Le 16 octobre 2026, le Conseil d'État a rejeté le recours d'Orange contre la délibération de la CNIL (Commission nationale de l'informatique et des libertés) du 14 novembre 2024, rendue publique le 10 décembre suivant. La facture reste à 50 millions d'euros, avec deux manquements retenus et une injonction de cesser certaines lectures de cookies sous astreinte de 100 000 euros par jour. Rien de spectaculaire dans la forme : une décision de rejet, des considérants techniques. Sur le fond, la plus haute juridiction administrative française valide une lecture du consentement qui ne laisse plus beaucoup de place à l'improvisation.
Le réflexe serait de classer l'affaire dans la catégorie « gros opérateur, grosse amende, rien à voir avec un site de PME ». C'est une erreur de lecture. Orange n'a pas été sanctionné pour avoir affiché un bandeau cookie imparfait. Il l'a été pour deux pratiques précises, que beaucoup de sites reproduisent à une autre échelle, souvent sans le savoir.
Deux manquements, pas un décor
Le premier tient à la messagerie. Dans la boîte de réception des utilisateurs, des publicités prenaient l'apparence de véritables courriels. Le procédé n'est pas seulement agaçant : il brouille la frontière entre un message personnel et une annonce commerciale. Et surtout, ces affichages publicitaires n'avaient rien à voir avec le fonctionnement technique du service. Ils exigeaient donc un consentement préalable, qui manquait.
Le second est plus discret, et probablement plus répandu. Sur le site orange.fr, des cookies continuaient d'être lus après que des visiteurs avaient retiré leur consentement. La CNIL ne reproche pas ici la présence d'un bandeau, mais son inefficacité : un retrait doit être aussi simple que le consentement, et produire un effet immédiat. Une case décochée dans un panneau de préférences ne vaut rien si les scripts continuent de tourner derrière.
La preuve, pas la vitrine
Le point décisif est procédural, et il concerne tous les sites : il appartient au responsable de traitement de démontrer que le consentement a été valablement recueilli, comme le prévoit l'article 7.1 du RGPD (Règlement général sur la protection des données). Ce n'est pas à l'internaute de prouver qu'il a refusé. Or beaucoup d'organisations traitent encore le bandeau comme une formalité graphique : on l'installe, on le paramètre une fois, on n'y touche plus.
Un bandeau qui s'affiche ne prouve rien. Ce qui constitue une preuve, c'est autre chose : l'horodatage du choix, la version exacte du texte présenté, la portée du consentement (finalités, catégories de partenaires), le canal utilisé, et la trace d'un éventuel retrait. Stocker tout cela dans un cookie first-party est un début, pas une garantie : le premier nettoyage de navigateur efface la preuve avec le consentement.
Un bandeau affiché n'est pas un consentement recueilli. C'est une interface, pas une preuve.
Cette asymétrie explique pourquoi les contentieux se jouent rarement sur le design. Ils se jouent sur la capacité à reconstituer ce qui s'est passé, plusieurs mois après, pour un utilisateur donné.
Trois vérifications avant de retoucher son bandeau
Pour un site qui hésite encore sur sa méthode, l'audit utile ne commence pas par la maquette. Il commence par la liste des traceurs et par ce qui se déclenche avant tout clic.
- Inventorier avant de dessiner. Navigation privée, onglet Réseau des outils de développement, page vidée : recharger le site et regarder quelles requêtes partent avant toute interaction. Analytics, pixels publicitaires, tests A/B, cartes embarquées, chats : chaque script a un responsable, une finalité et une base légale.
- Tester le refus comme un utilisateur. Le bouton « Refuser » doit être aussi accessible que « Accepter », sur le même écran, sans détour ni second clic. Un refus plus coûteux qu'un accord est un signal faible, et les autorités le lisent comme tel.
- Relire les réglages par défaut de sa CMP (plateforme de gestion du consentement). Catégories pré-cochées, intérêts légitimes activés d'office, partenaires ajoutés après la mise en production : la dette de conformité se loge presque toujours dans les paramètres que personne ne rouvre.
Ce que la décision ne règle pas
Il faut résister à deux conclusions hâtives. La première serait de lire l'arrêt comme une interdiction des cookies : ce n'est pas le cas. Le texte ne condamne ni la mesure d'audience ni la publicité personnalisée en soi ; il condamne l'absence de consentement valable et le mépris du retrait. La seconde serait d'y voir un barème : 50 millions d'euros ne sont pas le prix d'un bandeau. La sanction a été jugée proportionnée à l'audience du groupe et à la durée des manquements, pas à la gravité d'un problème d'interface.
Reste une objection légitime : la conformité coûte du temps et de l'argent, surtout pour une petite structure. C'est vrai. Mais le risque principal n'est pas une amende de 50 millions. C'est un contrôle, une plainte, un audit client, un partenariat qui exige des garanties. Et le moyen le plus efficace de réduire ce risque n'est pas d'acheter un meilleur bandeau : c'est de poser moins de traceurs. Un site qui mesure sa fréquentation avec un outil sobre et n'affiche pas de publicité comportementale n'a presque rien à prouver.
L'arrêt du 16 octobre 2026 ne déclenchera probablement pas une vague de sanctions immédiates. Il rend surtout la doctrine de la CNIL plus difficile à contester, au moment où le consentement s'impose comme régime par défaut dans d'autres canaux : depuis le 11 août 2026, le démarchage téléphonique exige lui aussi un accord préalable. La question n'est plus de savoir si un bandeau est obligatoire, mais ce qu'il permet réellement de démontrer. Sur ce point, on ne sait pas encore comment les contrôles vont évoluer. Une chose est sûre : ce qui n'est pas documenté n'existe pas.