ou un bouton flottant qui rouvre les paramètres. Lorsqu'une personne retire son consentement, arrêtez immédiatement les scripts concernés, supprimez les cookies non essentiels que vous avez déposés lorsque c'est techniquement possible et transmettez le choix mis à jour à tout fournisseur qui reçoit des signaux de consentement.

## En résumé

Un consentement valable repose sur un ensemble de conditions qui doivent toutes être réunies en même temps : préalable, libre, spécifique, éclairé, univoque, prouvable et révocable. Confrontez la checklist à votre site en production plutôt qu'à vos maquettes, car les failles apparaissent généralement dans le comportement réel des balises. Des outils comme Cookiesh peuvent bloquer les scripts balisés jusqu'au consentement et conserver des journaux de consentement immuables et chaînés par hachage, ce qui couvre les aspects mécaniques de cette checklist.

*Cet article est fourni à titre d'information générale et ne constitue pas un avis juridique. Pour toute décision concernant votre situation, consultez un professionnel qualifié de la protection des données.*

## FAQ

### Puis-je utiliser un cookie wall qui bloque le contenu tant que le visiteur n'a pas accepté ?

En général non, si l'acceptation est le seul moyen d'accéder au site. Le CEPD considère que le consentement n'est pas libre lorsque l'accès à un service dépend de l'acceptation de cookies non essentiels. Certaines autorités nationales ont envisagé des alternatives limitées : consultez donc d'abord les recommandations locales.

### À quelle fréquence faut-il redemander le consentement aux visiteurs ?

Le RGPD ne fixe pas de délai unique. Redemandez-le lorsque vos finalités ou vos fournisseurs changent de manière significative, et suivez les recommandations de votre autorité de contrôle sur la durée de conservation de l'acceptation comme du refus. Solliciter à chaque visite les personnes qui ont refusé peut s'apparenter à une pression.

### Le consentement recueilli sur un domaine couvre-t-il mes autres sites web ?

Seulement si les visiteurs ont été clairement informés des sites et des finalités couverts par ce consentement. Le consentement devant être spécifique et éclairé, le réutiliser discrètement sur des domaines ou des marques sans rapport est risqué. De nombreuses organisations le demandent séparément sur chaque site.

### Le consentement reste-t-il valable si ma liste de cookies change ensuite ?

Pas automatiquement. Si vous ajoutez des fournisseurs ou des finalités dont le visiteur n'a jamais été informé, le consentement initial ne les couvre pas. Mettez à jour votre bandeau et redemandez le consentement pour les nouvelles finalités.

## Sources

- [Regulation (EU) 2016/679 (GDPR), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj)
- [EDPB Guidelines 05/2020 on consent](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en)
- [CJUE, affaire C-673/17 (Planet49)](https://curia.europa.eu/juris/liste.jsf?num=C-673/17)