La règle, en clair
Un cookie strictement nécessaire au fonctionnement du site ne demande pas de consentement : panier, session connectée, mémorisation du choix de langue, et sous conditions certaines mesures d'audience.
Tout le reste, publicité, réseaux sociaux, mesure d'audience non exemptée, partage avec des tiers, exige un consentement préalable, libre, spécifique, éclairé et univoque. Trois conséquences pratiques que les bandeaux respectent rarement :
- Préalable signifie avant le dépôt, pas pendant le chargement de la page.
- Libre signifie que refuser doit être aussi simple qu'accepter, sur le même écran, en un clic. Un bouton « Tout accepter » face à un lien « Paramétrer » écrit en gris ne remplit pas cette condition.
- Univoque signifie une action positive. Continuer à naviguer ne vaut pas consentement.
Ce sont ces points qui ont fondé les sanctions les plus lourdes prononcées en France en la matière, et l'écart le plus fréquemment relevé n'est pas l'absence de bandeau, c'est le dépôt avant le clic.
L'erreur la plus fréquente, et pourquoi elle passe inaperçue
Un site installe un bandeau de consentement, généralement une extension. Le bandeau s'affiche, le gestionnaire est configuré, le dirigeant considère le sujet réglé.
Sauf que les scripts de mesure d'audience et de réseaux sociaux sont restés dans le code de la page, avant le bandeau. Ils se chargent donc au moment où la page s'affiche, c'est-à-dire avant que le visiteur ait vu la question. Le bandeau bloque ce qui viendra après, pas ce qui est déjà parti.
Cette configuration est invisible depuis votre navigateur : vous avez accepté une fois, votre choix est mémorisé, et vous ne revoyez jamais le comportement d'un premier visiteur. Elle se voit en revanche immédiatement depuis l'extérieur, en arrivant sur le site sans historique.
La correction consiste à charger ces scripts conditionnellement, après le consentement, et non à les laisser dans la page en espérant que le bandeau s'en charge.
La question des transferts hors Union européenne
Un traceur qui envoie des données vers un serveur situé hors de l'Union européenne ajoute une couche juridique à la question du consentement. Le sujet a connu plusieurs revirements depuis dix ans, et il continue d'évoluer.
Sans entrer dans le détail juridique, qui relève de votre conseil, une position raisonnable pour une TPE ou une PME tient en deux points : privilégier des outils dont l'hébergement est en Europe quand une alternative existe, et savoir précisément ce que votre site charge. Beaucoup de dirigeants découvrent en auditant leur site qu'ils envoient des données vers trois ou quatre services dont ils ignoraient l'existence, ajoutés par un thème ou par un prestataire précédent.
Notre audit relève les traceurs déposés dès l'arrivée et leur origine géographique. Nous ne portons aucun jugement juridique, nous établissons un constat factuel que votre conseil peut ensuite qualifier.
Vérifier votre site en trois minutes, sans outil
- Ouvrez une fenêtre de navigation privée, pour arriver sans historique ni choix mémorisé.
- Allez sur votre site, et ne touchez pas au bandeau.
- Ouvrez les outils de développement du navigateur, onglet Application ou Stockage, section Cookies.
Tout ce qui apparaît à cet instant a été déposé sans votre consentement. Si vous y trouvez autre chose qu'un cookie de session ou de préférence, la configuration est à revoir.
Faites le même test sur le bouton de refus : cliquez sur « Refuser », rechargez, et regardez si la liste est réellement vide. Un bandeau qui dépose malgré un refus est le cas le plus grave, et il n'est pas rare.
Ce que nous mesurons
Six constats dans cette catégorie : les traceurs présents dès l'arrivée, leur nombre, leur origine, les attributs de sécurité des cookies posés, la présence d'un mécanisme de consentement, et la présence d'une politique de confidentialité atteignable.
Nous mesurons ce qu'un visiteur reçoit lors d'une première visite, sans interagir avec le bandeau. C'est exactement la situation qu'examine un contrôle, et c'est le seul angle qui révèle le dépôt anticipé.
Le versant technique des cookies, leurs attributs de sécurité, est traité dans l'article sur les en-têtes de sécurité. Le versant obligations est à voir avec votre conseil juridique : notre rôle s'arrête au constat mesuré.