Cookies et RGPD sur son site web : le guide de mise en conformité pour les TPE-PME en 2026

En 2025, la CNIL a prononcé 486 839 500 euros de sanctions cumulées, un record historique porté en grande partie par des manquements sur les cookies et traceurs. Vingt et un organismes ont été sanctionnés sur ce seul motif, dont deux acteurs majeurs à 325 millions et 150 millions d'euros. Mais l'idée reçue selon laquelle seules les grandes entreprises seraient concernées ne tient plus : 32 % des sociétés contrôlées par la CNIL en 2025 étaient des TPE ou des PME, et depuis janvier 2026, 23 sanctions ont déjà visé des cookies non conformes en procédure simplifiée, pour une amende moyenne de 5 815 euros par dossier.

La raison de cette montée en puissance est technique autant que réglementaire : la CNIL utilise désormais un outil de crawl automatisé qui visite les sites web français en continu pour vérifier la présence d'un bandeau de consentement, la possibilité de refuser aussi facilement que d'accepter, et l'absence de dépôt de cookies avant tout recueil du consentement. Un site vitrine, une boutique en ligne ou un simple formulaire de contact peuvent être contrôlés sans intervention humaine. Voici la méthode complète pour mettre votre site en conformité en 2026, étape par étape.

Ce que dit la réglementation en 2026

Le cadre applicable aux cookies repose sur le RGPD et la directive ePrivacy, transposée en France par l'article 82 de la loi Informatique et Libertés. Trois principes structurent l'ensemble des obligations.

Un consentement libre, éclairé, univoque et préalable

Aucun cookie non essentiel (mesure d'audience non exemptée, publicité, réseaux sociaux, cartes intégrées) ne peut être déposé avant que le visiteur ait donné son accord explicite. Les cookies strictement nécessaires au fonctionnement du site (panier, connexion, préférences de langue) échappent seuls à cette obligation.

Le refus doit être aussi simple que l'acceptation

C'est le point le plus souvent sanctionné : un bouton "Tout accepter" bien visible, associé à un refus caché derrière plusieurs clics ou un lien discret en petits caractères, constitue à lui seul un motif de sanction. La CNIL exige un bouton de refus au même niveau visuel que le bouton d'acceptation, sans case pré-cochée et avec un choix par finalité (mesure d'audience, publicité, réseaux sociaux).

Une durée de conservation encadrée

Le consentement (ou le refus) doit être renouvelé au maximum tous les 13 mois, et la preuve de son recueil doit être conservée au moins 6 mois pour pouvoir être présentée en cas de contrôle.

Les erreurs les plus fréquentes sur les sites de TPE-PME

La majorité des sanctions en procédure simplifiée sanctionnent des défauts techniques simples à corriger :

• Des cookies déposés avant tout consentement, souvent via des scripts tiers (vidéo, carte, chat) intégrés sans passer par l'outil de gestion du consentement.
• Un refus plus difficile que l'acceptation : bouton "Refuser" absent du premier niveau, ou nécessitant de décocher manuellement chaque finalité.
• L'absence de politique de confidentialité à jour, ou une politique qui ne mentionne pas les sous-traitants réels utilisés (hébergeur, outil d'e-mailing, CRM, solution d'avis clients).

Sur ce dernier point, la vigilance doit aussi porter sur les outils utilisés en interne : notre guide sur l'IA et le RGPD en TPE-PME détaille les mêmes exigences de conformité appliquées aux outils d'intelligence artificielle.

La méthode en 6 étapes pour mettre votre site en conformité

1. Auditer les cookies réellement déposés. Ouvrez votre site en navigation privée et listez chaque cookie posé avant tout clic, à l'aide des outils de développement du navigateur ou d'un scanner de cookies. C'est la première étape d'un audit de site plus large, utile même en dehors d'un projet de refonte.
2. Choisir une plateforme de gestion du consentement (CMP) reconnue par la CNIL, comme Axeptio, Didomi ou tarteaucitron.js pour les sites plus techniques. Le choix dépend du volume de trafic, du budget et du niveau de personnalisation souhaité, au même titre que le choix d'un nom de domaine ou d'un hébergeur au lancement du site.
3. Configurer un choix par finalité (mesure d'audience, publicité, réseaux sociaux, vidéos) avec un bouton de refus visible au même niveau que le bouton d'acceptation, sans case pré-cochée.
4. Bloquer les scripts tiers tant que le consentement n'est pas donné, y compris les intégrations de vidéos, cartes et widgets de chat qui échappent souvent à ce contrôle.
5. Mettre à jour la politique de confidentialité avec la liste réelle des sous-traitants, les finalités de chaque traitement et les durées de conservation, et vérifier qu'un contrat de sous-traitance (DPA) existe avec chaque prestataire (hébergeur, CRM, outil d'e-mailing).
6. Documenter la preuve du consentement : date, choix effectué, version du bandeau affichée, conservée au moins 6 mois pour répondre à un éventuel contrôle.

Cette démarche rejoint la logique d'un projet de refonte de site sans perte de référencement : la conformité cookies se prépare en amont, pas en urgence après un premier avertissement de la CNIL.

Combien coûte réellement la non-conformité

Les montants varient fortement selon la taille de l'entreprise et la gravité du manquement. En procédure simplifiée, la moyenne constatée depuis janvier 2026 est de 5 815 euros par dossier, avec un total de 133 750 euros sur 23 sanctions liées aux cookies. Pour les manquements plus graves, la CNIL peut prononcer des amendes allant jusqu'à 2 % du chiffre d'affaires mondial pour un manquement à l'article 82, et jusqu'à 4 % ou vingt millions d'euros en cas de violation concomitante du RGPD, comme l'illustrent les sanctions de 325 millions d'euros contre Google et 150 millions d'euros contre Shein en 2025.

Au-delà du montant financier, un contrôle CNIL entraîne une mise en demeure publique, un délai de mise en conformité sous surveillance et, pour une TPE-PME, un signal de confiance négatif auprès de ses clients au moment où les obligations légales des sites web se multiplient déjà (accessibilité numérique, mentions légales, CGV).

Qui est responsable : agence web, éditeur de CMP ou entreprise ?

La responsabilité juridique reste celle de l'entreprise éditrice du site, en tant que responsable de traitement, même lorsque la conception a été confiée à une agence. Trois répartitions concrètes permettent d'éviter les zones grises :

• L'agence web intègre techniquement la CMP, configure le blocage des scripts tiers et documente les choix effectués lors de la livraison du site.
• L'éditeur de la CMP garantit la conformité de son outil (interface, journalisation du consentement) mais n'est pas responsable du paramétrage effectué par le site.
• L'entreprise valide la liste des cookies réellement utilisés, tient à jour sa politique de confidentialité et s'assure que chaque nouveau prestataire (outil marketing, avis clients, chat) passe par une revue de conformité avant intégration.

Cette clarification des rôles dès la conception ou la refonte du site évite les découvertes tardives lors d'un contrôle. Notre équipe intègre systématiquement cette dimension dans nos projets de création de site internet, pour livrer un site conforme dès sa mise en ligne plutôt que de devoir le corriger après coup. Vous pouvez consulter des exemples de sites livrés conformes dans nos réalisations.

Questions fréquentes

Un site vitrine sans boutique en ligne doit-il aussi afficher un bandeau cookies ?

Oui, dès qu'il dépose des cookies non exemptés, par exemple un outil de mesure d'audience non anonymisé, une carte Google Maps intégrée ou un bouton de réseau social. Seuls les cookies strictement nécessaires au fonctionnement technique du site échappent à cette obligation.

Quelle est la durée de validité d'un consentement aux cookies ?

La CNIL recommande une durée maximale de 13 mois, à l'issue de laquelle le bandeau doit être présenté à nouveau au visiteur. La preuve du consentement (ou du refus) doit quant à elle être conservée au moins 6 mois.

Un outil de mesure d'audience comme Google Analytics nécessite-t-il un consentement ?

Dans sa configuration par défaut, oui. Seules certaines configurations respectant des critères stricts d'anonymisation et de finalité statistique, listées par la CNIL, peuvent être exemptées de consentement préalable. En cas de doute, le plus sûr reste de soumettre l'outil au consentement.

Que risque une TPE qui n'a jamais été contrôlée mais reste non conforme ?

Le contrôle automatisé de la CNIL fonctionne par crawl continu et ne dépend pas d'une plainte préalable. L'absence de contrôle à ce jour n'est donc pas une garantie : la mise en conformité doit être anticipée plutôt que traitée après réception d'une mise en demeure.

Faut-il refaire tout le site pour se mettre en conformité ?

Non, dans la grande majorité des cas une intervention ciblée suffit : installation ou reconfiguration de la CMP, blocage des scripts tiers, mise à jour de la politique de confidentialité. Une refonte complète n'est nécessaire que si le site présente par ailleurs d'autres problèmes structurels, comme évoqué dans notre guide sur l'audit avant refonte.

Pour évaluer la conformité actuelle de votre site ou préparer sa mise à jour, notre équipe reste disponible via la page contact.