Êtes-vous en règle avec la CNIL ?

Non, et il faut être clair là-dessus : cet audit est un diagnostic technique, pas un avis juridique. Il analyse ce qui est observable depuis l'extérieur — les cookies déposés, les trackers chargés, le bandeau de consentement, la présence des pages légales. Il ne peut pas voir ce qui se passe dans votre organisation : registre des traitements, bases légales, durées de conservation, contrats de sous-traitance, transferts hors UE réellement pratiqués, procédure d'exercice des droits, désignation d'un délégué à la protection des données. Un score parfait signifie que votre site ne présente plus les manquements les plus courants et les plus sanctionnés. La conformité complète, elle, s'établit sur pièces.

Les cookies déposés avant consentement, sans hésitation. C'est le manquement le plus fréquemment relevé et le plus lourdement sanctionné : la CNIL a prononcé des amendes de plusieurs dizaines de millions d'euros contre de grands acteurs pour ce motif précis (décisions publiques de décembre 2020). Le principe est simple : aucun cookie non strictement nécessaire — publicité, mesure d'audience non exemptée, réseaux sociaux — ne doit être écrit avant que l'utilisateur ait dit oui. Or c'est exactement ce que font, par défaut, la plupart des scripts tiers mal intégrés. Si l'audit signale ce point en rouge, traitez-le avant tout le reste.

Trois règles se vérifient en quelques secondes. (1) Refuser doit être aussi simple qu'accepter : si le bouton « Tout accepter » est bien visible et que refuser demande d'ouvrir un sous-menu, le consentement n'est pas valablement recueilli. Les deux options doivent être accessibles au même niveau, avec un poids visuel comparable. (2) Rien ne se dépose avant le choix : tant que l'utilisateur n'a pas cliqué, aucun cookie non essentiel. (3) Le refus doit être aussi facile à exprimer que l'acceptation, et le choix doit pouvoir être modifié à tout moment. Un bandeau qui coche les cases par avance, ou qui considère que « continuer la navigation vaut acceptation », ne vaut rien.

La question est plus nuancée qu'un simple oui ou non. La CNIL a mis en demeure plusieurs éditeurs pour des transferts de données vers les États-Unis jugés insuffisamment encadrés, ce qui a poussé le marché vers trois options : configurer l'outil de manière à limiter les données transférées, passer par une solution de mesure d'audience exemptée de consentement (les critères d'exemption sont publiés par la CNIL), ou adopter une alternative hébergée dans l'UE. Notre position pragmatique : si votre mesure d'audience sert seulement à connaître vos volumes et vos pages populaires, une solution exemptée vous simplifie considérablement la vie — et vous récupérez au passage les données des visiteurs qui refusent les cookies.

Oui, et leur absence est une infraction pénale, pas une simple négligence : la loi pour la confiance dans l'économie numérique (LCEN, 2004) impose à tout éditeur de site professionnel d'identifier l'entreprise (dénomination, forme juridique, adresse, numéro d'immatriculation), le directeur de la publication et l'hébergeur. La politique de confidentialité relève, elle, d'une autre obligation : l'article 13 du RGPD, qui impose d'informer les personnes sur les données collectées, la finalité, la durée de conservation et leurs droits. Ce sont deux documents distincts, et les deux sont exigibles. C'est le point le plus simple à corriger de tout ce rapport — et il n'y a aucune raison de le laisser en rouge.