Preuve de consentement cookies : le guide complet 2026

Afficher un bandeau cookie ne suffit pas. Ce qui compte, le jour d'un contrôle, c'est votre preuve de consentement cookies : la capacité à démontrer, visiteur par visiteur, ce que chacun a réellement accepté ou refusé. Et cette démonstration, c'est à vous de la fournir, pas à l'internaute de la contester.

C'est la partie la plus souvent négligée de la conformité RGPD. Beaucoup de sites soignent l'apparence de leur bandeau cookie, puis se retrouvent incapables de produire la moindre trace individuelle lorsque la CNIL la réclame. Un bandeau impeccable qui ne journalise rien ne vaut rien en contrôle.

Ce guide vous donne les trois choses qui manquent presque toujours : ce que doit contenir une preuve valide, combien de temps la conserver, et comment l'archiver pour qu'elle tienne face à un contrôle. Nous couvrons le fondement juridique (article 7 du RGPD, article 82 de la loi Informatique et Libertés), la durée de conservation, la check-list des champs indispensables et la méthode d'archivage.

Qu'est-ce que la preuve de consentement ?

La preuve de consentement est l'ensemble des éléments qui permettent au responsable de traitement de démontrer, à tout moment, qu'un internaute a bien consenti au dépôt de cookies non essentiels. Concrètement, c'est un enregistrement horodaté et infalsifiable de chaque choix exprimé via le bandeau cookie ou la CMP. Sans cette preuve, un consentement est réputé non recueilli.

Consentement et preuve de consentement

Le consentement est un acte : l'internaute clique, il choisit. La preuve, elle, est la trace conservée de cet acte. Les deux sont distincts. Vous pouvez recueillir un consentement parfaitement valide et rester en faute si vous ne pouvez pas le prouver ensuite.

Le journal de consentement

Le journal de consentement (ou consent log) est le registre technique qui archive chaque choix. Il enregistre, pour chaque visiteur, la date, les finalités acceptées ou refusées, et l'état du bandeau au moment du clic. C'est ce journal, et non le bandeau lui-même, qui constitue votre preuve.

Ce que la preuve n'est pas

Un bandeau cookie affiché n'est pas une preuve. Une politique cookies publiée non plus. Une capture d'écran de votre bandeau encore moins : elle montre ce que vous affichez, pas ce qu'un internaute donné a choisi un jour donné. La preuve est une donnée structurée, individuelle, pas un document illustratif.

Pourquoi c'est important : article 7 RGPD, loi Informatique et Libertés et contrôles CNIL

L'article 7.1 du RGPD impose au responsable de traitement de pouvoir démontrer que la personne a consenti. C'est le principe de la charge de la preuve : en cas de doute ou de contrôle, l'absence de preuve équivaut à une absence de consentement.

Article 7.1 du RGPD, la charge de la preuve

Le texte est direct : « le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement ». Le fardeau est inversé. Ce n'est pas à l'internaute de prouver qu'il n'a pas consenti, c'est à vous de prouver qu'il l'a fait. Un consentement que vous ne pouvez pas documenter est traité comme inexistant.

Article 82 de la loi Informatique et Libertés

En droit français, le consentement aux cookies et traceurs repose sur l'article 82 de la loi Informatique et Libertés, qui transpose la directive ePrivacy. Il pose l'obligation d'information et de consentement préalable au dépôt de traceurs non essentiels. La CNIL est l'autorité chargée d'en contrôler l'application et de sanctionner les manquements.

Les contrôles et sanctions de la CNIL

La CNIL ne vérifie pas seulement que votre bandeau existe. Elle vérifie que le consentement est valablement recueilli et que vous pouvez le prouver. Les sanctions en matière de cookies atteignent des ordres de grandeur élevés : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial au titre du RGPD, sans compter le pouvoir de sanction propre de la CNIL sur les traceurs.

La CNIL définit ce qui est dû juridiquement, mais ne fournit pas l'outil pour le tracer côté produit. C'est précisément là que se joue votre exposition réelle. Vous voulez le tableau complet des obligations ? Voyez notre guide pour rendre son site conforme au RGPD.

Exemple concret : quand l'absence de preuve coûte cher

Prenons une PME e-commerce, contrôlée par la CNIL à la suite d'une plainte. Son bandeau cookie a l'air irréprochable : deux boutons au même niveau, finalités détaillées, politique cookies à jour. Sur le papier, tout va bien.

La CNIL demande alors la preuve du consentement d'un échantillon de visiteurs sur les trois derniers mois. L'entreprise ne dispose que d'une capture d'écran de son bandeau et de quelques logs serveur bricolés. Aucun enregistrement individuel, aucun horodatage par visiteur, aucune trace des choix par finalité. Le consentement est réputé non valablement recueilli, malgré un bandeau parfait à l'écran.

Résultat : mise en demeure, puis obligation de tout reconstruire en urgence, sous surveillance. Le coût réel n'est pas seulement la sanction, c'est aussi les semaines de remise en conformité dans la précipitation.

Avec un journal de consentement horodaté, le même contrôle se serait joué différemment. La demande de la CNIL aurait été satisfaite en quelques minutes : export des preuves individuelles sur la période, choix par finalité, version du bandeau affiché. Dossier clos. La différence ne tient pas au bandeau, elle tient à la traçabilité archivée.

Ce que doit contenir une preuve de consentement valide

Une preuve de consentement valide doit permettre de rejouer exactement ce que l'internaute a vu et choisi. Elle contient au minimum cinq éléments : l'horodatage, un identifiant du consentement, le détail des choix par finalité, la version du bandeau affiché et le moyen de retrait proposé.

1. Horodatage : la date et l'heure précises du recueil, et du retrait s'il a lieu. Sans horodatage, impossible de situer le consentement dans le temps ni de vérifier la règle des 6 mois.
2. Identifiant du consentement : un consent_id unique associé à un identifiant visiteur non nominatif, par exemple un visitor_hash. Vous retrouvez ainsi une preuve précise sans stocker de données personnelles superflues.
3. Choix par finalité : accepté ou refusé finalité par finalité, mesure d'audience, publicité, réseaux sociaux, et non un « oui » global. Un consentement en bloc ne prouve pas un choix éclairé.
4. Version du bandeau : quelle version du bandeau cookie et de la liste des finalités était affichée au moment du choix. C'est ce qui permet de rejouer l'état exact vu par le visiteur.
5. Moyen de retrait : la preuve que le retrait était aussi simple que l'acceptation, et sa trace s'il a été exercé.

Contexte technique utile : le pays déduit de l'adresse IP et le user agent renforcent l'opposabilité de la preuve, en rattachant le choix à un contexte de visite cohérent.

C'est exactement ce que nous enregistrons dans le journal de consentement de ConsentLab : un visitor_hash, les choix par finalité, un consent_id, le pays déduit de l'IP, le user agent et l'horodatage. La preuve est constituée automatiquement, à chaque consentement.

Comment archiver et conserver la preuve, étape par étape

Pour conserver une preuve opposable : enregistrez chaque consentement dans un journal horodaté, stockez-le de façon inaltérable, redemandez le consentement tous les 6 mois mais conservez la preuve au-delà, et prévoyez de pouvoir l'exporter à la demande de la CNIL.

Étape 1 : Enregistrer chaque choix à la source

Captez le consentement au moment où il est donné, au niveau du bandeau cookie ou de la CMP. Une preuve ne se reconstruit pas a posteriori : ce qui n'a pas été enregistré sur le moment est perdu.

Étape 2 : Structurer le journal de consentement

Consignez les champs minimaux vus plus haut dans un format exploitable, une base de données, pas une capture d'écran. Un journal interrogeable vous permet de retrouver une preuve précise en quelques secondes.

Étape 3 : Garantir l'intégrité

Stockez la preuve de façon inaltérable et versionnée, pour qu'elle ne puisse pas être modifiée rétroactivement. Une preuve que vous pourriez réécrire perd toute valeur probatoire aux yeux d'un contrôleur.

Étape 4 : Fixer la durée de conservation

Distinguez deux durées. La durée de validité du consentement est de 6 mois avant nouvelle sollicitation, selon la recommandation de la CNIL. La durée de conservation de la preuve va au-delà, sur une base probatoire raisonnable que vous documentez dans votre registre.

Attention : redemander le consentement tous les 6 mois ne signifie pas que vous pouvez supprimer la preuve au bout de 6 mois. C'est l'erreur qui expose le plus en contrôle. La preuve d'un consentement passé reste utile bien après son renouvellement.

Étape 5 : Rendre la preuve exportable

Prévoyez de pouvoir extraire, sur demande, la preuve d'un ou plusieurs visiteurs sur une période donnée. Une preuve que vous ne savez pas produire rapidement équivaut, en pratique, à une preuve absente.

Vérifiez ce que votre bandeau actuel enregistre vraiment : Scanner de cookies gratuit.

Preuve « maison » ou preuve via CMP : le comparatif

Une preuve constituée à la main, captures et logs serveur bricolés, est difficile à produire, incomplète et peu opposable. Une preuve générée par une CMP est automatique, horodatée, individuelle et exportable, donc directement recevable en cas de contrôle.

| Critère | Preuve « maison » / manuelle | Preuve via CMP | |---|---|---| | Horodatage individuel | Rare, incomplet | Automatique | | Choix par finalité | Souvent global | Détaillé par finalité | | Version du bandeau conservée | Non | Oui, versionnée | | Intégrité / inaltérabilité | Faible | Garantie | | Export sur demande CNIL | Manuel, long | Immédiat | | Mise à l'échelle | Ingérable | Native | | Coût en temps interne | Élevé | Quasi nul |

Les deux lignes qui font la différence en contrôle sont l'intégrité et l'export sur demande CNIL. C'est là qu'une preuve manuelle s'effondre et qu'une preuve automatisée tient. Une CMP ne vous rend pas conforme à votre place, mais elle transforme la preuve d'un casse-tête en une donnée disponible en un clic.

Les erreurs courantes qui invalident votre preuve

• Croire que le bandeau suffit : afficher n'est pas prouver. Le bandeau recueille le consentement, il ne le conserve pas nécessairement.
• Se contenter d'une capture d'écran : elle n'est ni individuelle, ni horodatée par visiteur, ni infalsifiable. Elle ne prouve rien en contrôle.
• Recueillir un consentement global : un « tout accepter » sans détail par finalité fragilise le recueil et donc la preuve.
• Supprimer la preuve au bout de 6 mois : c'est confondre la durée de validité du consentement avec la durée de conservation de la preuve.
• Ne pas conserver la version du bandeau : sans elle, impossible de rejouer ce que le visiteur a réellement vu au moment de son choix.
• Un bouton « refuser » absent ou moins accessible qu'« accepter » : ce vice de consentement contamine la preuve, qui documente alors un choix non libre.
• Déclencher les traceurs avant le choix : un Google Consent Mode v2 mal configuré, ou des scripts non bloqués, déposent des cookies avant consentement. La preuve d'un consentement postérieur ne couvre pas ce dépôt antérieur.

Questions fréquentes

Combien de temps faut-il conserver la preuve de consentement ? Le consentement se redemande tous les 6 mois selon la recommandation de la CNIL, mais la preuve se conserve au-delà, sur une durée probatoire raisonnable que vous documentez. Ne supprimez pas la preuve dès le renouvellement du consentement.

Une capture d'écran suffit-elle comme preuve de consentement ? Non. Une capture d'écran montre votre bandeau, pas le choix d'un visiteur donné à un instant donné. Elle n'est ni individuelle, ni horodatée, ni infalsifiable. Il faut un journal de consentement.

Qui porte la charge de la preuve du consentement ? Le responsable de traitement, c'est-à-dire vous, en vertu de l'article 7.1 du RGPD. Ce n'est pas à l'internaute de prouver qu'il n'a pas consenti, c'est à vous de prouver qu'il a consenti.

Faut-il tenir un registre pour les cookies ? Oui. Le traitement lié aux cookies doit figurer au registre des activités de traitement, et votre politique de conservation de la preuve doit y être documentée. C'est aussi un élément que la CNIL peut demander.

Que vérifie exactement la CNIL lors d'un contrôle cookies ? La CNIL vérifie que le consentement est libre, éclairé et spécifique, que le refus et le retrait sont faciles, et surtout que vous pouvez produire la preuve individuelle sur demande. C'est ce dernier point qui fait défaut le plus souvent.

Une CMP suffit-elle à être conforme ? Une CMP est le meilleur moyen de constituer et de conserver la preuve, mais la conformité dépend aussi de sa configuration : finalités, blocage préalable des traceurs, GCM v2. Elle outille la conformité, elle ne l'achète pas.