« Tout refuser » dès le premier niveau : ce que les décisions CNIL de 2025 ont changé pour toutes les bannières

Ce que la CNIL a constaté

Le 1er septembre 2025, la CNIL a infligé 150 millions d’euros d’amende à la filiale irlandaise qui exploite shein.com. La décision est inhabituellement concrète sur la mécanique. La première bannière proposait « Cookie settings », « Reject all » et « Accept », mais ne disait rien de la finalité publicitaire des cookies. Pire, quand un visiteur cliquait sur Reject all, ou retirait plus tard son consentement, de nouveaux cookies étaient encore écrits et les existants continuaient d’être lus. Le second niveau, accessible via « Cookie settings », ne nommait pas les tiers qui déposeraient des cookies. Trois manquements distincts, et c’est le bouton de refus qui a fait les gros titres : il ne faisait pas ce qu’il disait.

Deux jours plus tard, la CNIL publiait sa décision Google : 200 millions d’euros pour Google LLC et 125 millions pour Google Ireland, 325 millions au total. La partie cookies de cette décision porte sur l’asymétrie. Dans le parcours de création de compte, jusqu’en octobre 2023, une personne qui choisissait la « personnalisation express » avait besoin de six clics pour refuser les cookies publicitaires personnalisés et de deux pour les accepter. La formulation de la CNIL est l’essentiel : ce déséquilibre compromettait le caractère libre du consentement. Un consentement qui coûte plus à refuser qu’à donner n’est pas libre, et un consentement qui n’est pas libre n’est pas un consentement.

Aucune des deux décisions n’a inventé de règle nouvelle. Toutes deux ont appliqué l’article 5(3) de la directive ePrivacy et la définition du consentement du RGPD à une interface précise, et toutes deux méritent d’être lues en ingénieur plutôt qu’en juriste, car chaque constat correspond à une ligne de code ou à une ligne de texte.

La ligne directrice derrière les amendes

Le Comité européen de la protection des données a adopté les lignes directrices 03/2022 sur les dark patterns en mars 2022. Elles sont écrites pour les interfaces de réseaux sociaux, mais la section sur les bannières cookies a depuis été citée par toutes les autorités européennes. La phrase qui compte : le premier niveau d’une bannière cookies doit avoir un bouton clair permettant de refuser tous les cookies, et une bannière qui n’en a pas n’offre pas de choix simple, ce qui porte atteinte au droit à un consentement libre. Les lignes directrices classent le design trompeur en six familles (overloading, skipping, stirring, obstructing, fickle, left in the dark) et une bannière cookies peut en cumuler quatre sur un seul écran : une option de refus cachée, un bouton d’acceptation coloré à côté d’un lien gris, un « × » qui vaut oui, et un mur de finalités que personne ne lit.

En janvier 2023, la task force de l’EDPB sur les bannières cookies a publié son rapport, et il se lit comme une liste de ce que la CNIL sanctionnerait plus tard : pas de bouton de refus sur le premier niveau, des cases précochées, un lien stylé comme du texte courant là où un bouton était attendu, un contraste qui fait disparaître l’option de refus, et l’intérêt légitime proposé comme alternative au consentement. Depuis, le rythme des sanctions a été régulier plutôt que spectaculaire, jusqu’en 2025, quand les montants ont changé.

Ce qu’un premier niveau doit faire

Réduisez les décisions et la ligne directrice à l’essentiel et vous obtenez six exigences. Elles sont petites, vérifiables, et chacune a coûté cher à quelqu’un.

1. Refuser sur le premier niveau. Pas sur le second, pas après un clic sur les réglages. Sur le même écran qu’Accepter.
2. Même poids. Même taille, même poids visuel, même position dans l’ordre de lecture. Un « Refuser » blanc à côté d’un « Accepter » noir est un pattern de stirring ; un lien texte à côté d’un bouton est de l’obstruction.
3. Des finalités, pas des adjectifs. « Statistiques » et « Marketing » sont des finalités. « Pour améliorer votre expérience » n’est pas une information ; la décision SHEIN le dit à propos de la finalité publicitaire manquante.
4. Les pages légales à un clic. La déclaration cookies, la politique de confidentialité et, en Allemagne, les mentions légales. Si le second niveau existe, il doit nommer les tiers.
5. Pas de consentement par fermeture. Un « × », un défilement ou un clic hors de la boîte n’est pas un choix. La bannière reste jusqu’à ce qu’un choix soit fait, ou se ferme comme un refus.
6. Un moyen de revenir. Retirer son consentement doit être aussi simple que le donner (article 7(3)). Un contrôle permanent ou un lien de pied de page qui rouvre la bannière, sur chaque page.

Derrière la bannière : rien ne charge

Le constat SHEIN qui fait le plus mal ne concerne pas les boutons. C’est que Reject all n’arrêtait pas les cookies. Ce manquement est invisible sur une capture d’écran et évident dans un scan, et c’est la raison pour laquelle une bannière n’est que la moitié d’un outil de consentement. L’autre moitié, c’est le code qui retient chaque script d’analyse, de publicité et de réseaux sociaux jusqu’à l’accord de sa catégorie, et la vérification qui prouve qu’il l’a fait.

En pratique, cela signifie que le runtime de consentement est le premier script du head, si bien que rien au-dessus ne peut poser un cookie que le runtime ne peut pas reprendre. Chaque balise soumise au consentement est inerte (type="text/plain" avec une catégorie) jusqu’à l’accord de la catégorie. Tout ce qu’un scan a trouvé sur le site sans balise est neutralisé par hôte. Et le site est rescanné, selon un planning, consentement refusé, si bien qu’un pixel ajouté le mois prochain par l’expérimentation de quelqu’un dans le gestionnaire de balises apparaît comme un constat daté plutôt que comme une surprise dans le courrier d’une autorité. C’est à cela que servent le scanner et la vérification d’installation.

Une checklist à passer dès aujourd’hui

• Ouvrez votre site dans une fenêtre privée. « Tout refuser » est-il sur le premier écran, de la même taille que « Tout accepter » ?
• Cliquez sur Tout refuser. Ouvrez le panneau de stockage du navigateur. Y a-t-il des cookies de statistiques ou de marketing ? Si oui, la bannière est cosmétique.
• Cliquez sur Tout accepter, puis trouvez le chemin de retour vers la bannière depuis une page au hasard. Comptez les clics. Comparez avec les clics pour accepter.
• Lisez le premier niveau. Nomme-t-il des finalités ? Renvoie-t-il à la déclaration cookies et à la politique de confidentialité ?
• Lancez le scan gratuit sur votre page d’accueil. Il lit le HTML et liste les traceurs qui tireraient avant le consentement.

Si une ligne échoue, la correction prend en général un après-midi. Les amendes sont pour les sites qui n’ont pas vérifié.

Sources

1. CNIL, « Cookies placed without consent: SHEIN fined 150 million euros by the CNIL », 3 septembre 2025
2. EDPB, actualités nationales : l’autorité française inflige 150 000 000 EUR à SHEIN, septembre 2025
3. Gerrish Legal, « CNIL fines Google €325M and SHEIN €150M for breaking cookie rules », septembre 2025
4. Slaughter and May, « Cookie catch-up: what you need to know about the CNIL’s Google and Shein fines », 2025
5. EDPB, Lignes directrices 03/2022 sur les dark patterns dans les interfaces des plateformes de réseaux sociaux, adoptées le 14 mars 2022
6. Cookie Information, « Cookie banner dark patterns: CNIL’s enforcement is real and it’s escalating », 2025

Rédigé par l’équipe CookieCrumbs, publié le 5 septembre 2026. Chaque fait porte sa date ; si l’un d’eux a évolué, dites-le-nous et nous corrigerons.