Cookies exemptés de consentement : la liste CNIL 2026

Tous les cookies n'exigent pas le consentement de l'internaute. La CNIL reconnaît une liste fermée de traceurs dits « essentiels » que vous pouvez déposer sans bandeau ni case à cocher, parce qu'ils sont strictement nécessaires au fonctionnement du service que l'utilisateur a demandé. Le reste, publicité, réseaux sociaux, analytics tiers, reste soumis au consentement préalable.

Le problème : beaucoup de sites rangent dans les « cookies techniques » des traceurs qui n'en sont pas. C'est l'un des points que la CNIL vérifie en contrôle. Cet article vous donne la liste exacte des cookies exemptés, la condition qui les rend exemptés, et la frontière avec ceux qui ne le sont jamais.

Réponse rapide : la liste des cookies exemptés de consentement

Selon les lignes directrices et la recommandation « cookies et autres traceurs » de la CNIL, sont exemptés de consentement les cookies strictement nécessaires au service.

À l'inverse, la publicité ciblée, les boutons de réseaux sociaux et les outils d'analytics tiers comme Google Analytics ne sont jamais exemptés : ils exigent un consentement libre, spécifique, éclairé et univoque (article 4-11 du RGPD).

Qu'est-ce qu'un cookie exempté de consentement ?

Un cookie exempté est un traceur que le site peut déposer sans recueillir le consentement de l'internaute, parce qu'il est strictement nécessaire à la fourniture d'un service expressément demandé par l'utilisateur. C'est une exception, pas une catégorie fourre-tout.

Le fondement est l'article 82 de la loi Informatique et Libertés, qui transpose la directive ePrivacy. Il pose le principe : tout dépôt ou lecture d'information sur le terminal d'un internaute exige son consentement préalable. Puis il prévoit deux exceptions, et seulement deux. Sont dispensés de consentement les traceurs dont la finalité est exclusivement de permettre ou faciliter la communication par voie électronique, et ceux strictement nécessaires à la fourniture d'un service de communication en ligne à la demande de l'utilisateur.

Deux critères se déduisent de cette rédaction. Le traceur doit être nécessaire, pas simplement utile ou pratique. Et le service concerné doit avoir été explicitement demandé par l'internaute, pas imposé par l'éditeur. Un cookie qui sert d'abord vos objectifs marketing ne remplit aucune de ces deux conditions, même si vous le jugez indispensable à votre activité.

La liste détaillée des cookies exemptés

1. Le cookie de panier d'achat

À quoi il sert : conserver les articles ajoutés au panier pendant que l'internaute navigue sur une boutique en ligne. Pourquoi il est exempté : sans lui, le service d'achat demandé par l'utilisateur ne fonctionne pas. Le panier est le service, le cookie en est le support strictement nécessaire.

2. L'identifiant de session

À quoi il sert : maintenir la continuité de la visite, par exemple garder l'utilisateur reconnu d'une page à l'autre au sein d'une même session. Pourquoi il est exempté : il permet le fonctionnement de base du site pendant la session active. Il expire à la fermeture du navigateur et ne sert pas à suivre l'internaute dans le temps.

3. Les cookies d'authentification

À quoi ils servent : garder un utilisateur connecté à son espace personnel, sa messagerie ou son compte après identification. Pourquoi ils sont exemptés : l'authentification est un service demandé par l'utilisateur. Le cookie est nécessaire pour ne pas redemander le mot de passe à chaque page. Attention : cela couvre l'authentification, pas le profilage de l'utilisateur connecté à des fins publicitaires.

4. Les préférences de langue et d'interface

À quoi elles servent : mémoriser la langue choisie, le contraste, la taille de police ou d'autres réglages d'affichage. Pourquoi elles sont exemptées : elles reflètent un choix explicite de l'utilisateur pour le service qu'il utilise. Le cookie exécute simplement une préférence exprimée, sans finalité tierce.

5. Les cookies de sécurité et anti-fraude

À quoi ils servent : détecter les tentatives de connexion frauduleuses, limiter les attaques automatisées, équilibrer la charge entre serveurs. Pourquoi ils sont exemptés : ils protègent le service et l'utilisateur lui-même. La CNIL admet aussi dans cette logique le cookie qui conserve le choix de consentement de l'internaute, car il est nécessaire pour ne pas le solliciter en boucle.

6. La mesure d'audience, sous conditions

À quoi elle sert : produire des statistiques de fréquentation pour l'éditeur (pages vues, parcours, sources de trafic). Pourquoi elle peut être exemptée : la CNIL en fait une exception encadrée, à condition que la solution respecte des règles précises. C'est le point le plus mal compris, il mérite sa propre section.

Mesure d'audience exemptée : les conditions CNIL

La mesure d'audience peut être exemptée de consentement, mais seulement si l'outil respecte l'ensemble des conditions posées par la CNIL. Il ne suffit pas de qualifier un analytics de « statistique » pour le dispenser du bandeau.

Les conditions cumulatives sont les suivantes :

• Finalité strictement limitée à la mesure d'audience du site, pour le seul compte de l'éditeur.
• Pas de recoupement des données avec d'autres traitements ni transmission à des tiers.
• Pas de suivi cross-site : le traceur ne suit pas la navigation de l'internaute sur d'autres sites.
• Données anonymisées ou limitées à ce qui est nécessaire pour produire des statistiques agrégées.

La CNIL a publié une liste de solutions de mesure d'audience qu'elle considère comme pouvant bénéficier de cette exemption lorsqu'elles sont correctement configurées. Une même solution peut donc être exemptée dans une configuration et soumise à consentement dans une autre. Le paramétrage compte autant que le choix de l'outil.

Ce qui n'est jamais exempté de consentement

Ces traceurs exigent toujours un consentement préalable, sans exception :

• La publicité ciblée et le reciblage : cookies publicitaires, retargeting, enchères en temps réel. Leur finalité n'a rien de nécessaire au service demandé.
• Les boutons et widgets de réseaux sociaux : ils déposent des traceurs des plateformes dès le chargement de la page, souvent à des fins de profilage.
• Les analytics tiers, dont Google Analytics : Google Analytics n'est pas exempté. Il transmet des données à un tiers et permet des recoupements qui sortent du cadre de l'exemption CNIL. Il exige donc le consentement, tout comme les tests A/B ou les cartes de chaleur qui pistent l'utilisateur.

La règle pratique : dès qu'un cookie sert une finalité de marketing, de profilage ou de partage avec un tiers, il quitte le champ de l'exemption. En cas de doute, le consentement s'impose.

Pour vérifier ce que vos pages déposent réellement, avant tout clic, passez votre site au scanner de cookies gratuit. Il distingue les traceurs essentiels des traceurs soumis à consentement.

Questions fréquentes

Les cookies exemptés doivent-ils quand même figurer dans la politique cookies ? Oui. L'exemption porte sur le consentement, pas sur l'information. Vous devez toujours informer les internautes de la présence de ces cookies, de leur finalité et de leur durée dans votre politique de cookies.

Un cookie « strictement nécessaire » selon mon CMS est-il forcément exempté ? Non. La catégorisation d'un outil tiers n'a pas de valeur juridique. Seule la finalité réelle du traceur compte au regard de l'article 82. Beaucoup de cookies étiquetés « nécessaires » par défaut sont en réalité des traceurs publicitaires ou analytics.

Google Analytics est-il exempté de consentement ? Non. Google Analytics transmet des données à un tiers et permet des recoupements. Il ne remplit pas les conditions de l'exemption de mesure d'audience de la CNIL et exige donc le consentement de l'internaute.

La mesure d'audience est-elle toujours exemptée ? Non. Elle l'est uniquement si la solution respecte toutes les conditions CNIL : finalité limitée à l'éditeur, pas de recoupement, pas de suivi cross-site, données anonymisées. Une mauvaise configuration fait tomber l'exemption.

Comment savoir si mes cookies sont conformes ? Le plus simple est d'auditer les traceurs déposés par vos pages et de vérifier lesquels partent avant consentement. Le scanner de cookies gratuit liste chaque traceur et signale ceux qui exigent un consentement, pour distinguer sans ambiguïté l'essentiel du reste. Nos réponses aux questions fréquentes sur les cookies et le RGPD complètent ce cadrage.

Conclusion

Distinguer un cookie exempté d'un traceur soumis à consentement, c'est la base d'un bandeau qui tient en contrôle. Retenez la règle : l'exemption est une exception fermée, tout le reste exige le consentement.