Un cookie peut-il être déposé avant le consentement ?
Seulement s’ils sont strictement nécessaires : pour un panier, une connexion ou le choix du visiteur lui-même. Tout le reste, comme Hotjar, le pixel Meta ou TikTok, seulement après que votre visiteur a dit « oui ». Un bandeau cookies ne suffit donc pas : les traceurs doivent aussi attendre que le choix soit fait.
- Le pixel Meta se charge avant le consentementArt. 82 loi Informatique et Libertés
Art. 82 loi Informatique et Libertés
Vérifié à la source le 27 septembre 2026.
Pour qui
Tout le monde avec un site, sans seuil : un entrepreneur individuel aussi, et un site sans boutique aussi. Il ne s’agit pas seulement des cookies, mais de tout ce qui enregistre ou lit des informations sur l’appareil du visiteur, donc aussi le stockage local et les pixels de suivi.
- Moi seul
- S’applique à vousMême si vous travaillez seul : la règle ne connaît pas de seuil.
- 2 à 9
- S’applique à vousOui. La règle ne connaît pas de seuil.
- 10 ou plus
- S’applique à vousOui. La règle ne connaît pas de seuil.
Ce que dit la loi
Art. 82 loi Informatique et Libertés
Enregistrer des informations sur l’appareil d’un visiteur, ou y accéder, n’est permis qu’après qu’il a été informé de façon claire et complète, et qu’il a donné son consentement.
Art. 82, exceptions
Sans consentement, seul est permis ce qui est strictement nécessaire à un service expressément demandé par le visiteur. La CNIL admet aussi certains outils de mesure d’audience, à des conditions strictes : un usage limité à la mesure, pour le seul compte de l’éditeur du site, et uniquement des statistiques anonymes. Un outil d’analyse dans ses réglages par défaut les remplit rarement.
Art. 4, 11) RGPD
Le consentement doit être libre, spécifique, éclairé et univoque. Une case précochée n’en est pas un, et selon la CNIL, poursuivre sa navigation non plus.
Art. 7, 3) RGPD
Retirer son consentement doit être aussi simple que le donner. Un bandeau avec un seul bouton « accepter », ou un bouton « refuser » caché trois clics plus loin, n’en tient pas compte.
Art. 5, 3) directive 2002/58/CE
L’article 82 transpose la directive européenne « vie privée et communications électroniques ». La même règle vaut donc, pour l’essentiel, dans toute l’Union.
Vérifier vous-même, en cinq minutes
- Ouvrez votre site dans une fenêtre de navigation privée, pour que votre propre choix antérieur ne compte pas.
- Ne cliquez encore sur rien. Ouvrez les outils de développement de votre navigateur (F12), l’onglet Application ou Stockage, et regardez quels cookies sont déjà là.
- Cherchez des noms dont vous n’avez pas besoin vous-même : _ga et _gid (Google Analytics), _fbp (Meta), _hjSession (Hotjar), _ttp (TikTok). S’ils sont là avant votre choix, c’est le constat.
- Vérifiez que le bandeau a un bouton pour refuser, aussi visible que celui pour accepter.
- Cliquez sur refuser, rechargez la page et regardez à nouveau : les cookies de suivi doivent toujours être absents.
Ce que notre analyse voit
- Quels cookies étaient présents avant que votre visiteur choisisse, et de quel service ils viennent.
- Quels traceurs envoient déjà des requêtes avant ce choix, même s’ils n’enregistrent rien.
- Ce qui figure dans le stockage local et le stockage de session.
- S’il y a un bandeau de consentement, et s’il a un bouton pour refuser.
Ce que notre analyse ne voit pas
- Si un cookie est vraiment strictement nécessaire : cela dépend de ce à quoi il sert.
- Si votre outil de mesure d’audience est configuré pour relever de l’exemption.
- Ce qui se passe après qu’un visiteur a cliqué sur accepter : nous ne cliquons sur rien.
- Si votre politique cookies est complète et exacte.
Qui contrôle
La CNIL, qui a déjà sanctionné plusieurs grands sites parce que refuser les cookies y était plus difficile qu’accepter. Les autorités peuvent mesurer cela avec des logiciels : le Contrôleur européen de la protection des données publie même son propre outil d’inspection.
Questions
Un bandeau cookies suffit-il ?
Non. Le bandeau demande le consentement ; les traceurs doivent aussi l’attendre. Si Hotjar se charge déjà pendant que le bandeau est ouvert, le bandeau ne sert à rien.
Google Analytics peut-il fonctionner sans consentement ?
Seulement s’il remplit les conditions de l’exemption pour la mesure d’audience, ce que ses réglages par défaut ne font pas. Faites-le vérifier par qui l’a installé. Nous le signalons quand il se charge avant le consentement, en précisant que l’exemption peut s’appliquer.
Cela vaut-il aussi sans boutique en ligne ?
Oui. La règle concerne tout site qui enregistre ou lit quelque chose sur l’appareil d’un visiteur, y compris un site vitrine ou un blog.
Lire le texte
- Loi Informatique et Libertés, article 82 (s’ouvre dans un nouvel onglet)
La règle sur les cookies et autres traceurs, sur Légifrance.
- CNIL, cookies et autres traceurs (s’ouvre dans un nouvel onglet)
Les règles expliquées par l’autorité elle-même.
- Règlement (UE) 2016/679, le RGPD (s’ouvre dans un nouvel onglet)
Ce qu’est le consentement (article 4) et comment le retirer (article 7).
Voyez où en est votre site
L’analyse gratuite mesure cette règle et les quatre autres en une fois, depuis une adresse européenne, sans cliquer sur rien.