Avez-vous besoin d’une plateforme de consentement ?
Pour qui : Vous gérez un site ou le marketing de votre organisation. On vous dit qu’il faut un bandeau de cookies, un prestataire propose une plateforme, et vous ne savez pas encore ce que votre site dépose réellement.
Pas forcément. Une plateforme de consentement, ou CMP pour Consent Management Platform, affiche le bandeau, enregistre le choix du visiteur et bloque les traceurs tant qu’il n’a pas accepté. Elle ne sert à rien si votre site ne dépose aucun traceur soumis au consentement.
Un traceur désigne tout ce qui lit ou écrit sur le terminal du visiteur : cookie, pixel, identifiant. La publicité, le reciblage et les contenus de tiers qui suivent le visiteur déclenchent en général le besoin. Recueillez alors un consentement : la loi vous y oblige, sans vous imposer de l’acheter.
Notre avis
N’achetez rien avant d’avoir regardé ce que votre site dépose. Sans traceur soumis au consentement, aucune plateforme ne vous sert. Avec des traceurs publicitaires ou tiers, il vous faut un recueil du consentement, qui peut prendre la forme d’un outil libre.
Pourquoi
- L’article 82 de la loi Informatique et Libertés exige une information puis un consentement. Il ne mentionne aucune plateforme, et Google lui-même admet une bannière ou une solution personnalisée pour son mode Consentement.
- La CNIL juge le traceur d’après son usage. Panier, connexion, langue ou mémorisation du choix peuvent être exemptés quand c’est leur seul usage.
- Acheter une plateforme ne déplace pas votre responsabilité : selon les lignes directrices de la CNIL, l’éditeur reste responsable de traitement même s’il confie cette gestion à un tiers.
- Retirer un traceur peu utile évite à la fois le bandeau qu’il impose et la licence qui va avec. Posez cette option avant de demander un prix.
Ce qui change le choix
Un seul traceur publicitaire, ou un seul cookie utilisé à la fois pour la connexion et pour la publicité, fait passer la réponse à oui. Des annonces personnalisées de Google font passer à une plateforme certifiée.
L’ordre à suivre
- Aucun traceur soumis au consentement : n’achetez rien et gardez votre liste datée.
- Un ou deux traceurs de faible utilité : retirez-les avant de payer pour les encadrer.
- Traceurs à conserver sur un site sans publicité personnalisée : solution libre ou offre à bas prix.
- Annonces personnalisées de Google : plateforme certifiée, quel que soit votre goût pour le libre.
Triez vos traceurs d’après leur usage, jamais d’après leur nom
Une fois l’inventaire fait, reportez chaque ligne ici. La même technologie peut tomber dans deux cases selon ce que le fournisseur fait des données.
| Ce que vous trouvez | Consentement | Conséquence pour l’achat |
|---|---|---|
| Panier, connexion, langue, équilibrage de charge, mémorisation du choix | Peut être exempté si c’est le seul usage du traceur. | Rien à acheter pour ceux-là. La CNIL recommande de les mentionner, par exemple dans la politique relative aux cookies. |
| Statistiques de fréquentation | Exemption possible sous conditions strictes, à démontrer. | Vérifiez votre réglage et réclamez les documents du fournisseur avant de conclure. |
| Pixel publicitaire, reciblage, personnalisation commerciale | Requis. | Recueil du consentement nécessaire, sauf si vous retirez le traceur. |
| Boutons de réseaux sociaux | Requis en général, car ces tiers déposent ou lisent des traceurs pour d’autres finalités. | Retirez-les, ou demandez le consentement avant de les activer. |
| Vidéo ou autre contenu hébergé par un tiers qui dépose des traceurs | Requis avant le dépôt. | Le bandeau ou une fenêtre au moment de l’activation convient. Le refus ne peut pas bloquer le reste du site. |
| CAPTCHA, ce test qui écarte les robots | Inutile si la seule finalité est la sécurité ; requis si le fournisseur réutilise les données. | Interrogez le fournisseur. La CNIL préconise une solution sans consentement, un refus rendant le contrôle inopérant. |
| Un même cookie, pour la connexion et la publicité | Requis pour la publicité. | Séparez les usages ou traitez l’ensemble comme soumis au consentement. |
Retirer un traceur est aussi une réponse
Avant de comparer des offres, regardez qui utilise encore chaque traceur : un pixel installé pour une campagne terminée, un bouton de partage jamais cliqué, un outil d’essai oublié. Notre avis : si personne ne défend son utilité, retirez-le et refaites l’inventaire. Vous pouvez arriver à la première sortie, celle où il n’y a rien à acheter.
Si des traceurs restent et que vous ne diffusez pas d’annonces personnalisées, tarteaucitron.js est un gestionnaire de consentement publié sous licence MIT, mais son installation demande de savoir intervenir sur le site. Le choix entre solutions se fait sur une autre page, à partir de votre développeur, de votre outil de publication et de votre volume.
Quand une régie impose une plateforme : le cas de Google
Depuis le 16 janvier 2024, Google exige des éditeurs utilisant AdSense, Ad Manager ou AdMob une plateforme certifiée, intégrée au cadre publicitaire TCF d’IAB Europe, pour diffuser des annonces personnalisées dans l’Espace économique européen et au Royaume-Uni. Cette règle vient du contrat avec une régie : elle ne figure pas dans l’article 82, et Google précise qu’il ne contrôle pas la pleine conformité des plateformes aux lois applicables. Nous n’avons lu que les conditions de Google : si vous passez par une autre régie, lisez les siennes.
Une plateforme n’agit pas sur ce qu’elle ne voit pas
Le 22 octobre 2026, la CNIL a infligé 7 millions d’euros à FNAC Darty Participations et Services et à FNAC Direct. Elle leur reproche un traceur d’application mobile sans consentement : des requêtes envoyaient vers un domaine tiers un identifiant et les produits consultés. Le montant tient notamment à la méconnaissance du choix de l’utilisateur et au grand nombre de personnes utilisant l’application, et ne se transpose pas à une petite structure.
Nous en retenons une leçon de méthode : un bandeau sur le site n’aurait rien réglé à cet endroit. Si vous avez une application ou des appels vers des services tiers, ils entrent dans le tri.
Limites de cette page
Cette page ne qualifie aucun traceur précis, et nous n’avons testé aucun site. L’article 82 a été lu dans la reproduction de la CNIL, qui renvoie à Légifrance pour le texte faisant foi. Pour un traceur dont l’usage reste flou, demandez par écrit au fournisseur ce qu’il fait des données.
Prochaine action
Lancez sur votre page d’accueil et votre parcours principal l’outil d’audit de sites du Comité européen de la protection des données, sans cliquer sur un éventuel bandeau. Classez chaque traceur dans le tableau et gardez la liste datée. L’outil vise les sites : pour une application, demandez à son développeur la liste des appels vers des tiers.
Preuves et sources
Lu le 5 novembre 2026 : l’article 82 de la loi Informatique et Libertés dans le texte publié par la CNIL (page datée du 15 novembre 2024) ; les lignes directrices de la CNIL du 17 septembre 2020 ; sa foire aux questions sur les traceurs, datée du 29 avril 2026 ; le communiqué de sanction du 29 octobre 2026 visant FNAC ; les pages de Google sur le mode Consentement et sur les plateformes certifiées ; la page de l’outil d’audit de sites du Comité européen de la protection des données.
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode
Fait lu. L’article 82 de la loi Informatique et Libertés impose d’informer l’utilisateur de la finalité d’un accès à son terminal ou d’une écriture sur celui-ci et de ses moyens de s’y opposer, puis de recueillir son consentement, sauf pour une action ayant pour finalité exclusive de permettre ou faciliter la communication électronique, ou strictement nécessaire à un service de communication en ligne expressément demandé.
Portée : Droit français en vigueur au 5 novembre 2026.
Réserve : Texte reproduit par la CNIL, page datée du 15 novembre 2024 ; seul Légifrance fait foi.
- CNIL : La loi Informatique et Libertés 15 novembre 2024. Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
- CNIL : Cookies et traceurs : que dit la loi ? 29 septembre 2020. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon les lignes directrices de la CNIL, peuvent notamment être exemptés les traceurs d’authentification, de panier d’achat, de personnalisation attendue de l’interface comme la langue, d’équilibrage de charge, de conservation du choix, et certains traceurs de mesure d’audience.
Portée : Lignes directrices du 17 septembre 2020, point 49.
Réserve : Liste non limitative, liée à un usage exclusif.
- CNIL : Délibération n° 2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives à l'application de l'article 82 17 septembre 2020. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon la CNIL, un même traceur utilisé pour plusieurs finalités, dont certaines hors exemption, nécessite un consentement préalable : un cookie d’authentification ne peut servir à la publicité sans consentement à cette finalité.
Portée : Lignes directrices, point 48.
Réserve : Doctrine de la CNIL.
- CNIL : Délibération n° 2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives à l'application de l'article 82 17 septembre 2020. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. La foire aux questions de la CNIL indique que les boutons de réseaux sociaux appellent en général un consentement lorsqu’ils permettent au tiers de déposer ou de lire des traceurs à d’autres fins, et que l’éditeur doit obtenir le consentement avant le dépôt pour un contenu externe, sans bloquer l’accès au reste du site en cas de refus.
Portée : Questions 22 et 23.
Réserve : Page datée du 29 avril 2026.
- CNIL : Questions-réponses sur les lignes directrices modificatives et la recommandation « cookies et autres traceurs » de la CNIL date de page non relevée. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. La CNIL écrit qu’un CAPTCHA à seule finalité de sécurisation ne requiert pas de consentement, qu’il en requiert si les opérations poursuivent d’autres finalités, et elle préconise des solutions ne nécessitant pas de consentement, un simple refus pouvant contourner le système.
Portée : Question 17.
Réserve : Le fournisseur doit être interrogé cas par cas.
- CNIL : Questions-réponses sur les lignes directrices modificatives et la recommandation « cookies et autres traceurs » de la CNIL date de page non relevée. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. L’article 82 n’impose pas d’informer sur les traceurs exemptés de consentement, mais la CNIL recommande de le faire, par exemple dans la politique relative aux cookies, et le RGPD impose d’informer sur les traitements de données personnelles.
Portée : Question 18.
Réserve : Recommandation pour la partie relative à l’article 82.
- CNIL : Questions-réponses sur les lignes directrices modificatives et la recommandation « cookies et autres traceurs » de la CNIL date de page non relevée. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon les lignes directrices de la CNIL, l’éditeur d’un site qui dépose des traceurs est responsable de traitement même s’il sous-traite la gestion de ces traceurs à des tiers.
Portée : Lignes directrices, point 34.
Réserve : D’autres acteurs peuvent aussi être responsables.
- CNIL : Délibération n° 2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives à l'application de l'article 82 17 septembre 2020. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Google indique qu’on peut implémenter une bannière de consentement ou une solution personnalisée, ou utiliser une plateforme de gestion du consentement, pour obtenir le consentement dans le cadre de son mode Consentement.
Portée : Page Google mise à jour le 30 juillet 2026.
Réserve : Présentation de Google, sans valeur juridique.
- Google : Présentation du mode Consentement Dernière mise à jour 2026/07/30 (UTC). Lu le 5 novembre 2026. Déclaration de l’éditeur.
Fait lu. Google exige des éditeurs utilisant AdSense, Ad Manager ou AdMob une plateforme certifiée intégrée au TCF pour les annonces personnalisées dans l’Espace économique européen et au Royaume-Uni depuis le 16 janvier 2024, et précise qu’il ne contrôle pas la pleine conformité des plateformes au TCF ni aux lois applicables.
Portée : Règle contractuelle de Google pour les éditeurs.
Réserve : Ni règle de droit, ni preuve de conformité.
- Google : Google consent management requirements for serving ads in the EEA, the UK, and Switzerland (for publishers) - Google AdSense Help Skip to main content liste annoncée comme mise à jour chaque semaine ; ©2026 ; pas de date de liste. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Le 22 octobre 2026, la CNIL a sanctionné FNAC Darty Participations et Services et FNAC Direct d’une amende totale de 7 millions d’euros pour un traceur d’application mobile sans consentement, passant par des requêtes API vers un domaine tiers avec un identifiant et les produits consultés ; le montant tient notamment au choix méconnu de l’utilisateur et au grand nombre de personnes utilisant l’application.
Portée : Communiqué de la CNIL du 29 octobre 2026 sur la délibération SAN-2026-015.
Réserve : Communiqué lu, délibération non lue. Montant non transposable.
- CNIL : Cookies et application mobile : sanctions de 7 millions d'euros à l'encontre des sociétés FNAC DARTY PARTICIPATIONS ET SERVICES et FNAC DIRECT 29 octobre 2026 ; décision du 22 octobre 2026. Lu le 5 novembre 2026. Document d’origine.
Notre calcul ou déduction. Un bandeau sur un site web n’aurait pas réglé à lui seul un traceur passant par les appels d’une application mobile.
Portée : Déduction à partir des faits du communiqué.
Réserve : La CNIL ne formule pas cette phrase.
- CNIL : Cookies et application mobile : sanctions de 7 millions d'euros à l'encontre des sociétés FNAC DARTY PARTICIPATIONS ET SERVICES et FNAC DIRECT 29 octobre 2026 ; décision du 22 octobre 2026. Lu le 5 novembre 2026. Document d’origine.
Fait lu. tarteaucitron.js est publié sous licence MIT, et le site de l’éditeur le présente comme open source et gratuit.
Portée : Dépôt et site lus le 5 novembre 2026.
Réserve : Aucune installation essayée.
- Amauri Champeaux (dépôt GitHub) : GitHub - AmauriC/tarteaucitron.js: Open-source JavaScript cookie consent manager for GDPR / RGPD. Customizable banner, service-level controls and Google Consent non datée sur la trace ;. Lu le 5 novembre 2026. Document d’origine.
- tarteaucitron.io : tarteaucitron.io - Gestionnaire de consentement RGPD français non datée sur la trace ;. Lu le 5 novembre 2026. Déclaration de l’éditeur.
- GitHub API : GitHub API : AmauriC/tarteaucitron.js pushed_at 28 octobre 2026. Lu le 5 novembre 2026. Document d’origine.
Notre avis. Retirer un traceur peu utile avant de comparer des offres est un avis de cette page.
Portée : Sites dont un traceur n’a plus d’usage défendu.
Réserve : Le retrait suppose l’accord de l’équipe qui s’en sert.
Daté du 5 novembre 2026.
Déclaration de l’éditeur. Le Comité européen de la protection des données présente son outil d’audit de sites, réalisé par un expert externe, comme utilisable par les responsables de traitement et sous-traitants qui veulent tester leur propre site.
Portée : Page du Comité européen.
Réserve : La page précise que l’outil exprime les vues de ses auteurs. Aucun essai de notre part.
- EDPB (outil réalisé par un expert externe du Support Pool of Experts) : EDPB website auditing tool | European Data Protection Board 29 janvier 2024, avec mise à jour non datée. Lu le 5 novembre 2026. Document d’origine.