CHECKLIST
Votre bandeau s'affiche. Mais recueillir un consentement valable, c'est autre chose.
Une campagne non performante se repère à son faible taux de conversion. Un formulaire défaillant, aux soumissions qui échouent. Un bandeau de consentement non conforme, lui, peut passer inaperçu ; il s'affiche, collecte des clics, déclenche vos balises et alimente vos tableaus de bord avec un taux de consentement rassurant. Rien, en apparence, n'indique que le consentement recueilli soit valable. Le risque se révèle souvent trop tard : lors d’une plainte, d’un contrôle ou d’une mise en demeure de la CNIL. Et si le consentement n’est pas libre, spécifique, éclairé et univoque, ce n’est pas seulement une balise qui peut être remise en cause, mais l’ensemble des traitements construits sur cette base..
1
Une seule des conditions fait défaut, et le consentement recueilli n'est pas valable.
Le consentement doit être libre, spécifique, éclairé et univoque.
Là où la conformité des bandeaux se joue vraiment
Ce guide vous aide à vérifier quatre points clés de conformité de votre bandeau :
- Conception et fonctionnement - Visuellement, « refuser » et « accepter » sont rarement aussi alignés qu'ils en ont l'air. Ce que la CNIL exige réellement : refus proposé au même niveau que l'acceptation, cases pré-cochées proscrites, navigation et scroll non assimilables à un consentement, et le silence de l'utilisateur doit être traité comme un refus.
- Conservation et retrait - La plupart des équipes oublient que le consentement a une durée de vie limitée, négligeant ainsi le plafond recommandé par la CNIL, l'obligation de tracer un refus avec le même soin qu'une acceptation, et la nécessité d'offrir une option de retrait simple, un point sur lequel presque toutes les intégrations trébuchent.
- Informations nécessaires - Ce qu'il faut porter à la connaissance de l'utilisateur avant de recueillir son consentement (identité des responsables de traitement, finalités, conséquences d'un refus), et pourquoi un simple renvoi vers vos CGU ne suffit pas.
- Classification des finalités - Pourquoi Google Analytics et les balises déclenchées via GTM nécessitent un consentement dès qu'ils permettent un suivi inter-sites, ainsi que les cinq conditions strictes de la CNIL pour que la mesure d'audience puisse bénéficier d'une exemption.
Bien plus qu'un PDF : un guide conçu pour passer à l'action.
Si vous êtes responsable du site sans intervenir sur les validations juridiques, si l'on vous a dit que le bandeau de cookies était un module installé une fois pour toutes, ou si vous ne pouvez pas affirmer avec certitude que votre bouton « Tout refuser » est aussi simple d'accès que votre bouton « Tout accepter », alors ce guide est fait pour vous. Cette checklist est conçue pour vérifier point par point chaque critère de conformité tiré de l'article 82 de la loi Informatique et Libertés, des lignes directrices de la CNIL (délibération n° 2020-091) et de sa recommandation « cookies et autres traceurs » (délibération n° 2020-092). Vous pouvez la partager avec vos équipes juridiques et techniques.
Questions fréquentes avant de télécharger
Dès que l’une des quatre conditions définies par la CNIL fait défaut. Le consentement doit être libre, spécifique, éclairé et univoque : si l’une de ces conditions manque, il n’est pas valablement recueilli et peut remettre en cause l’ensemble du consentement obtenu via ce mécanisme.
Dès que l’une des quatre conditions définies par la CNIL fait défaut. Le consentement doit être libre, spécifique, éclairé et univoque : si l’une de ces conditions manque, il n’est pas valablement recueilli et peut remettre en cause l’ensemble du consentement obtenu via ce mécanisme.
Si un bouton « Tout accepter » figure au premier niveau du bandeau, un bouton « Tout refuser » doit figurer au même niveau, avec une visibilité, une taille et une hiérarchie visuelle équivalentes. Le refus ne doit exiger ni plus d'étapes, ni plus d'efforts que l'acceptation, et ni la couleur ni le contraste ne doivent orienter le choix vers l'acceptation.
Si un bouton « Tout accepter » figure au premier niveau du bandeau, un bouton « Tout refuser » doit figurer au même niveau, avec une visibilité, une taille et une hiérarchie visuelle équivalentes. Le refus ne doit exiger ni plus d'étapes, ni plus d'efforts que l'acceptation, et ni la couleur ni le contraste ne doivent orienter le choix vers l'acceptation.
Oui, dès qu'ils permettent un suivi inter-sites, des transferts vers des tiers ou qu'ils dépassent les conditions strictes d'exemption de la CNIL. En Advanced Consent Mode, le script GA4 peut se charger avant que l’utilisateur ait exprimé son choix : même sans dépôt de cookies en cas de refus ou d’absence de réponse, des signaux dits « cookieless pings » peuvent être transmis aux serveurs de Google, ce qui nécessite un consentement.
Oui, dès qu'ils permettent un suivi inter-sites, des transferts vers des tiers ou qu'ils dépassent les conditions strictes d'exemption de la CNIL. En Advanced Consent Mode, le script GA4 peut se charger avant que l’utilisateur ait exprimé son choix : même sans dépôt de cookies en cas de refus ou d’absence de réponse, des signaux dits « cookieless pings » peuvent être transmis aux serveurs de Google, ce qui nécessite un consentement.
Pas nécessairement. Contrairement aux traceurs publicitaires, certains outils de mesure d'audience peuvent être exemptés de consentement s'ils respectent l'ensemble des conditions de la CNIL : mesure réalisée pour le seul éditeur du site, limitée à la seule mesure d'audience, sans suivi inter-sites, statistiques strictement anonymes, sans recoupement des données ni transmission à des tiers. La CNIL met à disposition un outil d'auto-évaluation ; aucune solution ne peut se présenter comme « certifiée » ou « validée » par elle.
Pas nécessairement. Contrairement aux traceurs publicitaires, certains outils de mesure d'audience peuvent être exemptés de consentement s'ils respectent l'ensemble des conditions de la CNIL : mesure réalisée pour le seul éditeur du site, limitée à la seule mesure d'audience, sans suivi inter-sites, statistiques strictement anonymes, sans recoupement des données ni transmission à des tiers. La CNIL met à disposition un outil d'auto-évaluation ; aucune solution ne peut se présenter comme « certifiée » ou « validée » par elle.
La CNIL recommande, à titre indicatif, de ne pas dépasser environ six mois avant de solliciter à nouveau le consentement. Celui-ci doit également être redemandé si les finalités ou les services concernés évoluent. Le choix exprimé, qu’il s’agisse d’une acceptation ou d’un refus, doit être mémorisé pour que le bandeau ne réapparaisse pas à chaque nouvelle page consultée.
La CNIL recommande, à titre indicatif, de ne pas dépasser environ six mois avant de solliciter à nouveau le consentement. Celui-ci doit également être redemandé si les finalités ou les services concernés évoluent. Le choix exprimé, qu’il s’agisse d’une acceptation ou d’un refus, doit être mémorisé pour que le bandeau ne réapparaisse pas à chaque nouvelle page consultée.
Comment pouvons-nous vous accompagner ?
Cette checklist vous donne le cadre. S'assurer que votre site la respecte en pratique est un autre défi. JustRelate etracker déploie pendant 30 jours, en parallèle de votre stack existante, une architecture de mesure exempte de consentement, conforme à la directive ePrivacy (transposée en LIL en France) et au RGPD. Ce dispositif permet d'analyser jusqu'à 99 % de vos visites et conversions, tout en réalisant un audit précis de votre configuration actuelle au regard de ce guide.