Aller au contenu principal
Quel logiciel RGPD

Comment inventorier les traceurs de votre site et de votre application ?

Pour qui : Vous devez dire ce que votre site et votre application déposent ou envoient à des tiers. La liste affichée dans le bandeau date, plusieurs équipes ont ajouté des balises, et vous voulez un état réel.

Relevez ce qui part réellement de votre site à trois moments : avant tout choix du visiteur, après un refus, puis après une acceptation. Comparez ce relevé à votre liste déclarée. Chaque écart donne une tâche : ajouter à la liste, bloquer, ou retirer.

Deux outils publics gratuits font ce relevé pour un site. Aucun ne couvre une application mobile ni vos courriels : ces deux surfaces se traitent à part, avec le développeur et l’outil d’envoi.

Notre avis

Faites trois passages sur votre site, avant tout choix, après un refus et après une acceptation, puis comparez chaque élément relevé à votre liste déclarée. Ajoutez ce qu’un navigateur ne montre pas : application mobile, appels d’API et pixels de courriel.

Pourquoi

  • Le 1er septembre 2025, la CNIL a sanctionné SHEIN notamment pour des traceurs déposés ou lus malgré un clic sur « Tout refuser ». Un seul passage sans clic ne l’aurait pas montré.
  • Pour FNAC, la sanction du 22 octobre 2026 porte sur des requêtes d’API émises par une application. Un inventaire limité aux cookies du site aurait manqué ce traceur.
  • Dans la décision visant la société éditrice de vanityfair.fr, des cookies présentés comme strictement nécessaires n’étaient pas accompagnés d’une information utile. La catégorie affichée doit donc être vérifiée.
  • Les outils européens lus sont gratuits, à jour en 2026 et faits pour ce relevé : commencez sans acheter.

Ce qui change le choix

Un outil payant se discute si plusieurs sites doivent être audités régulièrement et que personne ne peut rejouer le relevé. Une application mobile impose une autre méthode, quel que soit le budget.

L’ordre à suivre

  1. Site, sans ligne de commande : l’outil d’audit du Comité européen de la protection des données.
  2. Plusieurs pages à rejouer à l’identique, avec une personne technique : Website Evidence Collector du Contrôleur européen de la protection des données.
  3. Application mobile : relevé des appels réseau avec son développeur, les outils de site ne suffisant pas.
  4. Courriels : relevé des pixels chez votre outil d’envoi.

Quel outil lancer sur votre site

Les deux sigles français prêtent à confusion : CEPD désigne couramment le Comité européen, alors que le second outil vient du Contrôleur européen. Cherchez-les par leur nom complet. Aucun des deux ne recueille de consentement ni ne tient un registre.

Outils publics lus le 5 novembre 2026, par ordre de préférence pour un non-développeur
OutilPour quiPrécaution
Outil d’audit de sites du Comité européen (EDPB Website Auditing Tool), version 3.0.1Responsable de site qui préfère une application de poste. La page le présente aussi pour les organismes testant leur propre site.Téléchargez-le uniquement depuis sa page officielle de versions : la documentation précise que les versions ne sont pas signées. Il exprime les vues de ses auteurs, sans refléter forcément la position officielle du Comité.
Website Evidence Collector du Contrôleur européen, version 4.6.0Personne à l’aise avec la ligne de commande, qui veut rejouer le même relevé.Node.js 24.22.1 au minimum. Par défaut, seule la première page est visitée : réglez les options de profondeur. Il stocke les données personnelles des pages visitées, donc évitez un compte réel.

Trois passages, puis une comparaison

Partez d’une navigation privée pour chaque passage. Couvrez la page d’accueil et le parcours qui rapporte : formulaire, tunnel d’achat, espace connecté. Vérifiez que l’outil atteint bien ces pages, sinon faites-les à la main avec les outils de développement du navigateur.

  1. Exportez votre liste déclarée, depuis la politique de cookies ou la plateforme en place. Une ligne par traceur ou appel : surface, domaine, finalité, propriétaire dans l’équipe.
  2. Passage 1 : arrivez sur le site sans toucher au bandeau. Tout traceur soumis au consentement relevé ici est à bloquer.
  3. Passage 2 : refusez, puis naviguez sur plusieurs pages. Un nouveau dépôt, une lecture ou un appel vers un domaine lié à un traceur refusé est à instruire.
  4. Passage 3 : acceptez, puis parcourez les mêmes pages. Ce qui n’est pas dans la liste est à ajouter ou à retirer.
  5. Pour chaque élément présenté comme nécessaire, écrivez son usage réel. S’il n’entre dans aucune exemption, il rejoint les traceurs soumis au consentement.
  6. Datez le relevé, conservez-le et fixez un déclencheur : nouvelle balise, nouvelle campagne, nouveau prestataire. Ce rythme est notre conseil ; aucun texte lu n’en fixe un.

Les surfaces que ces outils ne couvrent pas

L’article 82 vise tout accès au terminal ou écriture sur celui-ci, y compris hors navigateur. Les deux outils lus portent sur des sites : pour le reste, le relevé repose sur vos équipes.

Application, appels d’API et courriels
SurfaceCe qu’il faut releverQui vous aide
Application mobileKits tiers intégrés et requêtes émises avant et après le choix, avec les identifiants envoyés.Le développeur, sur un téléphone de test, avec une capture du trafic réseau.
Appels d’API vers des tiersDomaine appelé, identifiant transmis, données d’activité et usage. Dans le cas FNAC, ces appels servaient à recommander des produits et à entraîner un algorithme.Le développeur et l’équipe qui a acheté le service de recommandation ou de mesure.
Pixels de courrielPixels dans chaque modèle d’envoi et finalité. La CNIL estime qu’analyser l’ouverture pour optimiser les campagnes demande un consentement, et admet une exemption étroite pour la délivrabilité.L’outil d’envoi et le responsable des campagnes.
Liens de suiviIdentifiant ajouté à l’adresse. Selon le Comité européen, ils fonctionnent comme les pixels.Le responsable des campagnes.

Limites de cette page

Aucun des deux outils n’a été essayé pour cette page : nous décrivons leur documentation. Un relevé donne l’état d’un moment, sur les pages visitées, et ne qualifie pas à lui seul un traceur. La détection des kits tiers d’une application n’a pas d’outil public dans ce que nous avons lu.

Prochaine action

Lancez l’audit sur votre page d’accueil et votre parcours principal, comparez à la liste déclarée et notez chaque écart avec un propriétaire. Pour une application, demandez à son développeur le relevé des appels réseau avant et après refus, sans vous contenter des outils de site.

Preuves et sources

Lu le 5 novembre 2026 : la page et la documentation de l’outil d’audit de sites du Comité européen, version 3.0.1 du 28 septembre 2026 ; la documentation de Website Evidence Collector, version 4.6.0 du 26 octobre 2026 ; les communiqués de la CNIL sur SHEIN, Condé Nast et FNAC ; sa recommandation du 12 mars 2026 sur les pixels de courriel ; les lignes directrices 2/2023 du Comité européen, version du 7 octobre 2024.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode