Cookies, refus et petits sites : ce que l’amende d’Orange change vraiment

Le 16 octobre 2026, le Conseil d’État a confirmé l’amende de 50 millions d’euros infligée à Orange par la CNIL?. Voici ce qui s’est passé, et ce que ça change pour le site d’un artisan ou d’une TPE.

Refuser les cookies, ça doit vraiment arrêter les cookies.

Tout part d’un contrôle de la CNIL sur deux pratiques d’Orange. Rien d’exotique : une messagerie et un site web, comme on en utilise tous les jours.

La CNIL a relevé deux manquements, sanctionnés par une seule amende :

• Les publicités dans Mail Orange : des annonces glissées entre les vrais e-mails de la boîte de réception, avec l’apparence d’un courriel, alors que le consentement des utilisateurs n’avait pas été valablement recueilli.
• Les cookies d’orange.fr : quand un visiteur retirait son consentement, les cookies déjà déposés pouvaient encore être lus par Orange ou par ses partenaires.

Le 14 novembre 2024, la formation restreinte? de la CNIL a prononcé une amende de 50 millions d’euros (délibération SAN-2024-019). Orange a contesté la décision, et le Conseil d’État a rejeté son recours le 16 octobre 2026.

Le point qui m’a le plus marqué : Orange expliquait que ces cookies n’étaient pas exploités ensuite. Le Conseil d’État a répondu que ça ne changeait rien.

« On ne s’en servait pas » : un argument qui ne tient pas

C’est le cœur de la décision. Pour le juge, il suffit de lire un cookie après le retrait du consentement pour être en faute, quoi qu’on fasse ensuite des informations.

• Avant le consentement : aucun traceur? non indispensable ne doit être déposé ni lu.
• Après un refus ou un retrait : c’est la même chose. Le traceur doit s’arrêter, pas seulement « dormir ».

Orange plaidait aussi que l’amende était disproportionnée. Là encore, le Conseil d’État ne l’a pas suivie : il a estimé que 50 millions d’euros, soit 0,11 % du chiffre d’affaires mondial de l’entreprise, restaient proportionnés à la gravité des faits.

Côté cookies, la CNIL avait déjà clôturé son injonction en septembre 2025, après la mise en conformité d’Orange (communiqué de la CNIL).

Et pour un petit site, concrètement ?

On pourrait se dire que tout ça ne concerne que les géants. Pourtant, la règle est la même pour tout le monde : l’article 82 de la loi Informatique et Libertés, en cause ici, ne fait aucune différence selon la taille du site.

Sur un site de pâtissier, de gîte ou d’artisan, les traceurs arrivent souvent sans qu’on s’en rende compte :

• Les outils de statistiques? : Google Analytics et ses équivalents.
• Les pixels publicitaires? : Facebook, Instagram, Google Ads.
• Les polices chargées depuis un serveur externe : Google Fonts appelé à distance, par exemple.
• Les vidéos intégrées : un lecteur YouTube posé sur la page d’accueil.

Chacun de ces éléments peut contacter un serveur tiers dès l’ouverture de la page. Si ça se produit avant que le visiteur ait dit oui, ou après qu’il a dit non, on est exactement dans le cas sanctionné.

La bannière cookies : un vrai interrupteur, pas une décoration

Une bannière conforme, ce n’est pas un bandeau qui informe pendant que tout se charge derrière. Il faut :

• Un vrai choix : un bouton « Refuser » aussi simple d’accès que le bouton « Accepter ».
• Un blocage réel : les scripts tiers? attendent le consentement avant de se lancer.
• Un retrait facile : le visiteur peut changer d’avis à tout moment, et son nouveau choix s’applique immédiatement.

Pour les vidéos, une solution simple consiste à afficher une image d’aperçu : le lecteur ne se charge qu’au clic. Pour les polices, on peut les héberger directement sur le site, et le visiteur ne contacte plus aucun serveur extérieur.

Les e-mails de prospection aussi

L’autre volet de la sanction concerne la publicité par e-mail. La règle de base : on ne démarche pas par courriel un particulier qui n’a pas donné son accord au préalable. Il existe une exception quand l’adresse a été recueillie lors d’une vente ou d’une prestation et que l’on propose des produits ou services similaires, à condition d’offrir à chaque envoi un moyen simple de se désinscrire (analyse du cabinet Kohen Avocats).

Une case pré-cochée dans un formulaire de contact ne vaut pas consentement.

Pourquoi un site statique part avec un avantage

J’en parlais dans mon article sur pourquoi j’ai choisi Astro : par défaut, un site Astro? envoie uniquement du HTML? et du CSS?. Aucun script ne s’ajoute sans qu’on l’ait choisi.

Résultat : il y a peu de traceurs à surveiller, et chaque script tiers est un choix assumé, visible dans le code.

Attention quand même, statique ne veut pas dire conforme d’office. Dès qu’on ajoute un outil de statistiques, un pixel ou une vidéo intégrée, les mêmes règles s’appliquent. L’avantage, c’est qu’on part d’une page blanche.

Les mentions légales, l’autre point à surveiller

Les cookies ne sont pas la seule obligation d’un site professionnel. Les mentions légales en font partie aussi, et un oubli peut également coûter cher.

La loi pour la confiance dans l’économie numérique (LCEN) impose à tout site professionnel d’afficher certaines informations :

• Qui vous êtes : votre nom ou la raison sociale, l’adresse et un moyen de contact.
• Votre identification : le numéro SIRET ou RCS, et le numéro de TVA si vous en avez un.
• Qui publie le site : le nom du responsable de la publication.
• Qui l’héberge : le nom, l’adresse et le contact de l’hébergeur.

En cas de manquement, la loi prévoit jusqu’à un an d’emprisonnement et 75 000 € d’amende pour une personne physique, et jusqu’à 375 000 € pour une société.

Une page mentions légales se rédige une fois, mais elle se relit à chaque changement d’adresse, de statut ou d’hébergeur.

En conclusion

Ce que le visiteur refuse doit vraiment s’arrêter, quelle que soit la taille du site.

Bannière cookies, scripts tiers, e-mails de prospection, mentions légales : ce sont des règles simples, mais on les perd vite de vue. Je ne suis pas juriste, et chaque site a ses particularités. Si vous avez un doute, le mieux reste de faire vérifier votre site. Vous pouvez me contacter pour qu’on regarde ensemble ce qui se charge sur vos pages, ou découvrir mes réalisations pour voir comment je construis mes sites.