Recevoir une mise en demeure de la CNIL pour vos cookies signifie que votre bandeau de consentement a été jugé trompeur ou non conforme à l’article 82 de la loi Informatique et Libertés. Vous disposez alors d’un délai, généralement d’un mois, pour corriger votre dispositif et prouver que le consentement recueilli est désormais valable. En 2026, la CNIL a durci son approche des cookies, avec 21 des 83 sanctions prononcées en 2025 liées directement aux traceurs, et une mise en demeure publique visant plusieurs éditeurs pour des bandeaux jugés trompeurs.
Pourquoi la CNIL met-elle en demeure des sites pour leurs cookies ?
La règle de base n’a pas changé : sauf exceptions limitées, un cookie ne peut être déposé qu’après le consentement de l’internaute, et refuser doit être aussi simple qu’accepter. Lorsque la CNIL reçoit des plaintes ou mène des contrôles et constate que ce n’est pas le cas, elle engage une procédure qui peut déboucher sur une mise en demeure, c’est-à-dire une injonction de corriger le dispositif dans un délai donné, avant toute sanction financière.
Dans sa décision publique visant plusieurs éditeurs de sites, la CNIL a identifié des pratiques précises jugées trompeuses. Ce ne sont pas des cas isolés : ce sont les motifs les plus fréquents retrouvés dans les contrôles menés sur les bandeaux cookies en France.
Quelles pratiques précises sont sanctionnées sur les bandeaux cookies ?
Quatre types de défauts reviennent dans les décisions de la CNIL. Le lien de refus est parfois rendu moins visible que le bouton d’acceptation, par sa couleur, sa taille ou sa police, ce qui oriente visuellement l’utilisateur vers l’acceptation. Le refus peut aussi être noyé dans les mentions d’information générales, à cause de son emplacement, et devient difficile à repérer pour un internaute non averti.
Un espacement insuffisant entre le lien de refus et d’autres paragraphes du bandeau contribue également à le rendre moins identifiable. Enfin, certains bandeaux présentent une formulation déséquilibrée : l’option d’acceptation apparaît plusieurs fois alors que le refus n’apparaît qu’une seule fois, avec des termes peu clairs comme « je décline les finalités non essentielles » à la place d’un simple « refuser ».
Combien de temps a-t-on pour se mettre en conformité après une mise en demeure ?
Dans la décision de la CNIL visant les bandeaux trompeurs, le délai accordé pour corriger le dispositif était d’un mois à compter de la notification. Ce délai est propre à chaque mise en demeure et peut varier selon la gravité des manquements constatés et la réactivité de l’entreprise concernée.
Le non-respect du délai fixé expose à une procédure de sanction, qui peut inclure une amende administrative. Pour donner un ordre de grandeur, la CNIL a infligé en 2025 environ 487 millions d’euros d’amendes au total sur 83 sanctions, un montant largement porté par deux dossiers liés aux cookies et traceurs. Plus récemment, en octobre 2026, FNAC Darty a été condamné à 7 millions d’euros pour un traceur déposé sans consentement dans son application mobile, avec en complément une astreinte de 10 000 euros par jour de retard si la mise en conformité n’était pas démontrée dans le mois suivant la notification.
Que faire concrètement en cas de mise en demeure de la CNIL ?
La première étape consiste à auditer précisément le bandeau de consentement : vérifier que le bouton de refus est aussi visible, aussi grand et aussi accessible que le bouton d’acceptation, sans case pré-cochée ni hiérarchie visuelle défavorable au refus. Il faut également s’assurer que l’information sur les finalités des cookies est claire, complète et formulée dans un langage compréhensible, sans jargon technique non expliqué.
Ensuite, il convient de documenter la preuve du consentement recueilli après correction : horodatage, version du bandeau affichée, choix de l’utilisateur. Une plateforme de gestion du consentement (CMP) correctement paramétrée permet de générer cette preuve automatiquement et de répondre point par point aux manquements listés dans la mise en demeure, dans le délai imparti.
Enfin, il est utile de vérifier que le périmètre couvre bien tous les supports numériques de l’entreprise : site web, mais aussi application mobile le cas échéant, comme l’a montré le dossier FNAC Darty où le manquement portait spécifiquement sur l’app. Une entreprise de Seine-et-Marne (77) qui dispose d’un site vitrine et d’un espace client doit vérifier la conformité des deux, car la CNIL ne limite pas ses contrôles au seul navigateur web.
Comment éviter d’en arriver à une mise en demeure ?
Le plan d’action cookies de la CNIL reste actif et ses contrôles se poursuivent en 2026, avec une attention croissante portée aussi au contrôle de l’âge des utilisateurs sur certaines applications destinées aux mineurs. Attendre un contrôle pour corriger son bandeau expose à un délai contraint et, en cas de récidive ou de manquement grave, à une sanction financière directement proportionnelle à l’audience du site.
La solution la plus sûre consiste à faire auditer sa CMP en amont, en s’appuyant sur un partenaire technique reconnu. C’est pour cette raison que Solvhoot s’appuie sur Sirdata, partenaire spécialisé en gestion du consentement, dans le cadre de son accompagnement à la mise en conformité RGPD/CMP, pour auditer et corriger les bandeaux cookies de ses clients avant tout contrôle, plutôt que d’intervenir dans l’urgence après une mise en demeure.
Un audit préventif permet de vérifier, point par point, les quatre types de manquements les plus fréquemment relevés par la CNIL : visibilité du refus, emplacement, espacement et formulation. Ce travail est généralement plus rapide et moins coûteux que la mise en conformité réalisée sous la pression d’un délai d’un mois imposé par une mise en demeure.
Au-delà du bandeau lui-même, l’audit porte aussi sur la configuration technique de la CMP : liste des traceurs réellement déposés, correspondance entre les finalités déclarées et les cookies effectivement posés, et blocage effectif des scripts tiers avant tout consentement. C’est souvent sur ce point technique, invisible pour l’internaute mais vérifiable par la CNIL, que se jouent les manquements les plus coûteux, comme l’a montré le dossier FNAC Darty où le problème venait d’un traceur actif dans l’application avant tout accord de l’utilisateur.