Sanctions CNIL sur les cookies : ce qu'elles disent des bandeaux et de la mesure d'audience
Mis à jour le 3 novembre 2026
Depuis 2020, les plus fortes amendes de la CNIL portent sur les cookies. Elles visent de grandes entreprises, mais les règles qu'elles appliquent sont les mêmes pour tous les sites. Voici les principales, d'après les décisions publiées par la CNIL et leur couverture dans la presse, et ce qu'elles disent pour votre bandeau. C'est une information générale, pas un conseil juridique.
Les principales décisions
| Décision | Entreprise | Montant | Ce qui était reproché |
|---|---|---|---|
| Décembre 2020 | Google (LLC et Ireland) | 100 millions d'euros | Cookies publicitaires déposés dès l'arrivée sur google.fr, sans consentement, et information incomplète |
| Décembre 2020 | Amazon Europe Core | 35 millions d'euros | Cookies déposés dès l'arrivée sur amazon.fr, sans consentement ; amende confirmée par le Conseil d'État |
| 31 décembre 2021, annoncée en janvier 2022 | Google (LLC et Ireland) | 150 millions d'euros | Refuser les cookies demandait plusieurs clics, les accepter un seul (google.fr, youtube.com) |
| 31 décembre 2021, annoncée en janvier 2022 | Facebook (Facebook Ireland) | 60 millions d'euros | Même grief sur facebook.com |
| 19 décembre 2022 | Microsoft Ireland | 60 millions d'euros | Pas de bouton pour refuser les cookies aussi simplement que pour les accepter sur bing.com |
| 1er septembre 2025 | Google (LLC et Ireland) | 325 millions d'euros | Publicités insérées entre les e-mails de Gmail sans consentement, et cookies déposés lors de la création de compte |
| 1er septembre 2025 | Shein (Infinite Styles Services) | 150 millions d'euros | Cookies déposés sur shein.com sans consentement valable |
La plupart de ces décisions étaient assorties d'une injonction de mise en conformité sous trois mois, avec une astreinte par jour de retard.
Les leçons pour un bandeau
- Rien avant le choix. Un traceur soumis au consentement ne se dépose pas à l'arrivée sur la page. Il attend le clic sur « Accepter ».
- Refuser aussi facilement qu'accepter. Un bouton « Tout refuser » au même niveau que « Tout accepter », dans la première fenêtre. C'est le grief des décisions de 2021 et 2022.
- Le refus doit arrêter les traceurs. Un bandeau qui enregistre le refus mais laisse les outils tourner ne protège de rien.
- Une information complète. Le visiteur doit savoir à quoi servent les cookies avant de choisir.
- Les petits sites aussi. Les amendes visent les grands groupes, mais la CNIL envoie aussi des mises en demeure à des éditeurs ordinaires, souvent après une plainte. La procédure de 2022 sur Google Analytics visait un éditeur français dont le nom n'a pas été publié.
Et la mesure d'audience ?
Aucune de ces décisions ne porte sur un outil de mesure d'audience exempté. Elles rappellent que tout ce qui n'entre pas dans l'exemption passe par le consentement, et que la CNIL vérifie la façon dont ce consentement est recueilli.
Une mesure d'audience configurée selon les critères de la CNIL n'a pas besoin du bandeau ; elle demande une information et un bouton d'opposition. Ce qui reste derrière le bandeau, comme la publicité, les vidéos ou le reciblage, doit respecter les règles ci-dessus. Les critères sont expliqués dans Exemption de consentement CNIL : les critères de juillet 2025, et le cas de Google Analytics dans Google Analytics est-il illégal en France ?.
Pour voir quels traceurs votre page d'accueil dépose avant tout choix, passez-la dans notre vérification gratuite.