Tous les cookies d'un site exigent-ils un accord préalable ?

Le rapport du groupe de travail de l'EDPB vise les cookies qui exigent un consentement : aucun ne doit être déposé par défaut avant celui-ci. Il ne suffit donc pas de désactiver quelques catégories visibles dans l'interface si d'autres se chargent déjà. La qualification de chaque traceur doit être faite avant le test du bandeau, car le rapport ne déclare pas tous les cookies identiques.

Une case précochée vaut-elle consentement pour l'analytique ?

Non. Le groupe de travail de l'EDPB confirme qu'une case cochée à l'avance ne donne pas un consentement valable. Le choix doit résulter d'une action positive de l'utilisateur, et les cookies qui en dépendent ne doivent pas être posés avant ce choix. Testez le site avec un navigateur neuf pour vérifier la séquence réelle, pas seulement le texte du bandeau.

Le site doit-il proposer un moyen de retirer son consentement ?

Oui. Le rapport de l'EDPB demande une solution facilement accessible à tout moment, par exemple une icône ou un lien visible. Le retrait doit pouvoir être trouvé depuis le site sans rechercher un ancien écran d'inscription. L'équipe peut vérifier ce parcours comme celui de l'accord initial, en observant ce que le site fait avant et après le retrait.

Que faut-il afficher près d'un formulaire de contact ?

Lorsqu'un responsable collecte des données directement auprès d'une personne, l'article 13, paragraphe 1, exige notamment son identité et ses coordonnées, les finalités du traitement et sa base juridique au moment de l'obtention. Une mention placée seulement après l'envoi arrive trop tard pour ces éléments. La présentation peut être claire et liée au formulaire sans reproduire tout le texte juridique dans un petit champ.

Google Analytics est-il automatiquement conforme au RGPD ?

Les quatre sources citées ici ne permettent pas de conclure qu'un réglage ou qu'une version de Google Analytics est automatiquement conforme. Vérifiez d'abord si des traceurs soumis au consentement se chargent avant un choix positif, quelles données le formulaire et l'outil collectent, et quelles informations sont données. Le nom du fournisseur ne remplace pas l'examen du déploiement réel.

Un bouton Refuser peut-il être remplacé par Plus d'options ?

La plupart des autorités réunies dans le rapport de l'EDPB estiment que l'absence d'une option de refus au niveau du bouton « Accepter » ne respecte pas les exigences d'un consentement valable et constitue une infraction. Quelques autorités ne concluent pas nécessairement à une infraction, car l'article 5(3) de la directive ePrivacy ne mentionne pas expressément un bouton « Refuser » [1]. « Plus d'options » ne suffit donc pas à lui seul.

Quelles preuves du consentement un site devrait-il garder ?

Distinguez les tests du site de la preuve du consentement individuel. Les captures datées montrent la configuration et le comportement des traceurs; elles ne prouvent pas qu'une personne a consenti. Consignez son choix, l'heure, la version de l'information présentée et le mécanisme reliant ces éléments à ce choix. L'article 7, paragraphe 1, exige que le responsable puisse démontrer ce consentement [2].

RGPD site internet : cookies, formulaires et analytique

Réponse rapide : Le RGPD site internet impose un choix positif avant les cookies non essentiels, avec refus et retrait faciles. Le formulaire informe sur le responsable, la finalité et la base juridique dès la collecte. Pour Google Analytics, examinez traceurs, rôles, transferts hors de l'EEE et preuves du consentement.¹^,2^,3^,4

Résumé sous forme de carte mentale

RGPD site internet : cookies, formulaires et analytique
│
├─ Avant le choix
│   ├─ Identifier les cookies soumis à accord
│   ├─ Vérifier qu'aucun ne se charge d'avance
│   └─ Constater le comportement réel du site
│
├─ Pendant le choix
│   ├─ Obtenir une action positive
│   ├─ Exclure les cases précochées
│   └─ Permettre un refus effectif
│
├─ Après le choix
│   ├─ Rendre le retrait facile d'accès
│   ├─ Retester les traceurs après retrait
│   └─ Garder une preuve datée du parcours
│
└─ Autres parcours
    ├─ Informer avant l'envoi du formulaire
    ├─ Examiner l'outil d'analytique réel
    └─ Qualifier les rôles et les flux ouverts

La décision à prendre sur chaque parcours

Un site internet ne se met pas en conformité en ajoutant une seule bannière. Trois parcours doivent être observés séparément : la visite avant tout choix, l'envoi d'un formulaire et l'utilisation d'un outil d'analytique. Le rapport du groupe de travail de l'EDPB porte sur le dépôt ou la lecture des cookies et sur la validité du consentement; l'article 13 du RGPD concerne l'information fournie lorsque les données sont recueillies auprès de la personne ¹^,2. Ces questions se croisent, sans se confondre.

Dans un studio web, la façon la plus utile de commencer consiste à ouvrir une session vierge, à noter ce qui se charge avant toute action, puis à répéter le parcours avec un refus et avec un accord. Le formulaire peut être testé à part : quelle information apparaît avant l'envoi et à quel endroit ? Ce protocole est une méthode de contrôle éditoriale. Il ne prétend pas que chaque site suit une architecture ou une technologie donnée.

La comparaison de deux options structure ensuite le travail. Soit le site charge un traceur qui exige un consentement avant l'action de l'utilisateur : il faut corriger la séquence. Soit il attend effectivement l'action positive : il reste à vérifier que le choix est valable, que le retrait est accessible et que les informations nécessaires sont données. Le rapport EDPB précise que les cookies nécessitant un consentement ne peuvent, par défaut, être déposés sans celui-ci ¹.

Parcours observé	Question vérifiable	Source de la règle
Avant tout choix	Un cookie exigeant un consentement est-il déjà déposé ?	Rapport EDPB, paragraphe 7 ¹
Au moment du choix	L'utilisateur accomplit-il une action positive ?	Rapport EDPB, paragraphes 7 et 11 ¹
Après le choix	Le retrait reste-t-il facilement accessible ?	Rapport EDPB, paragraphe 33 ¹
Au formulaire	Les informations essentielles sont-elles données à la collecte ?	Article 13, paragraphe 1 ²

Cette grille sépare la règle d'un simple élément graphique. Un bouton visuellement présent peut être inopérant; un lien vers une politique peut arriver après la collecte. La preuve ne réside donc pas seulement dans une capture d'écran agréable, mais dans le comportement du site à chaque étape.

Quels cookies attendent l'accord ?

Le groupe de travail de l'EDPB pose un principe sur les cookies qui exigent le consentement : ils ne doivent pas être déposés par défaut sans celui-ci, et le consentement doit être exprimé par une action positive ¹. La première tâche est donc de dresser la liste des traceurs effectivement présents, de leur moment de chargement et de la décision qui les autorise. Une catégorie baptisée « technique » dans une interface ne dispense pas d'examiner ce qu'elle fait.

Un test utile distingue la page d'accueil, une page de produit, le formulaire et un contenu embarqué. À chaque étape, le studio peut constater si un traceur s'ajoute avant le choix. Cette observation ne classe pas juridiquement le traceur à elle seule; elle met à l'épreuve l'affirmation selon laquelle rien de soumis à accord ne se charge par défaut. Le classement doit être justifié séparément.

Le rapport EDPB décrit une erreur fréquente de raisonnement : partir de l'apparence du bandeau alors que le dépôt a déjà eu lieu ¹. Une page qui affiche « nous respectons votre choix » mais déclenche le chargement avant ce choix présente une différence entre promesse et comportement. La correction porte sur la séquence technique, non seulement sur la rédaction du message.

L'analytique ne bénéficie d'aucune exemption du seul fait de son nom. Un cookie qui sert à retenir une préférence exprimée par l'utilisateur au sujet d'un service peut, lui, être considéré comme essentiel selon le paragraphe 30 du rapport; cette qualification dépend de sa finalité réelle ¹. Un traceur analytique qui nécessite l'accord attend l'action positive avant son dépôt ¹.

Accepter, refuser et agir vraiment

Le rapport de l'EDPB rappelle que le consentement doit être une action positive, et qu'une case précochée ne permet pas d'obtenir un consentement valable au sens invoqué dans le rapport ¹. L'option « Accepter » ne doit donc pas masquer une décision déjà prise pour l'utilisateur. Un réglage actif avant qu'il voie le bandeau est incompatible avec l'idée d'une décision préalable pour les cookies concernés.

Le rapport relève que la plupart des autorités membres jugent l'absence de refus au niveau où figure « Accepter » incompatible avec les exigences d'un consentement valable; quelques autorités n’y voient pas nécessairement une infraction, car l’article 5(3) ne mentionne pas expressément un bouton de refus ¹. Un simple accès à « Plus d'options » ne garantit donc pas un refus équivalent. Le studio doit tester si « Refuser » empêche effectivement le dépôt des traceurs concernés.

Option présentée	Ce qu'il faut constater	Ce que la capture seule ne prouve pas
Accepter	Une action positive précède les cookies concernés	L'absence de dépôt antérieur
Refuser	Le parcours aboutit sans ces cookies	L'absence de chargement transitoire
Paramétrer	Les catégories correspondent aux traceurs actifs	La justesse du classement juridique

Le consentement, selon l'EDPB, doit être libre, éclairé, spécifique et univoque, donné activement avant le traitement et librement retirable ³. Un contrôle qualité doit donc examiner l'information et l'action, pas seulement le nom des boutons. Il faut pouvoir comprendre ce qui est accepté et vérifier que le refus ne se transforme pas en consentement implicite.

Le test doit comparer les gestes nécessaires : si un clic accorde le consentement, le retrait ne doit pas exiger une recherche longue ou plusieurs écrans obscurs. Le paragraphe 34 exige que retirer soit aussi facile que donner le consentement ¹.

Rendre le retrait accessible

Une personne doit pouvoir revenir sur son choix. Le groupe de travail de l'EDPB demande aux propriétaires de sites une solution facilement accessible permettant le retrait à tout moment, par exemple une icône ou un lien visible ¹. Cette exigence se teste depuis une page ordinaire, après la fermeture du bandeau initial. Le visiteur ne devrait pas dépendre d'une capture d'écran de son premier passage pour retrouver le contrôle.

Le studio peut vérifier trois états : une visite sans accord, une visite après accord, puis une visite après retrait. Il note l'élément d'interface utilisé et le comportement des traceurs concernés. Le troisième état apporte une preuve différente du premier, car il démontre que le parcours de retrait existe après que l'utilisateur a pris une décision. Le rapport EDPB parle explicitement de la possibilité de retirer le consentement à tout moment ¹.

Un lien visible n'est utile que s'il mène à une action compréhensible. Comparez directement le parcours d'accord et celui de retrait : nombre d'étapes, visibilité du contrôle et effet réel sur les traceurs. Le retrait doit être aussi facile que l'octroi; le rapport n'impose cependant pas une icône flottante précise ¹.

Les tests datés peuvent montrer la version du bandeau, l'emplacement du lien de retrait et son fonctionnement. Ils documentent le réglage du site, non le consentement d'une personne précise; celui-ci doit pouvoir être démontré séparément ².

Informer au moment du formulaire

Le formulaire pose une question juridique distincte des cookies. Quand des données personnelles sont obtenues directement auprès de la personne, l'article 13, paragraphe 1, demande au responsable de fournir, au moment de l'obtention, son identité et ses coordonnées, les finalités du traitement et sa base juridique ². Une mention publiée seulement dans un courriel envoyé après le formulaire ne répondrait pas au moment décrit par ce texte.

L'information doit aussi couvrir, selon les cas, les destinataires, les transferts hors de l'EEE et leurs garanties, la durée de conservation ou ses critères, les droits de la personne et la possibilité de saisir une autorité de contrôle. L'article 13 ajoute des mentions conditionnelles, notamment les coordonnées du DPO s'il existe, le caractère obligatoire ou non des données demandées et les conséquences d'un refus de les fournir ².

Le principe de protection des données dès la conception et par défaut rappelle aussi que seules les données nécessaires à chaque finalité spécifique doivent, par défaut, être traitées; cela concerne la quantité, l'étendue du traitement, la durée de conservation et l'accessibilité ⁴. Si le formulaire demande une date de naissance pour une simple réponse à une question sur un devis, l'équipe doit pouvoir expliquer sa nécessité. L'exemple sert à tester le principe, sans affirmer qu'une réponse juridique universelle découle de ce seul champ.

La notice d'information peut porter le détail du traitement, mais le parcours de collecte doit rendre l'information essentielle disponible au bon moment. Le test pratique consiste à faire remplir le formulaire par une personne qui n'a jamais visité le site : peut-elle repérer l'entité responsable, la finalité et la base juridique avant d'appuyer sur Envoyer ² ?

L'analyse ne s'arrête pas à la page publique. La transmission interne des demandes et les droits d'accès conditionnent aussi la quantité de données effectivement traitées et leur accessibilité ⁴. Ces points appellent une vérification de la configuration réelle plutôt qu'une promesse générale affichée dans le pied de page.

Site et outil d'analytique : quels rôles ?

Est responsable du traitement celui qui détermine les finalités et les moyens; le sous-traitant traite les données pour son compte ². Si le site et le fournisseur déterminent conjointement les finalités et les moyens d'une opération, l'article 26 prévoit une responsabilité conjointe et une répartition transparente de leurs obligations ². Pour l'analytique, comparez ces trois issues avec les décisions réelles, puis consultez la distinction entre responsable et sous-traitant.

Une fiche de configuration sépare la finalité choisie par le site, les moyens décidés par chaque acteur, les données envoyées et l'utilisation éventuelle par le fournisseur pour ses propres fins. Si celui-ci suit les instructions du site, examinez le régime du sous-traitant; s'ils décident ensemble, examinez l'accord de responsabilité conjointe ².

La distinction compte parce que l'information donnée dans le formulaire ou sur le site doit correspondre à ce qui se passe. Si la page annonce une seule finalité alors qu'un outil recueille des données pour une autre, la rédaction ne reflète plus la configuration. L'EDPB demande que le consentement soit informé et spécifique, et l'article 13 demande que les finalités soient données à la collecte ²^,3.

Le contrat avec un sous-traitant se vérifie une fois ce rôle établi pour l'opération concernée ².

Vérifier les flux hors de l'EEE

Pour un flux hors de l'Espace économique européen, relevez le destinataire, le pays et les données accessibles. Vérifiez d'abord si une décision d'adéquation couvre le pays ou le destinataire selon l'article 45. À défaut, l'article 46 exige des garanties appropriées et des droits opposables; les dérogations de l'article 49 ne se lisent que pour les situations particulières qu'il énumère ². Le guide sur l'application du GDPR hors de l'UE explique le contexte territorial.

Cette vérification ne doit pas être remplacée par une case « fournisseur européen » ou « serveur européen » dans un tableau. Elle porte sur l'opération effective, les entités qui reçoivent les données et la raison pour laquelle elles les reçoivent. Le principe de minimisation par défaut, exposé par l'EDPB, invite à limiter l'étendue et l'accessibilité des données pour chaque finalité ⁴. Il aide à poser une question sur le flux, sans créer à lui seul une conclusion sur sa licéité.

Une localisation déclarée du serveur ne suffit pas à elle seule : vérifiez les entités qui peuvent accéder aux données et consignez la base du transfert retenue. Si aucune adéquation, garantie ou dérogation applicable n'est établie, le dossier ne peut pas conclure que ce flux est autorisé ².

Garder les preuves de réglage

Conservez deux types de preuve distincts. Les captures et tests datés établissent le paramétrage du site; ils ne démontrent pas le consentement d'une personne précise. L'article 7, paragraphe 1, demande au responsable de pouvoir démontrer que la personne a consenti : consignez donc son choix, l'heure, la version de l'information présentée et le mécanisme permettant d'associer ces éléments au choix ².

Une preuve doit être datée et attachée à une version. Sans cela, une capture du bandeau peut montrer l'état actuel sans expliquer ce qui s'est passé pendant la période examinée. La durée de conservation de ce dossier n'est pas chiffrée par les quatre sources utilisées ici; l'article ne prétend donc pas fournir une période universelle. Il indique les éléments nécessaires pour vérifier la cohérence entre l'interface et la configuration.

La matrice ci-dessous sert à clôturer une revue sans fusionner des obligations différentes.

Objet	Observation à conserver	Décision à consigner
Cookie soumis à accord	Moment du dépôt avant et après choix	Séquence correcte ou correction requise
Boutons et retrait	Tests des parcours; choix individuel, heure, version de l'information et lien entre ces éléments	Réglage du site vérifié; consentement de la personne démontrable ²
Formulaire	Information visible avant l'envoi	Identité, finalité et base juridique présentes
Analytique	Configuration, données et destinataires connus	Questions de rôle et de flux encore ouvertes

Une revue honnête peut aboutir à une liste de points ouverts. Elle vaut mieux qu'un tampon « conforme » posé sur un site dont le chargement réel, les rôles ou les flux ne sont pas connus. Pour une vue plus large de la gouvernance, lisez la gouvernance AI et GDPR; les obligations liées au site doivent néanmoins rester rattachées à leurs propres sources.

Le comportement du site avant le choix détermine la première correction.

En toutes lettres, l'arbre commence par la qualification du traceur; s'il exige un consentement, aucun dépôt ne précède l'action positive. Après le choix, on vérifie un refus effectif et un retrait facilement accessible; le parcours du formulaire est contrôlé séparément au moment de la collecte ¹^,2^,3.

Ce que cette revue ne peut trancher

Les sources fournies ne qualifient pas tous les cookies d'un site réel, ne décrivent pas la configuration de Google Analytics d'une entreprise et ne résolvent pas un transfert déterminé hors de l'EEE. Elles donnent des règles à confronter à des faits. Une conclusion sur un fournisseur précis nécessite les paramètres, les flux et les documents de cette mise en place; les inventer serait moins utile que signaler la question.

Le rapport de l'EDPB expose un socle commun d'analyse des bandeaux et rappelle lui-même que les exigences nationales supplémentaires et les précisions des autorités compétentes restent applicables ¹. Cette page ne transforme donc pas son tableau en autorisation universelle. Elle aide à identifier les défauts observables et les questions à faire examiner avant d'affirmer que le site respecte toutes ses obligations.

Prochaines étapes

Testez la visite, le refus, l'accord et le retrait sur une version datée du site. Ensuite, relisez un formulaire comme si vous étiez un visiteur nouveau et contrôlez l'information fournie avant l'envoi. Enfin, décrivez l'outil d'analytique installé et les flux qui restent à qualifier. Chaque résultat doit renvoyer à une capture, un réglage ou un test que l'équipe peut reproduire ¹^,2^,3^,4.

Le GDPR Accountability Documentation génère, à partir des réponses de votre entreprise, une notice d'information et, si vos réponses le justifient, des formulaires de consentement.