Bandeau cookies : faut-il en mettre un sur son site d'artisan ?

Un électricien ouvre le site d'un confrère sur son téléphone, garé devant un chantier. Un panneau gris recouvre l'écran : accepter, paramétrer, refuser. Il tape à côté, le panneau revient, il ferme l'onglet. Trente secondes plus tard il se demande si son propre site devrait afficher la même chose—et si le fait qu'il ne l'affiche pas lui vaudra un jour une amende.

La réponse tient en une ligne : le bandeau ne vient pas du site, il vient de ce que le site charge. Un site vitrine qui ne dépose rien dans le navigateur de ses visiteurs n'a aucun bandeau à afficher. Le jour où il branche Google Analytics, le bandeau devient obligatoire—et il ne s'agit pas d'une case à cocher, mais d'un dispositif qui doit réellement bloquer le traceur tant que personne n'a dit oui.

Pour savoir ce que les artisans font vraiment, nous avons regardé. Voici ce que nous avons trouvé, puis ce que la règle dit, puis ce que le bandeau coûte quand on décide de le poser quand même.

1. Ce que chargent réellement 110 sites d'artisans

Nous avons pris les 117 sites d'entreprises artisanales de notre propre fichier de prospection—des électriciens, des installateurs de bornes de recharge, des entreprises d'électricité générale, tous en France. Le 4 septembre 2026, nous avons demandé la page d'accueil de chacun comme le ferait un navigateur, et cherché dans le HTML reçu les adresses des scripts de mesure et de publicité les plus répandus. Six sites n'ont pas répondu, un domaine était en vente : il reste 110 sites d'artisans réellement analysés.

Le détail vaut d'être lu, parce qu'il dit à quoi ressemble le paysage plutôt qu'à quoi il devrait ressembler. Google Analytics apparaît sur 19 sites, Google Tag Manager sur 11, Matomo sur 5, les scripts publicitaires de Google sur 4, le pixel Facebook sur 1, Microsoft Clarity sur 1. Un dispositif de consentement est visible sur 55 sites—la moitié—mais 31 d'entre eux n'ont aucun traceur dans leur page d'accueil : c'est exactement le bon comportement, le script n'est chargé qu'après le clic sur « accepter ». Et 44 sites n'ont ni traceur ni bandeau. Ils ne mesurent rien, et ils n'ont rien à demander à personne.

Les 11 sites en défaut se répartissent en deux familles très différentes. Neuf chargent un outil Google—Analytics ou Tag Manager—qui n'est jamais exempté de consentement en France. Deux chargent Matomo, qui peut l'être s'il est configuré sans cookie et sans recoupement ; le HTML ne permet pas de trancher, alors nous ne tranchons pas. Un dixième cas mérite d'être cité pour ce qu'il enseigne : un site proposait bien un lien de désinscription au suivi. Un refus proposé après avoir commencé à compter n'est pas un consentement—c'est l'inverse exact de ce que le texte demande.

Deux limites honnêtes à cette mesure. Elle ne voit que le HTML de départ : un script installé plus tard par du code lui échappe, donc le chiffre de 35 est un plancher, pas un plafond. Et l'échantillon penche vers l'électricité, parce que c'est le métier de notre dernier fichier de prospection. Nous ne prétendons pas qu'il représente tous les artisans de France ; nous disons ce que nous avons ouvert, et ce que nous y avons vu.

2. C'est le traceur qui crée le bandeau, jamais le site

L'article 82 de la loi Informatique et Libertés vise une chose précise : lire ou écrire une information dans le terminal du visiteur. Un cookie, bien sûr, mais aussi une valeur rangée dans la mémoire du navigateur, ou une empreinte reconstituée à partir de l'appareil. Dès qu'un site fait cela pour autre chose que son fonctionnement strict, le consentement devient obligatoire. Tant qu'il ne le fait pas, la question ne se pose pas.

Le bon réflexe, c'est donc d'inverser la question. Un artisan ne se demande pas « dois-je mettre un bandeau ? » mais « est-ce que mon site dépose quelque chose chez mes visiteurs ? ». Un formulaire de contact, non. Une carte, une vidéo hébergée ailleurs, un bouton de partage, un outil de statistiques croisé avec d'autres services : oui, et le bandeau suit.

La CNIL prévoit une exemption pour la mesure d'audience, mais elle est étroite et conditionnelle. Les statistiques doivent être anonymes, produites pour le seul compte de l'éditeur du site, sans recoupement avec d'autres traitements et sans suivre l'internaute d'un site à l'autre. Google Analytics ne remplit aucune de ces conditions : les données partent chez Google, qui les recoupe avec le reste de ce qu'il sait. Un Matomo auto-hébergé, configuré sans cookie et avec l'adresse IP tronquée, peut y entrer. C'est toute la différence entre les deux familles de sites que notre relevé a séparées.

Le détail complet des quatre obligations d'un site vitrine—mentions légales, médiateur, RGPD, cookies—est dans notre guide sur les obligations légales d'un site d'artisan. Ici, nous restons sur le bandeau, parce que c'est la seule de ces obligations que vous déclenchez vous-même, en installant quelque chose.

3. Google Analytics : ce que ça coûte vraiment

Brancher Analytics prend dix minutes et ne coûte pas un euro. La facture arrive ailleurs, en trois fois.

D'abord le bandeau lui-même, qui doit apparaître avant que le script ne parte. Ensuite votre responsabilité : à partir de ce moment, c'est vous—pas l'outil, pas votre prestataire—qui êtes responsable du traitement, qui devez informer, tenir le registre, et répondre si quelqu'un se plaint. Enfin le résultat, qui déçoit presque toujours. En France, avec un bandeau où refuser est aussi simple qu'accepter, une large part des visiteurs refuse. Les chiffres que vous lirez ensuite ne décrivent plus votre site : ils décrivent la moitié de vos visiteurs qui a cliqué « accepter ». Un couvreur qui compare son mois de mai à son mois de juin compare deux échantillons différents sans le savoir.

Il y a un signal moins visible, et qui compte pour un artisan. Un panneau qui recouvre l'écran d'entrée dit au visiteur : cette page va prendre quelque chose. Sur un site de plombier consulté un dimanche soir par quelqu'un qui a de l'eau au sol, cette friction arrive au pire moment. Un site qui s'ouvre directement sur le numéro de téléphone se lit comme un atelier rangé ; un site qui s'ouvre sur une demande d'autorisation se lit comme une administration.

4. Ce qu'un bandeau conforme doit faire

Un rectangle avec un bouton « J'accepte » ne suffit pas, et c'est l'erreur que notre relevé a rencontrée le plus souvent chez ceux qui avaient fait un effort. Quatre exigences, dans l'ordre où elles se cassent.

• Rien ne part avant le clic. Le script de mesure doit être bloqué tant que le visiteur n'a rien choisi. Un bandeau posé par-dessus un Analytics déjà chargé ne protège personne : il décore.
• Refuser doit être aussi simple qu'accepter. Même écran, même nombre de clics. Un « Tout accepter » bien visible et un refus caché derrière « Paramétrer » est précisément ce que la CNIL a sanctionné.
• Le choix doit être révocable. Un visiteur qui a accepté doit pouvoir revenir en arrière, depuis un lien accessible en permanence.
• Le refus doit durer. Redemander à chaque page transforme le refus en épuisement, ce qui n'est pas un consentement libre.

Et ces quatre points doivent tenir dans chaque langue affichée par le site. Pour un artisan de zone frontalière dont le site existe en français et en allemand, le bandeau existe deux fois, et se vérifie deux fois.

5. Compter sans bandeau : ce à quoi il faut renoncer

L'autre voie consiste à mesurer sans jamais rien écrire dans le navigateur. C'est celle que nous avons prise pour les sites Sitigo, et elle a un prix—pas en euros, en renoncements.

Sans identifiant déposé sur l'appareil, deux visites ne peuvent pas être rattachées l'une à l'autre. Disparaissent donc : le nombre de visiteurs, la durée d'une visite, le taux de rebond, le chemin suivi d'une page à l'autre. Reste ce qui se compte sans reconnaître personne : le nombre de fois qu'une page a été vue, et le nombre de fois qu'un bouton a été utilisé.

Ce renoncement est exactement ce qui paie l'absence de bandeau. Il vaut la peine d'être dit clairement, parce qu'il change la façon de lire les chiffres : si votre page d'accueil a été vue 340 fois et votre bouton « Appeler » cliqué 28 fois, cela ne signifie pas que 28 personnes sur 340 ont appelé. Ces 28 clics viennent peut-être de 28 personnes, peut-être d'une seule revenue plusieurs fois. Ce n'est pas un taux de conversion, et l'appeler ainsi serait un mensonge confortable.

En échange, un chiffre inattendu devient lisible : le nombre de clics sur le bouton d'appel. Google Analytics ne le donne pas nativement, alors que c'est la seule mesure qui touche vraiment un artisan—combien de fois ce site a mis quelqu'un en contact.

6. La question que vous vous posez vraiment

Quand un carreleur demande Google Analytics, il veut rarement Analytics. Il veut savoir si on le trouve, sur quels mots, et devant qui. Cette réponse-là n'est pas dans Analytics : elle est dans la Search Console de Google, qui montre les recherches ayant mené à votre site, votre position moyenne et vos clics. Elle ne dépose aucun cookie chez vos visiteurs, ne charge aucun script sur votre site, et ne déclenche donc aucun bandeau. Elle est gratuite, et la vérification tient dans un fichier à déposer.

La différence mérite d'être nommée, parce qu'elle décide de l'outil. Analytics regarde ce qui se passe une fois les gens arrivés. La Search Console regarde comment ils arrivent—et pour un artisan qui se demande si son investissement sert à quelque chose, c'est la moitié utile. Notre guide sur le référencement local détaille ce qu'on y lit, et l'espace client montre où déposer le fichier de vérification en deux minutes.

7. Questions fréquentes

Un site vitrine d'artisan doit-il afficher un bandeau cookies ?

Seulement s'il dépose des traceurs soumis à consentement. Un site qui n'écrit rien dans le navigateur de ses visiteurs—pas de statistiques tierces, pas de pixel publicitaire, pas de bouton de partage ni de vidéo embarquée—n'a aucun bandeau à afficher. C'est le cas de 44 des 110 sites d'artisans que nous avons relevés en septembre 2026.

Google Analytics oblige-t-il à mettre un bandeau cookies ?

Oui. Analytics dépose des identifiants dans le navigateur et transmet les données à Google, qui les recoupe avec ses autres services : il ne remplit aucune des conditions de l'exemption prévue par la CNIL pour la mesure d'audience. Le consentement doit être recueilli avant tout chargement du script, avec un refus aussi simple que l'acceptation.

Quelle sanction si mon site charge Analytics sans bandeau ?

La CNIL peut prononcer une mise en demeure puis une sanction financière, et elle l'a fait sur ce motif précis. En pratique, un artisan est très loin des dossiers qui déclenchent un contrôle : le risque réel, à cette échelle, commence par une plainte d'un visiteur ou d'un concurrent. Le point à retenir n'est pas l'amende—c'est que la mise en conformité coûte plus cher après qu'avant.

Existe-t-il une mesure d'audience sans bandeau ?

Oui, à condition de renoncer à reconnaître les visiteurs. Un comptage qui n'écrit ni ne lit rien dans le terminal sort du champ de l'article 82 et n'a pas à être accepté. Il rend des vues de page et des clics sur boutons, jamais un nombre de visiteurs ni un parcours. Un Matomo auto-hébergé sans cookie et avec IP tronquée entre aussi dans les conditions d'exemption de la CNIL.

Puis-je juste proposer un lien de désinscription au suivi ?

Non. Un refus proposé après avoir commencé à compter n'est pas un consentement : le texte demande une autorisation préalable, pas une porte de sortie. Nous avons rencontré ce montage sur un des sites relevés—c'est un réglage livré par défaut avec certaines extensions, ce qui le rend d'autant plus fréquent qu'il est invisible pour celui qui l'installe.

Et si mon site affiche une carte ou une vidéo ?

Une carte interactive ou une vidéo hébergée ailleurs charge des ressources du fournisseur, qui peut déposer ses propres traceurs : le bandeau redevient nécessaire. Les contournements existants sont connus : une image cliquable qui renvoie vers l'itinéraire plutôt qu'une carte embarquée, une vignette qui ne charge la vidéo qu'au clic.

Guide d'information générale à jour en septembre 2026, ne se substituant pas à un conseil juridique personnalisé. Relevé des 110 sites effectué le 4 septembre 2026 : requête de la page d'accueil, détection des traceurs par l'adresse du script, vérification manuelle de chacun des 11 cas signalés. Sources : cnil.fr, legifrance.gouv.fr.