Explication pratique - Consentement au suivi des données

Ce guide explique le sujet Consentement au suivi des données avec un contexte pratique. Le consentement au suivi n'est valide sous GDPR que lorsque la personne a un choix réel et éclairé. Une bannière qui pousse, confond, masque le rejet ou regroupe des objectifs sans rapport peut collecter des clics, mais elle ne peut pas recueillir un consentement valide.

Cela est important pour l'analyse, car de nombreux outils de suivi de sites Web reposent sur des cookies ou des technologies similaires. En Europe et dans le UK, les technologies d'analyse et de publicité non essentielles nécessitent souvent un consentement avant d'être exécutées.

La norme de consentement GDPR

Le EDPB explique le consentement valide comme étant donné librement, spécifique, éclairé et sans ambiguïté, avec la possibilité de retirer son consentement ultérieurement (EDPB consentement FAQ). Ses lignes directrices en matière de consentement fournissent une interprétation plus approfondie (EDPB Lignes directrices 05/2020).

Pour le suivi, cela signifie :

• Donné gratuitement : Les utilisateurs doivent pouvoir refuser sans pression injuste.
• Spécifique : Des objectifs distincts nécessitent des choix distincts.
• Informé : Les utilisateurs ont besoin d'informations claires sur les données collectées, qui les reçoit et pourquoi.
• Sans ambiguïté : Le consentement nécessite une action positive claire.
• Retirable : Le retrait doit être possible à tout moment et doit être aussi simple que de donner son consentement.

Les cases pré-cochées, le silence, l'inactivité ou encore le « en poursuivant la navigation » ne sont pas des mécanismes de consentement fiables.

Le consentement n'est pas la même chose qu'un avis

Une politique de confidentialité à elle seule ne crée pas de consentement. L’avis indique aux gens ce que vous faites. Le consentement demande l'autorisation avant une activité de traitement spécifique.

Pour l'analyse, un flux de consentement valide doit expliquer :

• Quels outils d'analyse seront exécutés.
• Si des cookies ou des technologies similaires sont utilisés. - Quels objectifs s'appliquent : analyse, publicité, personnalisation, tests A/B, relecture de session.
• Si les données sont partagées avec des tiers.
• Si les données sont transférées à l'international.
• Comment la personne peut refuser ou se retirer.

Si la bannière indique « nous utilisons des cookies pour améliorer votre expérience » tout en chargeant également des pixels publicitaires, un profilage comportemental et une conversion APIs, il est peu probable que le consentement soit éclairé ou spécifique.

Erreurs de bannière de cookies

Les problèmes courants incluent :

• Afficher uniquement "Accepter" sur le premier calque.
• Cacher "Rejeter" dans les paramètres.
• Utilisation de boutons de rejet à faible contraste.
• Présélection des bascules d'analyse ou de publicité.
• Regroupant l'analyse et la publicité dans un seul commutateur.
• Chargement des trackers avant consentement.
• Rendre le retrait plus difficile que l'acceptation.
• Traiter l'intérêt légitime comme une solution de contournement pour les cookies qui nécessitent le consentement.

Le groupe de travail EDPB Cookie Banner a signalé des préoccupations concernant des pratiques telles que les cases pré-cochées et les options de rejet qui sont plus difficiles à trouver que les options d'acceptation (EDPB rapport PDF).

Analytics Consentement en pratique

Une configuration d'analyse conforme commence avant la conception de la bannière :

1. Inventoriez toutes les balises, cookies, SDKs, pixels et scripts.
2. Classez chaque objectif.
3. Décidez quels outils sont strictement nécessaires et lesquels sont facultatifs.
4. Bloquez les outils facultatifs jusqu'à ce que le consentement requis soit donné.
5. Stockez l’état du consentement sans l’utiliser pour un suivi supplémentaire.
6. Fournissez un moyen persistant de modifier les préférences.
7. Enregistrez suffisamment de preuves de consentement pour démontrer la conformité.

Pour certains outils de mesure d’audience à faible risque, certains régulateurs autorisent des exemptions limitées lorsque des conditions strictes sont remplies. CNIL, par exemple, décrit les conditions des outils de suivi de mesure d'audience qui peuvent être exemptés de consentement lorsqu'ils se limitent à mesurer l'audience au nom de l'éditeur (CNIL). Ne présumez pas que tous les outils d’analyse sont éligibles.

Le retrait doit être réel

Le retrait est le point où les programmes de consentement échouent. Si l'acceptation prend un seul clic, refuser ou se retirer ne devrait pas nécessiter de rechercher dans un pied de page, de se connecter à un compte, d'envoyer un e-mail à l'assistance ou de naviguer dans un labyrinthe de bascules.

Bonne pratique :

• Conserver un cookie visible ou un lien de préférences de confidentialité.
• Permettez aux utilisateurs de désactiver les catégories individuellement.
• Arrêtez le suivi futur après le retrait.
• Évitez les motifs sombres dans le panneau des paramètres.
• Expliquez si les données précédemment collectées seront conservées ou supprimées.

Alternative axée sur la confidentialité

La bannière de consentement la plus propre est celle dont vous n’avez pas besoin car votre site n’utilise pas de trackers facultatifs. Les analyses sans cookies et axées sur la confidentialité peuvent répondre aux questions commerciales essentielles avec des données agrégées, sans publicité, sans suivi intersites, sans stockage complet et sans profilage.

Vous devez toujours revoir les règles ePrivacy locales et votre implémentation exacte. Mais réduire le suivi est plus fiable que d’essayer de rendre légalement acceptable une interface de consentement manipulatrice.

Le consentement n’est pas un hack de croissance. C'est un choix d'utilisateur. Si votre stratégie d’analyse ne fonctionne que lorsque les utilisateurs sont poussés à accepter, la stratégie vous dit déjà quelque chose.

Preuve de consentement

Si vous comptez sur le consentement, conservez suffisamment de preuves pour démontrer ce qui s'est passé sans créer un nouveau problème de suivi. Les enregistrements utiles incluent la version du consentement, l'horodatage, les catégories acceptées ou rejetées, la langue de l'interface et le mécanisme utilisé pour modifier les préférences. Évitez de stocker des identifiants inutiles uniquement à des fins de preuve de consentement.

Examinez également le consentement après des changements majeurs. L'ajout d'un nouveau fournisseur de publicité, d'un outil de relecture de session ou d'un objectif d'analyse peut nécessiter un nouveau choix, car l'ancien consentement peut ne pas couvrir le nouveau traitement.

Consentement QA avant la publication

Testez le consentement comme une fonctionnalité d’un produit. Dans un nouveau profil de navigateur, chargez le site et vérifiez que les scripts facultatifs d'analyse, de publicité, de relecture et de personnalisation ne se déclenchent pas avant un choix. Cliquez sur rejeter et vérifiez qu'ils restent bloqués. Cliquez sur Accepter pour une catégorie et vérifiez uniquement que cette catégorie se charge. Retirez ensuite votre consentement et confirmez que les futurs chargements de pages respectent le nouvel état.

Conservez des captures d'écran ou des journaux pour chaque état. Cela donne aux ingénieurs, aux juridiques et au marketing les mêmes preuves. Il détecte également des bugs subtils, tels qu'un gestionnaire de balises déclenchant un pixel avant l'initialisation du gestionnaire de consentement ou un événement server-side se poursuivant après le retrait du consentement du navigateur.

Liste de contrôle de vérification du consentement

Testez le consentement dans le navigateur, pas seulement dans les paramètres de la bannière. Avant tout choix, après rejet, après consentement analytique uniquement, après consentement marketing et après retrait, inspectez les appels réseau, les cookies, le stockage local, les pixels, les déclencheurs du gestionnaire de balises, les événements SDKs et server-side.

Si vous comptez sur une exemption d'analyse étroite, documentez la configuration exacte : objectif de mesure d'audience, pas de réutilisation publicitaire, pas de suivi intersites, identifiants limités, conservation courte, accès réservé aux éditeurs et informations utilisateur claires. Si les balises facultatives se déclenchent toujours avant un choix valide, la couche de consentement est cosmétique.

Questions fréquentes

Qu'est-ce qui rend un consentement aux cookies invalide selon le GDPR ?

Un consentement qui n'est pas libre, spécifique, informé, univoque et révocable n'est pas valide. Les cases précochées, le silence, l'inactivité ou "en continuant à naviguer" ne sont pas des mécanismes fiables. Le CEPD détaille ces conditions dans ses lignes directrices sur le consentement.

Une politique de confidentialité vaut-elle consentement ?

Une politique de confidentialité relève de l'avis, pas du consentement. L'avis dit aux gens ce que vous faites, tandis que le consentement demande la permission avant qu'une activité de traitement précise ne commence. Une bannière qui renvoie uniquement vers la politique de confidentialité saute l'action affirmative exigée par le GDPR.

L'intérêt légitime peut-il remplacer le consentement pour les cookies ?

L'intérêt légitime ne remplace pas le consentement quand un cookie l'exige légalement. Utiliser l'intérêt légitime comme contournement figure parmi les erreurs fréquentes de bannière de cookies. Les technologies d'analytics et de publicité non essentielles en Europe et au Royaume-Uni ont généralement toujours besoin du consentement avant de s'exécuter.

Pourquoi les régulateurs pointent-ils les boutons de refus cachés dans les réglages ?

Le groupe de travail sur les bannières de cookies du CEPD a signalé des préoccupations concernant des options de refus plus difficiles à trouver que les options d'acceptation. Cacher "refuser" dans les réglages, ou utiliser un bouton de refus à faible contraste, mine l'exigence de liberté. Le refus est censé être aussi accessible que l'acceptation.

Que doit indiquer un parcours de consentement avant le chargement des analytics ?

Un parcours de consentement doit préciser quels outils d'analytics vont s'exécuter, si des cookies ou technologies similaires sont utilisés, et quelles finalités s'appliquent. Ces finalités incluent les analytics, la publicité, la personnalisation, les tests A/B et le replay de session. Le parcours doit aussi indiquer si les données vont vers des tiers ou sont transférées à l'international, et comment refuser ou se retirer.

Tous les outils d'analytics sont-ils éligibles à une exemption de consentement ?

Seul un groupe restreint l'est. La CNIL, par exemple, décrit des conditions pour les traceurs de mesure d'audience qui peuvent être exemptés lorsqu'ils se limitent à mesurer l'audience pour le compte de l'éditeur. Il faut supposer que tout autre outil d'analytics a besoin du consentement, sauf preuve du contraire.

Le retrait du consentement doit-il être aussi simple que son octroi ?

Il doit l'être. Si accepter prend un clic, refuser ou se retirer ne devrait pas exiger de fouiller dans un pied de page, de se connecter à un compte, d'écrire au support ou de naviguer dans un labyrinthe d'interrupteurs.

Qu'est-ce qui constitue une bonne preuve de consentement ?

Les registres utiles comprennent la version du consentement, l'horodatage, les catégories acceptées ou refusées, la langue de l'interface et le mécanisme utilisé pour modifier les préférences. Évitez de stocker des identifiants supplémentaires juste pour prouver le consentement, car cela crée un nouveau problème de traçage.

Quand un ancien consentement cesse-t-il de couvrir un nouveau traçage ?

Ajouter un nouveau fournisseur publicitaire, un outil de replay de session ou une nouvelle finalité d'analytics peut exiger un nouveau choix. Le consentement donné auparavant peut ne pas couvrir un traitement qui n'existait pas encore au moment de l'accord.

Que doit vérifier un test QA de consentement avant le lancement ?

Dans un profil de navigateur neuf, confirmer que les scripts optionnels d'analytics, de publicité, de replay et de personnalisation ne se déclenchent pas avant qu'un choix soit fait. Cliquer sur refuser et vérifier qu'ils restent bloqués, puis accepter une catégorie et confirmer que seule celle-ci se charge, puis retirer le consentement et vérifier que les futurs chargements de page respectent le nouvel état.