Checklist du consentement aux cookies GDPR

Le GDPR, lu avec les règles ePrivacy que chaque pays de l’EU transpose localement, place la barre haut pour les cookies. Le consentement doit être libre, spécifique, éclairé et univoque, et il doit intervenir avant que le traceur ne s’exécute. Un bandeau qui se contente d’annoncer les cookies, ou qui laisse l’analytique se déclencher au chargement de la page, échoue au test, aussi soigné soit-il.

Cette checklist passe en revue les exigences concrètes. Traitez chaque point comme quelque chose que vous pouvez vérifier dans un navigateur ou dans vos registres, et pas seulement comme un réglage que vous avez activé une fois puis oublié.

Le blocage préalable est le fondement. Tant que le visiteur n’a pas donné son accord, tout script non essentiel doit rester inerte : analytique, pixels publicitaires, intégrations sociales, heatmaps et widgets de chat. Seuls les cookies strictement nécessaires, ceux qui servent à afficher la page ou à maintenir une session, peuvent s’exécuter sans consentement.

Vérifiez-le en chargeant votre site dans une fenêtre privée et en surveillant l’onglet Réseau avant de cliquer sur quoi que ce soit. Si vous voyez des appels vers des domaines de suivi avant le consentement, vous n’êtes pas conforme, quoi que dise le bandeau.

Les régulateurs en Allemagne, en France et dans toute l’EU ont été explicites : refuser ne doit pas être plus difficile qu’accepter. Cela signifie un bouton Accepter et un bouton Refuser au même niveau, avec le même poids visuel, sur la première couche du bandeau. Cacher Refuser derrière un écran Gérer les préférences alors qu’Accepter tient en un clic est un dark pattern reconnu.

La CNIL française en particulier a sanctionné de grands sites pour exactement ce déséquilibre. Si votre design rend le refus plus lent ou moins évident que l’acceptation, corrigez cela en priorité.

Le consentement doit être spécifique : regroupez donc les traceurs en catégories claires telles que analytique, marketing et personnalisation, et laissez le visiteur choisir par catégorie. Rien ne doit être précoché ni préactivé. Un bouton unique Tout accepter convient tant qu’un bouton unique Tout refuser est également disponible et que les contrôles granulaires existent pour ceux qui les souhaitent.

Les cases précochées ont été jugées invalides par la Cour de justice de l’EU : une case décochée par défaut n’est donc pas facultative.

Un consentement qui ne peut pas être retiré n’est pas libre. Les visiteurs ont besoin d’un moyen permanent et évident de changer d’avis plus tard, comme un petit contrôle flottant ou un lien qui rouvre le centre de préférences. Le retrait doit être aussi facile que le consentement initial, et une fois retiré, les traceurs doivent s’arrêter.

Une lacune courante consiste à ne proposer le retrait que sur une page de confidentialité enfouie. Gardez le déclencheur de réouverture visible sur chaque page.

Si un régulateur le demande, vous devez pouvoir montrer ce qu’un visiteur donné a accepté et quand. Cela suppose un enregistrement par événement de consentement, capturant le choix, l’horodatage et, idéalement, la version exacte de l’avis que le visiteur a vu. Des reçus infalsifiables qui lient la version de la politique et une empreinte à chaque enregistrement transforment cette affirmation en preuve.

Sans registres, vous comptez sur le régulateur pour vous croire sur parole, ce qui n’est pas une position enviable lors d’un audit.

L’Allemagne applique le GDPR aux côtés du BDSG fédéral et du TDDDG, qui transpose la règle ePrivacy sur le stockage, et les autorités allemandes refusent la poursuite de la navigation comme consentement. La France fait appliquer la loi via la CNIL, qui publie des lignes directrices détaillées sur la conception des bandeaux et est intervenue sur le déséquilibre du Tout refuser et sur les choix peu clairs.

Si vous opérez dans toute l’EU, concevez selon l’interprétation la plus stricte. Un bandeau qui satisfait les régulateurs allemands et français satisfera généralement le reste du bloc.