Pourquoi la CMP ne supprime-t-elle pas les cookies existants après un refus ?
Il arrive qu'un utilisateur accepte les cookies, puis change d'avis et retire son consentement via la bannière de gestion des préférences. En inspectant son navigateur, il constate alors que les cookies déposés précédemment sont toujours présents.
C'est un comportement normal, partagé par l'ensemble des CMP du marché (Consent Management Platforms). Cet article explique pourquoi ces cookies ne sont pas supprimés, et pourquoi cela reste conforme au RGPD et aux exigences de la CNIL.
Ce que dit la réglementation
Contrairement à une idée répandue, aucun texte n'impose la suppression physique des cookies déjà déposés lors du retrait du consentement, ni le RGPD, ni la directive ePrivacy, ni l'article 82 de la loi Informatique et Libertés.
L'obligation légale porte sur autre chose : faire cesser toute opération de lecture et d'écriture de ces cookies dès que l'utilisateur retire son consentement.
Deux textes structurent cette analyse :
Article 7(3) du RGPD : « le retrait du consentement ne compromet pas la licéité du traitement fondé sur le consentement effectué avant ce retrait ». Le dépôt initial des cookies, effectué avec le consentement de l'utilisateur, était licite. Ce qui compte juridiquement, c'est ce qui se passe après le retrait.
FAQ cookies de la CNIL (question 29) : la CNIL indique que l'éditeur « peut faire cesser les opérations de lecture ou d'écriture en supprimant les cookies déposés sur le navigateur ». La suppression est présentée comme un moyen possible d'atteindre l'objectif, pas comme une obligation. Pour les cookies tiers, la CNIL demande « la désactivation de toute requête vers les domaines tiers », pas leur effacement.
Les décisions récentes de la CNIL (Orange, novembre 2024 ; Condé Nast, SAN-2025-010) confirment cette lecture : les sanctions ont porté sur la poursuite de la lecture des cookies après le retrait, jamais sur l'absence de suppression. L'exigence retenue est la mise en place de solutions techniques empêchant la lecture, y compris pour les cookies liés au domaine de l'éditeur.
La raison technique : une CMP ne peut pas tout supprimer
Au-delà du droit, il existe une limite technique incontournable liée au fonctionnement des navigateurs.
La politique de sécurité des navigateurs (same-origin policy) fait qu'un script JavaScript exécuté sur votre site, ce qu'est la CMP, ne peut accéder qu'aux cookies rattachés à votre propre domaine :
Cookies first-party (votre domaine)
✅ Techniquement possible
Cookies third-party (domaines partenaires : régies publicitaires, outils de mesure, etc.)
❌ Impossible, seul le domaine qui a déposé le cookie peut le supprimer
Une CMP qui prétendrait « supprimer tous les cookies » au moment du refus ne pourrait donc tenir cette promesse que partiellement. Plutôt que d'offrir une garantie trompeuse, l'approche standard consiste à agir là où se situe la véritable obligation : le blocage.
Ce qui se passe réellement lors du retrait du consentement
Lorsque l'utilisateur retire son consentement :
La CMP enregistre le nouveau statut de consentement et le transmet aux partenaires (par exemple via le TCF de l'IAB).
Les scripts et tags soumis à consentement ne sont plus chargés.
Les requêtes vers les domaines tiers concernés ne sont plus émises.
Conséquence : les cookies encore visibles dans le navigateur ne sont plus jamais lus, écrits, ni transmis. Ils deviennent des fichiers inertes (« dead files »), sans aucune fonction. Aucun traitement de données personnelles n'a lieu, c'est précisément ce que la réglementation exige.
Ces cookies inertes finissent par disparaître d'eux-mêmes : à leur date d'expiration, ou lorsque l'utilisateur nettoie les données de son navigateur.
Comment vérifier que le blocage est effectif
La présence d'un cookie dans le navigateur n'est pas un indicateur de traçage. Le bon indicateur, c'est le trafic réseau. Pour le vérifier :
Ouvrez les outils de développement du navigateur (F12), onglet Réseau (Network).
Acceptez les cookies, puis retirez votre consentement via la bannière.
Rechargez la page et observez les requêtes : aucune requête ne doit être émise vers les domaines des partenaires soumis à consentement, et les cookies concernés ne doivent apparaître dans les en-têtes d'aucune requête.
C'est ce critère d'effectivité du retrait que la CNIL contrôle lors de ses vérifications.
En résumé
La réglementation n'exige pas la suppression des cookies déjà déposés, mais l'arrêt effectif de toute lecture et écriture après le retrait du consentement.
Techniquement, une CMP ne peut de toute façon pas supprimer les cookies tiers (same-origin policy).
Après un refus, la CMP bloque les scripts et les requêtes concernés : les cookies restants sont inertes et aucun traitement n'a lieu.
La conformité se vérifie dans le trafic réseau, pas dans la simple présence de cookies sur le terminal.
Pour aller plus loin
Mis à jour
Ce contenu vous a-t-il été utile ?