Les exigences tiennent en six points, et chacun correspond à un manquement régulièrement relevé lors des contrôles.
Refuser doit être aussi simple qu'accepter. Le bouton de refus figure au premier niveau, avec un poids visuel comparable. Un refus relégué derrière un lien « paramétrer » en petits caractères ne satisfait pas cette exigence.
Le consentement résulte d'un acte positif. Le silence, le défilement, la fermeture du bandeau ou un clic ailleurs dans la page ne valent pas accord. Les cases pré-cochées sont exclues.
L'information précède le choix. Finalités décrites en termes compréhensibles, identité des destinataires accessible, durée de conservation indiquée.
Le retrait est aussi simple que l'accord. Un moyen permanent de revenir sur son choix doit rester disponible, généralement par un lien discret en pied de page.
Le refus se respecte dans la durée. Une personne qui a refusé ne doit pas être resollicitée à chaque visite. La CNIL retient un délai de l'ordre de six mois avant de représenter la demande.
Le refus ne bloque pas l'accès. Conditionner la consultation du site à l'acceptation reste un sujet contentieux, et les dispositifs de type « payer ou accepter » font l'objet d'un examen strict.
Ces règles ne sont pas théoriques. Les décisions de décembre 2021 ont sanctionné Google à hauteur de 150 millions d'euros et Facebook de 60 millions, précisément sur la difficulté à refuser, et les contrôles se sont depuis étendus à des acteurs de toutes tailles.
Tous les cookies ne sont pas soumis au recueil préalable. L'exemption vise ceux qui sont strictement nécessaires à la fourniture du service demandé par l'utilisateur.
| Type de traceur | Exemple | Consentement |
|---|---|---|
| Fonctionnel essentiel | Panier, session connectée, langue choisie | Non requis |
| Sécurité | Détection de fraude, équilibrage de charge | Non requis |
| Mesure d'audience restreinte | Statistiques agrégées, sans recoupement ni partage | Exemption possible sous conditions |
| Mesure d'audience standard | Outil d'analyse relié à une régie publicitaire | Requis |
| Publicité et personnalisation | Pixels sociaux, retargeting, mesure de conversion | Requis |
L'exemption de mesure d'audience mérite une attention particulière, parce qu'elle est souvent revendiquée à tort. Elle suppose une finalité limitée au suivi statistique du site, l'absence de recoupement avec d'autres traitements, l'absence de transmission à des tiers et une durée de conservation encadrée. Un outil d'analyse relié à un compte publicitaire ne remplit pas ces conditions, quelle que soit la façon dont il est configuré.
Une CMP fait trois choses. Elle affiche le bandeau et enregistre le choix. Elle conserve la preuve de ce choix, avec sa date et son périmètre, ce qui constitue l'élément demandé en cas de contrôle. Et elle transmet l'état du consentement aux scripts du site, qui se déclenchent ou restent inertes en conséquence.
Ce troisième point est celui où les installations échouent le plus souvent. Un bandeau parfaitement rédigé ne sert à rien si les balises se déclenchent quand même au chargement de la page. Le contrôle se fait en une minute : refuser, ouvrir l'onglet réseau du navigateur, et regarder quelles requêtes partent malgré tout.
Le cadre de transparence du secteur publicitaire, dit TCF, normalise la façon dont ce signal circule entre le site, les régies et leurs partenaires. Il facilite l'interopérabilité mais ne dispense en rien de vérifier le comportement réel des balises sur ses propres pages.
Du côté des outils Google, le Consent Mode transmet l'état du consentement aux balises, qui adaptent leur comportement plutôt que de s'éteindre. Sa version 2 est requise depuis mars 2024 pour les annonceurs qui souhaitent continuer à recevoir des données de mesure et d'audience dans l'Espace économique européen. Une partie des conversions perdues est alors estimée par modélisation, ce qui produit des chiffres utiles pour le pilotage mais qui ne sont plus des comptages.
Quand un visiteur refuse, aucun identifiant ne peut être déposé. La visite n'est rattachée à aucun parcours, la conversion n'est attribuée à aucune source, et le visiteur qui revient trois jours plus tard est compté comme un nouveau. Selon la configuration, la visite disparaît totalement des rapports ou y remonte sous une forme agrégée.
Les conséquences se cumulent sur trois terrains. L'attribution perd sa matière première, puisqu'elle repose sur le chaînage des points de contact. Le retargeting voit son audience se réduire. Et les taux de conversion affichés baissent mécaniquement, sans que les ventes réelles aient bougé, ce qui produit des réunions de pilotage difficiles quand personne n'a fait le lien.
Les taux de refus varient fortement selon le secteur, le pays, le type d'appareil et la formulation du bandeau. C'est pourquoi aucun coefficient de redressement standard ne doit être appliqué : le seul chiffre qui vaille est celui mesuré sur votre propre audience, et il se relève.
C'est aussi ce qui a remis au premier plan les méthodes qui ne dépendent pas du suivi individuel : les données propriétaires collectées avec consentement explicite, le suivi côté serveur, les tests d'incrémentalité et le marketing mix modeling.
Auditer les traceurs réellement déposés. La liste déclarée dans le bandeau et la liste effective divergent presque toujours, parce que des outils s'ajoutent au fil des mois sans que le bandeau soit mis à jour.
Réduire le nombre de traceurs. Chaque outil retiré simplifie l'information à fournir, allège la page et diminue la surface de risque. Un site qui charge trente scripts tiers n'est pas seulement un problème juridique, c'est aussi un problème de vitesse et de Core Web Vitals.
Soigner la formulation. Un bandeau qui explique en une phrase à quoi servent les mesures obtient un meilleur taux d'acceptation qu'un texte juridique. La conformité et le taux d'acceptation ne s'opposent pas nécessairement.
Vérifier après chaque déploiement. Une mise à jour du site ou d'une extension peut réintroduire un script qui se déclenche avant le choix. Le contrôle en navigation privée, refus en main, mérite d'entrer dans la liste des vérifications de mise en ligne.
Documenter. Registre des traitements, preuves de consentement, politique de confidentialité à jour, durées de conservation. C'est ce dossier qui est demandé en cas de contrôle, et il se constitue au fil de l'eau bien plus facilement qu'en urgence.
