Opt-in ou opt-out cookies : la différence RGPD

Vous hésitez entre opt-in et opt-out pour vos cookies ? La réponse est tranchée depuis 2020, et se tromper vous expose à une sanction.

En Europe, seul l'opt-in (consentement préalable, actif et explicite) est conforme au RGPD pour les cookies non essentiels. L'opt-out (cases précochées, poursuite de navigation valant accord) est interdit depuis les lignes directrices CNIL de 2020.

Concrètement, un cookie de mesure d'audience, de publicité ou de réseau social ne peut se déposer qu'après un clic positif du visiteur. Tant que ce clic n'a pas eu lieu, aucun traceur non essentiel ne doit se charger. Cet article vous donne la différence exacte entre les deux modèles, ce que dit le droit, et les deux cas qui piègent le plus de sites.

Opt-in et opt-out : les définitions

L'opt-in et l'opt-out décrivent deux logiques opposées de recueil du consentement. Dans l'opt-in, rien ne se déclenche tant que le visiteur n'a pas dit oui. Dans l'opt-out, tout se déclenche par défaut et le visiteur doit dire non pour arrêter.

L'opt-in (consentement préalable)

L'opt-in exige un acte positif clair avant tout dépôt de cookie non essentiel. Le visiteur clique sur « Accepter », coche une case décochée par défaut, ou active un curseur. Aucune finalité n'est présumée acceptée. C'est le seul modèle qui respecte la définition du consentement de l'article 4-11 du RGPD : libre, spécifique, éclairé et univoque.

L'opt-out (accord présumé)

L'opt-out part de l'hypothèse inverse : les cookies sont actifs par défaut, et c'est au visiteur de les refuser s'il ne les veut pas. Cases précochées, bandeau qui disparaît au scroll, mention « en poursuivant votre navigation, vous acceptez les cookies ». Toutes ces mécaniques reposent sur un accord qui n'a jamais été donné activement. Elles sont interdites pour les traceurs non essentiels.

Opt-in vs opt-out : le comparatif

| Critère | Opt-in | Opt-out | |---|---|---| | Principe | Rien ne se dépose sans un oui actif du visiteur | Tout se dépose par défaut, le visiteur doit refuser | | Légalité UE (cookies non essentiels) | Conforme au RGPD et aux recommandations CNIL | Interdit depuis les lignes directrices CNIL de 2020 | | Action du visiteur | Clic sur « Accepter » ou case cochée volontairement | Aucune action requise, silence valant accord | | Exemple concret | Bouton « Tout accepter » et « Tout refuser » au même niveau | Case précochée, bandeau qui se ferme au scroll | | Valeur de la preuve | Choix horodaté, opposable en contrôle | Aucune preuve d'un consentement valide | | Risque | Aucun si le refus est aussi simple que l'accord | Mise en demeure, puis sanction jusqu'à 20 M€ ou 4 % du CA mondial |

Les deux lignes qui comptent en contrôle sont la légalité et la preuve. Un modèle opt-out ne produit jamais de preuve valable, puisqu'il ne recueille aucun choix actif. Pour comprendre ce que doit contenir une trace opposable, voyez notre guide sur la preuve de consentement cookies.

Pourquoi l'opt-out ne suffit plus

Le RGPD définit le consentement comme une manifestation de volonté « libre, spécifique, éclairée et univoque » (article 4-11). Un silence, une case précochée ou la simple poursuite de la navigation ne sont pas univoques : ils ne prouvent aucune volonté. C'est le fondement juridique qui condamne l'opt-out.

La CNIL a tranché la question en France. Ses lignes directrices et sa recommandation de 2020 posent trois règles claires : la poursuite de la navigation ne vaut plus consentement, refuser doit être aussi simple qu'accepter, et le consentement doit être recueilli avant tout dépôt de traceur non essentiel. L'opt-out échoue sur les trois.

Les sanctions ne sont pas théoriques. Le RGPD plafonne l'amende à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. En matière de cookies, la CNIL a prononcé des sanctions record, dont 150 millions d'euros contre Shein en 2025. Un modèle opt-out n'est donc pas une zone grise, c'est un manquement documenté.

Deux cas concrets qui bloquent en contrôle

Deux mécaniques reviennent presque toujours, et elles sont toutes deux invalides.

La case précochée : non

Une case « J'accepte les cookies de mesure d'audience » déjà cochée à l'affichage du bandeau ne recueille aucun consentement. Le visiteur n'a rien décidé, il a hérité d'un choix par défaut. La CNIL et la Cour de justice de l'Union européenne considèrent une case précochée comme un consentement inexistant. Pour être valide, la case doit être décochée au départ, et c'est le visiteur qui la coche.

Le scroll qui vaut accord : non

« En continuant à naviguer, vous acceptez les cookies » est la formule type de l'opt-out interdit. Faire défiler une page, cliquer sur un lien ou passer à l'article suivant ne sont pas des actes de consentement spécifiques aux cookies. Depuis 2020, la CNIL exige un choix explicite : tant que le visiteur n'a ni accepté ni refusé, les traceurs non essentiels restent bloqués. Un bandeau qui se contente de disparaître au scroll dépose des cookies sans base légale.

La bonne pratique tient en une phrase : un bouton « Tout accepter » et un bouton « Tout refuser » au même niveau visuel, et aucun traceur non essentiel chargé avant le clic. Pour vérifier l'ensemble de vos obligations, suivez notre guide pour rendre votre site conforme au RGPD.

Questions fréquentes

L'opt-out est-il interdit pour tous les cookies ? Non, seulement pour les cookies non essentiels (mesure d'audience non exemptée, publicité, réseaux sociaux). Les cookies strictement nécessaires au fonctionnement du site, comme le panier ou la session de connexion, ne requièrent pas de consentement et n'entrent pas dans ce débat.

Une case précochée peut-elle valoir consentement opt-in RGPD ? Non. Une case précochée n'est pas un acte positif du visiteur. La Cour de justice de l'Union européenne l'a confirmé : un consentement valide suppose une case décochée que l'internaute coche lui-même. Une case déjà cochée est réputée sans effet.

Quelle est la différence entre opt-in et opt-out en une phrase ? En opt-in, rien ne se dépose tant que le visiteur n'a pas dit oui activement. En opt-out, tout se dépose par défaut et le visiteur doit dire non. Seul l'opt-in est conforme au RGPD pour les cookies non essentiels.