Comment vérifier si votre bandeau cookies est conforme au RGPD ?

Vérifier un bandeau cookies ne consiste pas seulement à regarder ses boutons : il faut aussi contrôler ce que le site fait avant et après le choix. Pour comment vérifier la conformité RGPD d’un bandeau cookies, repartez d’une session propre, testez le refus et l’acceptation, puis vérifiez que le choix peut être modifié. Ce contrôle donne des indices utiles, mais ne remplace pas une analyse juridique adaptée à votre activité.

Key takeaways

• Testez le site avant toute interaction avec le bandeau : les traceurs soumis au consentement ne doivent pas être déposés ou lus avant l’accord.
• Le refus doit être aussi simple à choisir que l’acceptation, et il doit réellement bloquer les traceurs concernés.
• Vérifiez l’information sur les finalités, la mémorisation du choix et la possibilité de le retirer.
• Un scanner automatisé est un outil de repérage, pas une certification ni un verdict juridique.
• Les recommandations de la CNIL sont utiles en France ; vérifiez aussi les règles applicables dans les autres pays où vous opérez.

Prérequis : préparer un test reproductible

Avant de commencer, notez l’adresse du site, la date du test, le navigateur et les extensions éventuellement actives. Faites le test sur la version publique du site, et non uniquement dans l’aperçu de votre outil de gestion de consentement. Si le bandeau varie selon le pays, la langue ou l’appareil, consignez aussi ces paramètres.

Utilisez une fenêtre privée ou effacez les données du site avant chaque scénario. Cela évite qu’un choix précédent, un cookie déjà enregistré ou un script mis en cache fausse le résultat. Pour une vérification plus fiable, testez au moins une page d’entrée et une page qui contient des services tiers, comme une vidéo intégrée, une carte ou un outil de mesure d’audience.

Ouvrez les outils de développement du navigateur. Dans les onglets Application ou Stockage, vous pourrez examiner les cookies et le stockage local. Dans Réseau, vous pourrez repérer certaines requêtes vers des services externes. Les noms des onglets varient selon le navigateur ; l’objectif est de comparer les mêmes éléments avant et après chaque choix.

Gardez enfin en tête que tous les cookies ne sont pas automatiquement soumis au consentement. Certains traceurs strictement nécessaires au service demandé peuvent relever d’une exemption, selon leur finalité et leur fonctionnement. Ne classez donc pas un traceur comme exempt uniquement parce qu’il est appelé « essentiel » dans votre outil : documentez pourquoi il est nécessaire et vérifiez les règles pertinentes.

Comment vérifier la conformité RGPD d’un bandeau cookies ?

1. Ouvrez le site sans interagir avec le bandeau

Commencez par une session neuve. Chargez la page d’accueil et ne cliquez ni sur accepter, ni sur refuser, ni sur paramétrer. Attendez quelques secondes, puis naviguez vers une autre page sans toucher au bandeau, si le site le permet.

Relevez les cookies présents, les éléments de stockage ajoutés et les principales requêtes tierces. Notez leur nom, leur domaine et le moment où ils apparaissent. Certains éléments peuvent être techniques et nécessaires ; l’étape consiste à identifier les déclenchements à examiner, pas à déclarer chaque cookie non conforme.

Comparez les résultats avec la liste des fournisseurs et des finalités indiqués dans votre outil de consentement ou votre documentation interne. Si un traceur publicitaire ou de mesure soumis au consentement se déclenche avant le choix, c’est un signal à investiguer. La CNIL explique le principe du consentement préalable pour les traceurs concernés.

2. Comparez les options « accepter » et « refuser »

Regardez le premier écran du bandeau sur ordinateur et sur mobile. L’utilisateur doit pouvoir comprendre les choix proposés sans devoir chercher un lien discret ni parcourir plusieurs écrans pour refuser. Vérifiez la taille, le contraste, le libellé et l’emplacement des actions : un bouton de refus peu visible peut rendre le choix moins simple, même s’il existe techniquement.

La CNIL indique que refuser doit être aussi simple qu’accepter. Elle donne comme exemple un bouton « Tout refuser » placé au même niveau et avec un aspect comparable au bouton « Tout accepter » dans sa FAQ sur les cookies. C’est un repère pratique pour examiner votre interface, en tenant compte des règles applicables à votre situation.

Point à comparer	Contrôle pratique	Signal à examiner
Accès au refus	Le refus est-il disponible dès le premier écran ?	Refus caché derrière un lien secondaire ou plusieurs étapes
Visibilité	Les actions sont-elles aussi faciles à repérer ?	Un bouton est très visible, l’autre ressemble à un lien discret
Effort demandé	Faut-il autant d’étapes pour refuser que pour accepter ?	Parcours de refus inutilement complexe
Compréhension	Les libellés indiquent-ils clairement le résultat ?	Formulation ambiguë ou choix difficiles à distinguer

Un bouton « Paramétrer » seul ne permet pas forcément de refuser aussi simplement qu’accepter. Vérifiez ce qu’il ouvre : si l’utilisateur doit désactiver chaque finalité une par une, puis confirmer plusieurs écrans, le parcours mérite d’être simplifié. L’apparence du bandeau compte, mais le test technique suivant est tout aussi important.

3. Choisissez « Tout refuser » et contrôlez le résultat

Effacez de nouveau les données du site, rechargez-le et choisissez cette fois le refus. Examinez ensuite les cookies, le stockage local et les requêtes réseau. Comparez ces résultats au scénario sans interaction. Les traceurs soumis au consentement ne devraient pas commencer à fonctionner simplement parce que l’utilisateur a refusé.

Répétez le test en naviguant sur plusieurs pages. Un bandeau peut bloquer certains scripts sur la page d’accueil, mais laisser un service tiers se charger sur une page produit ou un article. Testez également les contenus intégrés et les outils qui se déclenchent après un clic, car leur comportement peut différer selon les pages.

Si un traceur apparaît après le refus, vérifiez d’abord sa finalité, son domaine et le moment exact de son déclenchement. Il peut s’agir d’un élément nécessaire, d’un script chargé mais inactif, ou d’un traceur qui devrait être bloqué : les outils du navigateur seuls ne tranchent pas toujours. Transmettez les éléments au développeur ou au fournisseur de votre plateforme de consentement. Un refus affiché à l’écran n’est pas une preuve que le refus est respecté dans le code.

4. Vérifiez l’information et les catégories de traceurs

Lisez le bandeau et les réglages comme le ferait un visiteur qui découvre votre site. Les finalités doivent être compréhensibles et suffisamment précises pour que la personne sache ce qu’elle accepte ou refuse. Si vous utilisez des catégories, vérifiez que leurs intitulés ne masquent pas des usages différents. Les détails et les options de personnalisation doivent rester accessibles sans rendre le refus difficile.

Faites correspondre les catégories de l’interface aux scripts réellement présents : mesure d’audience, personnalisation, publicité ou intégration de services tiers, par exemple. Vérifiez que chaque fournisseur est associé à une finalité pertinente et que le comportement du site suit le choix. La CNIL détaille les étapes de mise en conformité d’un site, notamment pour l’information et la gestion des traceurs.

Ne confondez pas l’opération de dépôt ou de lecture d’un traceur avec le traitement de données personnelles qui peut lui être associé. Ces questions sont liées, mais ne se résument pas à un seul réglage de bandeau. Pour votre contrôle, conservez une liste des traceurs, de leur finalité, de leur fournisseur et de la justification retenue pour leur activation.

5. Testez l’acceptation et le retrait du consentement

Dans une nouvelle session, acceptez les catégories proposées. Vérifiez que les traceurs concernés se déclenchent après ce choix et que le site enregistre la décision. Ce scénario permet de repérer un bandeau qui recueille une réponse mais ne transmet pas correctement l’état de consentement aux scripts.

Cherchez ensuite comment revenir sur ce choix. Le mécanisme peut être un lien permanent en pied de page, un bouton de gestion des cookies ou une autre commande facilement accessible. Ouvrez-le et vérifiez que vous pouvez modifier ou retirer votre consentement, puis testez à nouveau les traceurs concernés. La CNIL indique que le choix doit pouvoir être retiré à tout moment et décrit des mécanismes possibles dans ses conseils de mise en conformité.

Contrôlez aussi l’expérience au clavier et sur petit écran : le lien de gestion doit rester trouvable, lisible et utilisable. Un mécanisme de retrait qui disparaît derrière un menu difficile à atteindre ne répond pas bien à son objectif pratique, même si son URL ou son bouton existe.

6. Vérifiez la mémorisation du choix et documentez les résultats

Fermez le navigateur, revenez sur le site et vérifiez si le choix est conservé. Un visiteur ne devrait pas avoir à répondre de nouveau à chaque page pendant une même visite. Examinez aussi le comportement après une modification du bandeau ou de ses finalités : dans certains cas, il peut être nécessaire de redemander un choix pertinent.

La CNIL recommande généralement de conserver le choix pendant six mois. Il s’agit d’une bonne pratique recommandée, pas d’une durée universelle obligatoire à appliquer sans tenir compte du contexte. Consultez sa FAQ dédiée et documentez la durée retenue ainsi que sa justification.

Pour rendre le contrôle reproductible, gardez un tableau simple : date, navigateur, page, scénario, traceur observé, moment d’activation, résultat attendu, résultat constaté et action à prendre. Refaites le test après chaque modification du bandeau, de l’outil de consentement ou des scripts du site. Cette trace facilite les échanges avec votre agence ou votre développeur.

Quels éléments vérifier en priorité ?

Contrôle	Résultat attendu	Que faire si le test échoue ?
Visite sans choix	Les traceurs soumis au consentement ne sont pas déposés ou lus avant l’accord	Identifier le script et contrôler son déclencheur
Refus	Le refus est facilement accessible et respecté sur les pages testées	Corriger l’interface et le blocage technique
Information	Les finalités et les options sont compréhensibles	Réécrire les libellés et vérifier la liste des fournisseurs
Acceptation	Les catégories acceptées activent les fonctions correspondantes	Contrôler la transmission du choix aux scripts
Retrait	Le visiteur peut retrouver le réglage et changer d’avis	Ajouter ou rendre visible un accès permanent à la gestion
Mémorisation	Le choix est conservé selon la durée définie	Vérifier le stockage et la logique de renouvellement

Problèmes fréquents et comment les résoudre

Le bouton « Tout refuser » est visible, mais les traceurs continuent

Refaites le test après avoir vidé les données du site. Vérifiez si le traceur est réellement actif, à quelle étape il apparaît et s’il appartient à une catégorie soumise au consentement. Si le refus n’est pas correctement transmis, demandez à votre développeur de contrôler le déclencheur des scripts et leur intégration avec la plateforme de consentement. Ne vous contentez pas de modifier le texte du bouton.

Le scanner signale des cookies inconnus

Un outil automatisé peut découvrir des cookies ou des requêtes, mais ne sait pas toujours déterminer leur finalité, leur nécessité ou la base juridique applicable. Recherchez le fournisseur et le composant à l’origine du traceur, puis confrontez le résultat à la documentation technique et aux pages concernées. Les tests manuels et l’examen de configuration restent nécessaires.

Le bandeau paraît correct, mais les choix sont confus

Faites relire les libellés par une personne qui ne connaît pas l’outil. Demandez-lui de refuser, puis de modifier son choix sans indication. Si elle ne trouve pas les commandes ou comprend mal les finalités, simplifiez le parcours et retestez sur mobile, au clavier et avec une taille d’écran réduite.

Vous ne savez pas si un traceur est exempté

Ne vous fiez pas uniquement à son nom, à sa catégorie par défaut ou à l’étiquette « nécessaire ». Identifiez son objectif et son fonctionnement, puis faites valider l’analyse au regard des règles applicables. Les situations peuvent dépendre du contexte et des recommandations nationales.

Les règles sont-elles identiques dans toute l’Union européenne ?

Les principes de protection des données du RGPD s’inscrivent dans un cadre européen, mais les règles et recommandations relatives aux traceurs peuvent aussi dépendre des dispositions nationales et de leur interprétation. Les pages de la CNIL sont des références françaises, pas une réponse juridique uniforme pour chaque pays de l’UE.

Si votre site s’adresse à plusieurs marchés, vérifiez les recommandations des autorités compétentes dans les pays concernés et les paramètres régionaux de votre plateforme de consentement. Documentez les différences de configuration et évitez de supposer qu’un bandeau validé pour un pays suffit automatiquement partout.

Passer du contrôle à la correction

Commencez par les écarts les plus concrets : un traceur soumis au consentement qui démarre trop tôt, un refus difficile à trouver, une finalité incompréhensible ou l’absence de mécanisme de retrait. Attribuez chaque correction à une personne, notez le résultat attendu, puis relancez les mêmes scénarios pour confirmer le changement.

Pour élargir le pré-diagnostic à plusieurs pages, le Quick Scan gratuit de KlearKomply couvre jusqu’à 10 pages. Le Full Readiness Scan coûte 29 € en paiement unique et couvre jusqu’à 50 pages. Ces scans peuvent aider à repérer des constats et à préparer des briefs de correction pour votre équipe, mais ils ne constituent ni un verdict juridique ni une certification de conformité.

Après les corrections, conservez vos résultats et planifiez une nouvelle vérification lorsque vous ajoutez un outil d’analyse, une publicité, une vidéo intégrée ou un changement de bandeau. Pour examiner les informations de traitement du service KlearKomply, consultez également sa politique relative aux cookies.