Guide RGPD cookies pour les TPE/PME
Derniere mise a jour : 14 avril 2026
Vous avez un site web ? Vous utilisez Google Analytics, un pixel Facebook ou un chat en ligne ? Alors vous etes concerne par le RGPD et la reglementation cookies. Ce guide vous explique tout ce que vous devez savoir en tant que TPE/PME, sans jargon juridique inutile.
1. Le RGPD en 2 minutes
Le Reglement General sur la Protection des Donnees (RGPD, Reglement UE 2016/679) est entre en vigueur le 25 mai 2018. Il s'applique a toute entreprise qui collecte ou traite des donnees personnelles de residents europeens, quelle que soit sa taille.
Oui, meme si vous etes auto-entrepreneur avec un site WordPress et 200 visiteurs par mois. Le RGPD ne fait pas de distinction de taille.
Ce que le RGPD considere comme "donnee personnelle"
- Adresse email
- Nom et prenom
- Adresse IP (meme dynamique)
- Identifiants de cookies
- Donnees de geolocalisation
- Identifiant publicitaire (Google, Facebook)
En clair : des qu'un cookie permet d'identifier ou de suivre un visiteur (meme indirectement), c'est une donnee personnelle.
2. Cookies : ce que dit la loi
La directive ePrivacy (2002)
Avant meme le RGPD, la directive ePrivacy (2002/58/CE, article 5-3) imposait deja le consentement pour les cookies non essentiels. En France, elle est transposee dans l'article 82 de la loi Informatique et Libertes.
Le principe est simple
- Cookies necessaires (session, panier, securite) : pas besoin de consentement
- Cookies analytics (Google Analytics, Hotjar) : consentement obligatoire
- Cookies marketing (Facebook Pixel, Google Ads) : consentement obligatoire
Le consentement doit etre recueilli AVANT le depot des cookies. Pas apres. Pas en meme temps. Avant.
3. Les exigences de la CNIL
La CNIL a publie ses lignes directrices (deliberation n° 2020-091 du 17 septembre 2020) et ses recommandations pratiques (1er octobre 2020). Voici ce qu'elle exige :
3.1 Le bandeau de consentement doit
- Informer clairement de la finalite de chaque cookie
- Proposer d'accepter ou de refuser avec la meme facilite
- Ne PAS pre-cocher les cases
- Ne PAS utiliser de "dark patterns" (couleur du bouton "Accepter" vs "Refuser")
- Permettre de modifier son choix a tout moment
- Conserver la preuve du consentement
3.2 Durees maximales recommandees
- Duree de vie des cookies : 13 mois maximum
- Validite du consentement : 25 mois maximum, puis re-solliciter
- Conservation des preuves : 5 ans recommande (prescription de droit commun)
3.3 Le "scroll" ou la "poursuite de navigation" ne valent PAS consentement
La CNIL l'a clairement rappele : continuer a naviguer sur un site ne constitue pas un consentement valide. Il faut un acte positif et univoque (clic sur "Accepter").
4. Google Consent Mode v2
Depuis mars 2024, Google exige que les sites utilisant Google Ads ou Google Analytics dans l'Espace Economique Europeen implementent le Google Consent Mode v2.
Sans CMP compatible Consent Mode v2 :
- Vos audiences Google Ads ne se construisent plus
- Vos conversions Google Ads ne sont plus trackees
- Vos donnees Google Analytics 4 sont incompletes
ConsentLab supporte nativement Google Consent Mode v2. Les signaux sont envoyes automatiquement des que le visiteur fait son choix.
5. Les sanctions
La CNIL ne plaisante pas. Les amendes cookies sont parmi les plus frequentes :
- Google : 150 millions d'euros (2022) pour cookies deposes sans consentement
- Facebook : 60 millions d'euros (2022) pour la meme raison
- Criteo : 40 millions d'euros (2023)
- TPE/PME : amendes de 5 000 a 100 000 euros selon les cas
Le RGPD prevoit des amendes jusqu'a 4% du chiffre d'affaires annuel mondial ou 20 millions d'euros (le montant le plus eleve). Pour les cookies specifiquement, la CNIL peut prononcer des amendes jusqu'a 2% du CA.
6. Checklist de conformite cookies
Voici ce que votre site doit faire :
- Afficher un bandeau de consentement AVANT tout depot de cookie non essentiel
- Proposer d'accepter et de refuser avec la meme facilite
- Permettre de personnaliser par categorie (analytics, marketing, etc.)
- Bloquer les scripts tiers tant que le consentement n'est pas donne
- Enregistrer et conserver la preuve du consentement
- Permettre de modifier son choix a tout moment
- Envoyer les signaux Google Consent Mode v2 (si vous utilisez Google)
- Avoir une politique de cookies accessible et detaillee
7. Comment ConsentLab vous aide
ConsentLab coche toutes les cases de la checklist ci-dessus, automatiquement :
- Bandeau conforme CNIL : accepter/refuser avec la meme facilite, pas de dark patterns
- Blocage automatique des scripts : aucun cookie non essentiel avant consentement
- Google Consent Mode v2 : signaux envoyes nativement
- Preuves de consentement : archivees avec horodatage, exportables en CSV
- Donnees en France : hebergement OVH, aucun transfert hors UE
- Installation en 2 minutes : 1 ligne de code, pas de configuration complexe
Commencer gratuitement — 5 000 sessions/mois, domaines illimites