Bandeau cookies WordPress : conforme CNIL, pas seulement affiché

Qu'est-ce qu'un bandeau cookies conforme — et pourquoi il est obligatoire

En droit français, la règle de base tient en une phrase : le dépôt d'un cookie non strictement nécessaire suppose le consentement préalable de l'internaute. Elle vient de l'article 82 de la loi Informatique et Libertés (transposition de la directive ePrivacy), précisée par les lignes directrices et la recommandation « cookies et autres traceurs » de la CNIL du 17 septembre 2020. « Préalable » est le mot qui compte : le consentement doit exister avant le dépôt, pas après.

Le bandeau cookies est l'interface qui recueille ce consentement. Conforme, il coche quatre cases : il informe (qui dépose quoi, pourquoi), il permet un vrai choix (accepter, refuser, personnaliser), il empêche techniquement le dépôt tant qu'on n'a pas choisi, et il conserve la preuve du choix. Un bandeau qui informe mais laisse les cookies se déposer quand même n'est pas un bandeau conforme : c'est une décoration.

Les 3 exigences CNIL, non négociables

Le vrai test : le blocage des scripts avant consentement

C'est là que 8 bandeaux sur 10 échouent. La question n'est pas « ai-je une bannière ? » mais « mes scripts tiers sont-ils vraiment bloqués tant que le visiteur n'a pas cliqué ? ». Les suspects habituels sur WordPress :

• Google Analytics / GA4 — cookies _ga, _ga_*. Souvent injecté par un plugin SEO ou le thème, hors du contrôle du bandeau.
• Meta (Facebook) Pixel — cookie _fbp. Fréquent sur les sites qui font de la pub Facebook/Instagram.
• Vidéos YouTube / Vimeo embarquées — chaque iframe pose des cookies dès l'affichage de la page, avant même un clic sur « lecture ».
• Google Maps, chats, A/B tests — cartes, widgets de messagerie et outils d'optimisation déposent aussi des traceurs.

Le test se fait en 30 secondes, sans outil payant : ouvrez votre site en navigation privée, ouvrez les outils développeur du navigateur (onglet Application > Cookies), et regardez avant de cliquer. Si _ga ou _fbp sont déjà là, votre bandeau ne bloque rien. Notre auto-diagnostic gratuit fait exactement ce contrôle et liste les scripts qui se chargent trop tôt.

Le registre des consentements : votre preuve

L'article 7.1 du RGPD impose de pouvoir démontrerque le consentement a été obtenu. Un bandeau qui recueille un choix mais n'en garde aucune trace vous laisse sans preuve le jour d'un contrôle ou d'une plainte. Le registre (ou journal) des consentements enregistre, pour chaque visiteur : la date et l'heure, les catégories acceptées ou refusées, et la version du bandeau affichée. C'est ce qui transforme « je crois être conforme » en « je le prouve ».

Installer un bandeau conforme sur WordPress, en 3 étapes

1. 1

   Installer un CMP qui bloque avant de mesurer

   Sur WordPress, ajouter un plugin de consentement (CMP) qui empêche le dépôt des cookies et le chargement des scripts tiers tant que le visiteur n'a rien choisi. Le point clé : le blocage doit être actif dès la première page, pas seulement « déclaré ».

2. 2

   Régler les trois boutons au même niveau

   Configurer le bandeau avec « Tout accepter », « Tout refuser » et « Personnaliser » visibles dès le premier écran, avec le même poids visuel. Un refus qui demande un clic de plus que l'acceptation est déjà non conforme.

3. 3

   Déclarer les scripts à bloquer

   Recenser Google Analytics / GA4, Google Ads, le Meta (Facebook) Pixel, les vidéos YouTube et Vimeo, les cartes Google Maps, les chats et outils A/B. Chacun doit être conditionné au consentement de sa catégorie (mesure, publicité, réseaux sociaux).

4. 4

   Activer le registre et vérifier au navigateur

   Activer la conservation de la preuve du consentement, puis ouvrir l'onglet Application > Cookies des outils développeur : avant tout clic, aucun cookie tiers (_ga, _fbp…) ne doit exister. Après « Refuser », toujours aucun. Après « Accepter », ils apparaissent.

Avec RGPD Express, ces étapes sont réunies dans un seul plugin : blocage automatique de Google Analytics, du Meta Pixel et de YouTube avantle clic, bandeau accepter / refuser / personnaliser au même niveau, et registre des consentements conservé. C'est précisément la combinaison — blocage réel plus preuve — qui manque à la plupart des configurations.

Les erreurs qui rendent un bandeau non conforme

• La case pré-cochée. Proposer les catégories publicité/mesure déjà activées par défaut. La CJUE l'a tranché dès 2019 (arrêt Planet49) : une case pré-cochée ne vaut pas consentement. Le consentement doit être un acte positif clair.
• Le refus plus difficile que l'acceptation. « Accepter » en un clic, « Refuser » caché derrière deux ou trois écrans. C'est exactement ce qui a coûté 150 M€ à Google et 60 M€ à Facebook en 2021.
• Les scripts qui tournent quand même. Le bandeau s'affiche mais _ga, _fbp ou la vidéo YouTube se chargent avant le clic. Sans blocage préalable réel, le bandeau ne protège de rien.
• Le scroll ou la navigation valant acceptation. « En continuant à naviguer, vous acceptez… » La CNIL est claire : la poursuite de la navigation ne peut pas être interprétée comme un consentement.
• Le cookie wall sauvage. Bloquer tout accès au site tant que l'internaute n'a pas accepté les traceurs publicitaires, sans alternative. Toléré seulement dans des conditions strictes — à éviter pour un site de TPE/PME.

Ces manquements ne sont pas théoriques : au-delà des amendes record de 2021, la CNIL avait déjà sanctionné Google (100 M€) et Amazon (35 M€) en décembre 2020 sur le dépôt de cookies sans consentement. Le sujet est une priorité de contrôle assumée, y compris sur des sites de taille modeste.