Le taux de consentement conditionne le volume de conversions remontées à Google Ads et à Meta, donc le niveau de signal disponible pour les enchères automatiques. Autant partir des règles publiées par la CNIL plutôt que d’une configuration par défaut de CMP. Ce guide reprend ce que la CNIL exige : les qualités du consentement, les traceurs exemptés, la symétrie entre acceptation et refus, la durée de conservation des choix et le régime de sanction. Pour la suite de la chaîne de mesure, voir notre rubrique tracking et mesure.

Les quatre qualités exigées du consentement

La CNIL rappelle que le consentement doit être libre, spécifique, éclairé et univoque, par renvoi aux articles 4 et 7 du RGPD (CNIL). Elle ajoute qu’il doit être aussi simple de retirer son consentement que de le donner, et que les solutions de retrait doivent être accessibles à tout moment (CNIL). Sur la page consacrée à la mise en conformité, elle illustre ce retrait par un lien en pied de page (CNIL).

Analyse de Trafic Manager : l’exigence de retrait aussi facile que le dépôt se traduit par un point d’entrée permanent vers les préférences cookies, accessible depuis toutes les pages. Un bandeau qui disparaît définitivement après le premier clic laisse l’utilisateur sans moyen simple de revenir sur son choix. Le caractère univoque écarte par ailleurs toute déduction tirée d’un comportement passif : scroll, temps passé ou navigation vers une autre page ne valent pas consentement.

Quels traceurs nécessitent un consentement

Le critère d’exemption repris par la CNIL est le suivant : échappent au consentement les traceurs strictement nécessaires à la fourniture d’un service de communication en ligne expressément demandé par l’utilisateur, ou qui ont pour finalité exclusive de permettre ou faciliter une communication par voie électronique (CNIL).

La CNIL liste les traceurs relevant de ces exemptions, parmi lesquels les mécanismes d’authentification et de sécurité, la mémorisation du panier d’achat, la personnalisation de l’interface (langue, présentation), l’équilibrage de charge, la limitation d’accès à un contenu gratuit, les traceurs conservant le choix de l’utilisateur sur le dépôt de cookies, et certains outils de mesure d’audience sous conditions (CNIL).

Analyse de Trafic Manager : la mesure d’audience n’étant exemptée que sous conditions, un outil analytics ne peut pas être traité par défaut comme un traceur essentiel. L’exemption s’apprécie au niveau de la finalité du traceur, si bien qu’un même outil peut couvrir des fonctions exemptées et des fonctions soumises à consentement. Les traceurs publicitaires, le remarketing et les pixels de conversion n’entrent dans aucune des catégories exemptées listées par la CNIL : ils relèvent du consentement préalable, d’où la nécessité d’une architecture de mesure capable de fonctionner avec un volume de signaux partiel. Sur ce point, voir nos guides sur le Consent Mode v2 et sur le GTM server side.

Refuser doit être aussi simple qu’accepter

La CNIL énonce que l’utilisateur doit pouvoir accepter ou refuser le dépôt et/ou la lecture des cookies avec le même degré de simplicité (CNIL).

Pour matérialiser cette symétrie, elle précise qu’au stade du premier niveau d’information, les utilisateurs peuvent avoir le choix entre deux boutons présentés au même niveau et sur le même format (CNIL).

Elle indique également que toute action autre que celle permettant explicitement d’accepter, par exemple la fermeture du bandeau de recueil de consentement, doit être considérée comme un refus (CNIL).

Analyse de Trafic Manager : la croix de fermeture ne doit donc jamais être traitée comme un consentement implicite, ni comme un état neutre autorisant le dépôt en attendant un choix ultérieur. Des libellés du type « tout accepter » et « tout refuser » restent la façon la plus lisible de respecter l’égalité de niveau et de format. Vérifiez ce comportement dans votre CMP : le réglage varie d’un éditeur à l’autre et n’est pas toujours conforme par défaut.

Ce qui ne peut pas servir de recueil du consentement

La CNIL exclut expressément une modalité fréquente : l’acceptation de conditions générales d’utilisation ne peut pas être une modalité valable de recueil du consentement (CNIL).

Analyse de Trafic Manager : cette exclusion vise les parcours où le consentement cookies est agrégé à une autre acceptation contractuelle, typiquement lors d’une création de compte ou d’une commande. Le consentement cookies se recueille séparément, avec son propre choix.

Durée de conservation des choix : la référence des six mois

La CNIL considère qu’une durée de six mois, tant pour le consentement que pour le refus, est en général appropriée (CNIL). Elle ajoute que les choix de l’utilisateur doivent, en principe, être conservés durant leur navigation sur le site (CNIL).

Analyse de Trafic Manager : la symétrie de durée compte autant que celle des boutons, puisque conserver un consentement longtemps et un refus brièvement revient à réinterroger plus souvent ceux qui ont refusé. Ces deux règles se contrôlent vite. Vérifiez la durée de vie du cookie de consentement de votre CMP, et vérifiez qu’aucune navigation interne ne fait réapparaître le bandeau à un utilisateur qui a déjà tranché.

Calendrier de référence et régime de sanction

La CNIL a adopté ses lignes directrices et sa recommandation sur les cookies le 1er octobre 2020, avec un délai de six mois pour la mise en conformité, soit au plus tard fin mars 2021 (CNIL).

Le 18 mai 2021, la présidente de la CNIL a décidé de mettre en demeure une vingtaine d’organismes qui ne permettaient pas aux internautes de refuser les cookies aussi facilement que de les accepter, avec un délai d’un mois pour se conformer. Ces organismes se sont tous mis en conformité (CNIL).

Sur le volet financier, la CNIL indique qu’en cas de non-conformité à la législation sur les cookies, les organismes encourent des sanctions pécuniaires pouvant aller jusqu’à 2 % de leur chiffre d’affaires (CNIL).

Points de contrôle à passer sur votre bandeau

À partir des règles ci-dessus, voici les vérifications à effectuer sur une implémentation existante :

  1. Le premier niveau d’information propose deux boutons présentés au même niveau et sur le même format, l’un pour accepter, l’autre pour refuser.
  2. La fermeture du bandeau est enregistrée comme un refus, et non comme une absence de choix autorisant le dépôt.
  3. Aucun traceur soumis à consentement ne se déclenche avant le choix, hors traceurs relevant des exemptions listées par la CNIL.
  4. Le retrait du consentement est accessible à tout moment, avec le même degré de simplicité que son recueil.
  5. La durée de conservation du choix est identique pour le consentement et pour le refus, la CNIL retenant six mois comme durée en général appropriée.
  6. Le consentement cookies n’est pas adossé à l’acceptation de conditions générales d’utilisation.
  7. Le choix reste conservé pendant la navigation sur le site.

Analyse de Trafic Manager : traitez ces sept points comme un audit à repasser après chaque mise à jour de CMP ou refonte de tunnel. Un déploiement conforme peut redevenir non conforme après un simple changement de template, et le premier symptôme visible côté média reste une variation inexpliquée du volume de conversions remontées.