CMP : choisir et vérifier la gestion du consentement

Une plateforme de gestion du consentement, ou CMP, peut afficher les choix, les mémoriser et transmettre des signaux aux outils du site. Elle ne remplace pas l’inventaire des traceurs ni la décision sur les finalités. Retenez une solution seulement si elle sait appliquer vos décisions sur les parcours réels, produire une preuve exploitable et permettre un changement de prestataire. Une démonstration réussie sur un site de l’éditeur ne suffit pas pour engager votre achat.

Une fonction nécessaire, pas une marque obligatoire

L’article 82 de la loi Informatique et Libertés impose le consentement pour les opérations non exemptées. Il n’impose pas d’acheter une CMP particulière. Une solution interne peut convenir si elle satisfait aux règles et reste maintenue. Cadre CNIL des cookies.

La promesse « conforme CNIL » d’un éditeur ne prouve pas que votre installation l’est. Les contenus embarqués, scripts directs, imports serveur ou changements d’agence peuvent échapper au paramétrage initial.

Le guide général des cookies et du RGPD permet de préparer les exigences avant la consultation des fournisseurs.

Cas d’achat : trois magasins, un catalogue et une réservation

Imaginons un réseau français fictif de trois magasins de vélos. Son site présente les produits et embarque un module de réservation d’atelier. Une agence gère les statistiques et la publicité. La dirigeante veut remplacer le bandeau existant, dont personne ne sait exporter les anciennes configurations.

Son besoin prioritaire est la maîtrise des opérations : permettre la réservation même après refus des traceurs facultatifs, distinguer statistiques et publicité, retrouver l’information présentée à une date donnée. Elle n’a pas besoin, pour ce projet, de reconnaître la même personne sur tous ses appareils. Cette fonction reste hors périmètre plutôt que d’être activée parce qu’elle figure dans l’offre.

Deux propositions fictives arrivent. La proposition A montre une interface lisible et un tableau d’acceptation ; la proposition B prévoit une intégration au module de réservation et la remise des versions de configuration. Aucun de ces éléments n’est encore une réussite constatée. Le dossier d’achat distingue l’engagement écrit, la démonstration et le point inconnu :

La PME retient B pour une phase de validation limitée, sans déclarer le lancement accepté. A peut redevenir comparable si ses lacunes sont levées ; une information inconnue n’est pas la preuve qu’une fonction n’existe pas. Inversement, une promesse commerciale non démontrée n’est pas une garantie acquise.

Le devis doit couvrir domaines, langues, environnements, volume prévu, assistance, intégration et sortie. Le responsable demande ce qui arrive en cas de dépassement ou de fin d’abonnement : interruption du service, modification du prix, accès aux preuves. Sans ces réponses, un tarif d’entrée ne permet pas d’évaluer le coût du projet.

Vérifier le parcours juridique

La recommandation CNIL prévoit un refus aussi simple que l’acceptation, une information lisible et des moyens de retrait accessibles. Elle présente aussi la mémorisation du choix pendant six mois comme une bonne pratique, à apprécier selon le contexte. Ce délai n’est pas un maximum légal imposé à toutes les CMP. Recommandation consolidée.

Gardez l’inventaire des finalités dans votre propre dossier. Les noms techniques du fournisseur ne doivent pas imposer des catégories incompréhensibles. Un réglage « statistiques » ne peut pas cacher des opérations publicitaires.

Les mécanismes de consentement multiappareil demandent une analyse spécifique. De même, une fonctionnalité de partage entre sites ne suffit pas à autoriser un choix commun à toutes les marques : examinez le partage du consentement dans une CMP multisite.

Vérifier les signaux envoyés aux outils

Certaines intégrations bloquent les balises ; d’autres leur transmettent un état qu’elles utilisent pour limiter leur comportement. Google distingue ainsi les implémentations de base et avancée de Consent Mode, avec des transmissions possibles sans cookies dans la seconde. Documentation Google.

Le guide Consent Mode v2 et RGPD aide à spécifier ce que la CMP doit faire. Demandez aussi comment les balises non Google utilisent le choix. Un connecteur officiellement disponible n’établit pas la licéité de tous les flux.

Un framework publicitaire standardise des messages entre acteurs ; il ne remplace ni le consentement éclairé ni la vérification de son respect. Choisissez les intégrations dont votre écosystème a effectivement besoin et documentez leur version contractuelle.

Organiser la recette et la maintenance

Avant de retenir la solution, faites exécuter les scénarios suivants : aucun choix, refus complet, accord partiel, retrait, choix mémorisé et connexion à un compte. Conservez les requêtes observées et comparez-les à la matrice attendue.

Un scanner détecte une partie des opérations, dans les pages et conditions qu’il parcourt. Il peut manquer un espace connecté, un tunnel spécifique ou une transmission serveur. Complétez son résultat par la connaissance des équipes et les flux des prestataires.

Le retrait du consentement et l’arrêt des scripts doit devenir un contrôle de maintenance. Désignez la personne qui valide chaque nouvelle balise et celle qui corrige les anomalies. La CMP n’a pas connaissance de votre finalité commerciale si personne ne la lui traduit.

Accepter ou refuser la livraison sur des résultats précis

Pour le réseau de vélos, l’agence établit une matrice avant le contrôle. Sans choix ou après refus, les opérations statistiques et publicitaires retenues comme soumises au consentement restent arrêtées. La réservation et les fonctions effectivement nécessaires continuent. Avec un accord statistique seul, aucune transmission publicitaire n’est autorisée par ce choix. Après retrait, les opérations concernées doivent cesser, y compris lors du passage à une autre page.

Le responsable conserve, pour chaque parcours, la version du site et de la CMP, l’état choisi, les échanges observés et l’écart éventuel. Il fait aussi charger une page directement depuis un lien profond : commencer systématiquement par l’accueil peut masquer un script déclenché ailleurs. Sur mobile, il vérifie que les commandes de refus et de retrait restent accessibles sans masquer le formulaire.

Supposons que le module de réservation envoie un événement publicitaire malgré le refus. La dirigeante refuse la livraison de cette intégration. L’agence identifie l’appel, son propriétaire et la condition de déclenchement ; si nécessaire, elle désactive le composant publicitaire en conservant la réservation. Elle reprend le parcours après correction puis vérifie qu’un accord partiel n’a pas été transformé en accord global. Elle n’efface pas l’anomalie du dossier : elle y ajoute la correction et son contrôle.

Si la CMP est indisponible, les opérations nécessitant un accord ne doivent pas démarrer par défaut faute de réponse. Le prestataire explique le comportement de panne et le démontre sur l’environnement de validation. Lorsque ce comportement reste inconnu, le lancement des opérations concernées attend ; la disponibilité du site ne justifie pas de présumer le consentement.

Préparer la preuve, la maintenance et le départ du fournisseur

Une preuve exploitable relie le choix à ce qui a été présenté : finalités, acteurs, texte, version et contexte de recueil. Un total de clics sur « accepter » ne permet pas cette reconstitution. L’Art. 7(1) du RGPD impose au responsable qui invoque le consentement de pouvoir le démontrer ; il ne prescrit pas de collecter l’identité civile de chaque visiteur.

Dans le cas du réseau, l’agence remet un export de démonstration accompagné de sa définition des champs. Une personne extérieure à l’équipe d’intégration doit pouvoir retrouver la version du bandeau correspondante. Si elle voit un identifiant sans savoir à quelle information il renvoie, l’export n’est pas encore utilisable. Les accès au dossier sont limités et sa conservation justifiée : une archive probatoire ne devient pas une nouvelle base publicitaire.

La dirigeante nomme ensuite un propriétaire des changements. Ajouter une vidéo externe, une régie ou une finalité passe par lui avant mise en ligne. Les contrôles sont repris lorsqu’une évolution peut modifier les flux, et selon une fréquence interne adaptée à la stabilité du site. Aucun rythme universel ne dispense d’agir lorsqu’une anomalie est signalée.

Enfin, la sortie est préparée pendant que le compte reste accessible : exporter les éléments convenus, vérifier leur lecture, transférer les restrictions et supprimer les accès de l’agence sortante. Le changement de CMP n’autorise pas à convertir les refus en accords ni à réutiliser une ancienne preuve pour des finalités nouvelles. Si l’historique ne peut pas être interprété de manière fiable, les opérations concernées restent suspendues jusqu’à une solution valable ; le nom du nouveau fournisseur ne répare pas l’ancienne collecte.

Ce qu’il faut retenir

• Choisissez sur des scénarios réels, avec des preuves exportables.
• Une promesse de conformité ne remplace pas votre configuration.
• Distinguez blocage et transmission d’un signal de consentement.
• Incluez maintenance, intégrations et sortie du contrat dans la comparaison.

FAQ

Une CMP payante est-elle obligatoire ?

Non. Les obligations portent sur le résultat juridique et technique, pas sur l’achat d’un logiciel commercial.

Un scanner suffit-il à inventorier les traceurs ?

Non. Il faut examiner son périmètre et compléter les parcours qu’il ne voit pas, notamment les espaces connectés et les flux serveur.

Peut-on conserver la même configuration après un changement d’agence ?

Vérifiez les accès, les scripts et les nouveaux destinataires. Le changement d’équipe peut modifier le traitement même si l’apparence du bandeau reste identique.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.