> For the complete documentation index, see [llms.txt](https://cmp.docs.sirdata.net/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://cmp.docs.sirdata.net/faq/conditionnement/pourquoi-la-cmp-ne-supprime-t-elle-pas-les-cookies-existants-apres-un-refus.md). # Pourquoi la CMP ne supprime-t-elle pas les cookies existants après un refus ? Il arrive qu'un utilisateur accepte les cookies, puis change d'avis et retire son consentement via la bannière de gestion des préférences. En inspectant son navigateur, il constate alors que les cookies déposés précédemment sont toujours présents. C'est un comportement normal, partagé par l'ensemble des CMP du marché (Consent Management Platforms). Cet article explique pourquoi ces cookies ne sont pas supprimés, et pourquoi cela reste conforme au RGPD et aux exigences de la CNIL. ### Ce que dit la réglementation Contrairement à une idée répandue, **aucun texte n'impose la suppression physique des cookies déjà déposés** lors du retrait du consentement, ni le RGPD, ni la directive ePrivacy, ni l'article 82 de la loi Informatique et Libertés. L'obligation légale porte sur autre chose : **faire cesser toute opération de lecture et d'écriture** de ces cookies dès que l'utilisateur retire son consentement. Deux textes structurent cette analyse : * **Article 7(3) du RGPD** : « le retrait du consentement ne compromet pas la licéité du traitement fondé sur le consentement effectué avant ce retrait ». Le dépôt initial des cookies, effectué avec le consentement de l'utilisateur, était licite. Ce qui compte juridiquement, c'est ce qui se passe *après* le retrait. * **FAQ cookies de la CNIL (question 29)** : la CNIL indique que l'éditeur « *peut* faire cesser les opérations de lecture ou d'écriture en supprimant les cookies déposés sur le navigateur ». La suppression est présentée comme *un moyen possible* d'atteindre l'objectif, pas comme une obligation. Pour les cookies tiers, la CNIL demande « la désactivation de toute requête vers les domaines tiers », pas leur effacement. Les décisions récentes de la CNIL (Orange, novembre 2024 ; Condé Nast, SAN-2025-010) confirment cette lecture : les sanctions ont porté sur la **poursuite de la lecture des cookies après le retrait**, jamais sur l'absence de suppression. L'exigence retenue est la mise en place de solutions techniques **empêchant la lecture**, y compris pour les cookies liés au domaine de l'éditeur. ### La raison technique : une CMP ne peut pas tout supprimer Au-delà du droit, il existe une limite technique incontournable liée au fonctionnement des navigateurs. La politique de sécurité des navigateurs (*same-origin policy*) fait qu'un script JavaScript exécuté sur votre site, ce qu'est la CMP, ne peut accéder qu'aux cookies rattachés à votre propre domaine : | Type de cookie | Suppression possible par la CMP ? | | ------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------- | | Cookies *first-party* (votre domaine) | ✅ Techniquement possible | | Cookies *third-party* (domaines partenaires : régies publicitaires, outils de mesure, etc.) | ❌ Impossible, seul le domaine qui a déposé le cookie peut le supprimer | Une CMP qui prétendrait « supprimer tous les cookies » au moment du refus ne pourrait donc tenir cette promesse que partiellement. Plutôt que d'offrir une garantie trompeuse, l'approche standard consiste à agir là où se situe la véritable obligation : **le blocage**. ### Ce qui se passe réellement lors du retrait du consentement Lorsque l'utilisateur retire son consentement : 1. La CMP enregistre le nouveau statut de consentement et le transmet aux partenaires (par exemple via le TCF de l'IAB). 2. Les scripts et tags soumis à consentement ne sont plus chargés. 3. Les requêtes vers les domaines tiers concernés ne sont plus émises. Conséquence : les cookies encore visibles dans le navigateur ne sont **plus jamais lus, écrits, ni transmis**. Ils deviennent des fichiers inertes (« *dead files* »), sans aucune fonction. Aucun traitement de données personnelles n'a lieu, c'est précisément ce que la réglementation exige. Ces cookies inertes finissent par disparaître d'eux-mêmes : à leur date d'expiration, ou lorsque l'utilisateur nettoie les données de son navigateur. ### Comment vérifier que le blocage est effectif La présence d'un cookie dans le navigateur n'est pas un indicateur de traçage. Le bon indicateur, c'est le trafic réseau. Pour le vérifier : 1. Ouvrez les outils de développement du navigateur (F12), onglet **Réseau** (*Network*). 2. Acceptez les cookies, puis retirez votre consentement via la bannière. 3. Rechargez la page et observez les requêtes : aucune requête ne doit être émise vers les domaines des partenaires soumis à consentement, et les cookies concernés ne doivent apparaître dans les en-têtes d'aucune requête. C'est ce critère d'**effectivité du retrait** que la CNIL contrôle lors de ses vérifications. ### En résumé * La réglementation n'exige pas la suppression des cookies déjà déposés, mais l'**arrêt effectif de toute lecture et écriture** après le retrait du consentement. * Techniquement, une CMP ne peut de toute façon pas supprimer les cookies tiers (*same-origin policy*). * Après un refus, la CMP bloque les scripts et les requêtes concernés : les cookies restants sont inertes et aucun traitement n'a lieu. * La conformité se vérifie dans le trafic réseau, pas dans la simple présence de cookies sur le terminal. ### Pour aller plus loin * [CNIL — Questions-réponses sur les lignes directrices et la recommandation « cookies et autres traceurs »](https://cnil.fr/fr/cookies-et-autres-traceurs/regles/cookies/FAQ) * [CNIL — Cookies et traceurs : que dit la loi ?](https://www.cnil.fr/fr/cookies-et-autres-traceurs/que-dit-la-loi) * [RGPD, article 7(3) — Conditions applicables au consentement](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX%3A32016R0679) --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://cmp.docs.sirdata.net/faq/conditionnement/pourquoi-la-cmp-ne-supprime-t-elle-pas-les-cookies-existants-apres-un-refus.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.