Retrait des cookies : arrêter les scripts actifs

Un visiteur accepte les traceurs publicitaires, puis retire son consentement. Le bandeau affiche « refusé », mais la page ouverte continue à envoyer ses clics. Le choix est enregistré ; il n’est pas exécuté. Pour rendre le retrait effectif, il faut relier l’interface aux composants déjà actifs, aux événements en attente et aux destinataires concernés.

Ce que le retrait doit effectivement arrêter

L’Art. 82 de la loi Informatique et Libertés encadre les lectures et écritures dans le terminal. Les exceptions concernent les opérations dont la finalité exclusive permet ou facilite la communication électronique et celles strictement nécessaires au service expressément demandé. Le nom « technique » donné à une balise ne suffit pas à la faire entrer dans une exception.

Lorsque le traitement repose sur le consentement, l’Art. 7(3) du RGPD permet son retrait à tout moment, aussi simplement que son expression initiale. Il ne rend pas rétroactivement illicites les opérations réalisées licitement auparavant. En revanche, ces opérations passées ne donnent pas une autorisation permanente de poursuivre le traitement.

La recommandation CNIL consolidée sur les cookies, section 3, demande un retrait accessible et indique que son effectivité peut nécessiter des mécanismes spécifiques empêchant les lectures et écritures liées aux traceurs déjà utilisés. La démarche ci-dessous est une proposition de mise en œuvre et de vérification, à adapter au site ; elle ne constitue pas une certification CNIL.

Commencez par nommer les finalités retirées. Un retrait de la publicité personnalisée ne signifie pas nécessairement une déconnexion du compte ni la suppression d’un panier demandé. Inversement, maintenir le panier ne justifie pas de continuer à alimenter une audience publicitaire avec son contenu. Un même événement métier peut avoir plusieurs usages, qu’il faut séparer.

Cartographier le trajet du choix jusqu’aux envois

Réunissez le responsable du site, le prestataire web et la personne chargée du marketing. Pour chaque finalité, identifiez le mécanisme de gestion du consentement, les balises déclenchées, les données lues et les destinations. N’oubliez pas les scripts ajoutés directement dans le thème, les modules de réservation et les intégrations chargées après une interaction.

Le guide d’audit des modèles GTM complète cet inventaire pour les gestionnaires de balises. Un gestionnaire correctement paramétré ne contrôle pas nécessairement un script installé ailleurs. Attribuez donc à chaque composant un propriétaire et une méthode d’arrêt documentée.

Cette grille permet de demander une démonstration précise au prestataire. « Notre CMP gère le consentement » n’explique pas encore comment un événement déjà mis en file sera traité après le retrait. La réponse doit couvrir le fonctionnement réel de l’intégration, y compris les erreurs et les délais de synchronisation.

Traiter les composants qui restent actifs

Une page peut conserver des fonctions installées lors de l’acceptation initiale. Le développeur doit déterminer comment arrêter ces fonctions ou empêcher leurs opérations soumises au consentement. Modifier uniquement la valeur enregistrée par la CMP laisse ouverte la question de leur comportement.

Pour un écouteur d’événements JavaScript, la documentation MDN de removeEventListener montre que le retrait dépend notamment du type d’événement, de la fonction et du paramètre de capture. Un appel avec une référence différente peut ne rien retirer. Le contrôle doit donc porter sur les clics suivants, pas seulement sur l’exécution d’une fonction appelée « désactiver ».

Une annulation peut aussi être prévue pour certaines opérations asynchrones. AbortController.abort permet notamment d’interrompre une requête fetch associée au mécanisme d’annulation. Cela ne constitue pas une commande universelle d’effacement chez un destinataire : une donnée déjà reçue doit être traitée selon son état réel et les obligations applicables.

Si le fournisseur ne permet pas un arrêt fiable dans la page active, examinez une autre intégration ou un rechargement maîtrisé. Celui-ci doit préserver le choix, éviter tout nouveau démarrage interdit et ne pas faire perdre inutilement un formulaire ou une commande. Il faut encore vérifier les autres onglets et les flux serveur ; le rechargement d’une page ne démontre pas leur arrêt.

Cas pratique : le retrait fonctionne dans le bandeau seulement

Le scénario suivant est fictif ; aucun outil commercial n’a été testé pour cet article. La boutique Atelier Rivage utilise un panier fonctionnel et une collecte publicitaire distincte. Un visiteur peut accepter la publicité sans accepter d’autres finalités facultatives. Le prestataire a relié le gestionnaire de balises au choix initial, mais la collecte publicitaire conserve les événements pendant trente secondes avant leur transmission.

À 10 h 00, un compte de démonstration accepte cette finalité. À 10 h 02, il consulte une fiche produit. À 10 h 02 min 10 s, il retire son consentement sans quitter la page. La responsable marketing constate que le panneau affiche immédiatement « publicité refusée ». Elle propose de clôturer le contrôle. Le développeur poursuit le parcours et constate deux anomalies : un clic postérieur au retrait est encore collecté, puis la file est envoyée au collecteur.

Une fiche de correction remplie

Les trente secondes sont une caractéristique inventée de ce scénario, pas une tolérance juridique. L’équipe ne cherche pas un délai pendant lequel continuer le suivi serait acceptable. Elle corrige le traitement du retrait et vérifie ce qui avait effectivement été envoyé avant et après son expression.

La première correction laisse subsister une seconde voie

Après modification, aucun clic supplémentaire n’est collecté dans la page contrôlée. Toutefois, une seconde page ouverte avant le retrait conserve l’ancien état. Le passage d’un onglet à l’autre réactive un envoi publicitaire. L’équipe refuse donc de conclure que le problème est résolu pour le site entier.

Le prestataire ajoute un mécanisme adapté pour informer les pages ouvertes du changement et leur faire relire le choix. Il traite aussi le cas où cette synchronisation échoue : les opérations concernées ne doivent pas continuer sur la seule foi d’une ancienne autorisation. La recette est reprise avec deux onglets, une nouvelle page et une nouvelle visite. Dans le scénario corrigé, le refus est respecté et le panier reste utilisable.

Côté serveur, le contrôle vérifie également qu’un événement publicitaire placé en attente avant le retrait ne part pas ensuite dans ce parcours. Le choix opérationnel du scénario est de supprimer cette attente dès le retrait. Un accusé de réception de la demande de changement ne suffit pas : l’équipe recherche la transmission elle-même. Pour approfondir cette partie, voir la revue des événements CAPI.

Organiser une vérification qui distingue absence et blocage

Travaillez avec des comptes et données de démonstration, sur un environnement représentatif. Notez la version du site, la configuration des balises, le navigateur et les finalités choisies. Commencez sans choix, acceptez une finalité, provoquez une interaction, retirez le consentement puis recommencez l’interaction. L’ordre est essentiel : une vérification réalisée uniquement après rechargement peut manquer le composant resté actif.

Observez les stockages pertinents et les émissions réseau avec l’équipe technique. Un navigateur équipé d’un bloqueur publicitaire peut masquer une anomalie du site : l’absence de requête dans ce seul environnement ne prouve pas que le site la bloque lui-même. Inversement, toute requête observée n’est pas nécessairement publicitaire ; rattachez-la à sa destination, son contenu et sa finalité avant de conclure.

Pour un collecteur interne, confrontez ce qui quitte la page avec ce qui arrive au serveur et ce qui est retransmis. Une URL sur le domaine de la boutique peut relayer des événements vers un prestataire. Limitez les traces nécessaires au diagnostic et leurs accès, conformément aux Art. 5(1)(c), 5(1)(e) et 5(1)(f) ; notre guide des journaux serveur aide à organiser cette partie.

Conservez un résultat daté par scénario : conforme sur le périmètre observé, anomalie ou non vérifié. Si les journaux du destinataire ne sont pas accessibles, indiquez cette limite. Un résultat inconnu ne devient pas une réussite parce que l’interface semble correcte. Toute correction doit être suivie d’une reprise du parcours concerné.

Examiner séparément les données déjà collectées

Le retrait ne doit pas être présenté comme une suppression instantanée de toute information détenue. Il impose l’arrêt des traitements concernés fondés sur le consentement ; le sort des données antérieures dépend notamment de leur finalité et d’un éventuel autre fondement réellement applicable. L’Art. 17(1)(b) du RGPD prévoit l’effacement après retrait lorsqu’il n’existe pas d’autre fondement juridique au traitement, sous réserve des exceptions du paragraphe 3.

Cela n’autorise pas à remplacer discrètement le consentement retiré par un intérêt légitime pour continuer la même publicité. Identifiez les données concernées, les destinataires et les actions nécessaires. La preuve minimale du choix, la facture et le profil publicitaire répondent à des questions différentes. Leur conservation doit être examinée séparément.

Enfin, désignez la personne qui reprend ces contrôles après ajout de balise, changement de CMP ou modification d’une intégration. Une validation ancienne porte sur une configuration ancienne. Conserver son historique aide à comprendre une régression ; cela ne valide pas la version suivante.

Ce qu’il faut retenir

• Le refus affiché doit être exécuté dans la page déjà ouverte.
• Contrôlez les composants actifs, les files d’attente et les transmissions serveur.
• Reprenez le parcours avec plusieurs pages et sans bloqueur masquant le comportement du site.
• Distinguez retrait futur, données déjà reçues et preuve minimale du choix.

FAQ

Effacer le cookie suffit-il ?

Pas nécessairement. Des composants peuvent rester actifs et d’autres informations peuvent être utilisées. Vérifiez les opérations après retrait, sans limiter le contrôle à la liste des cookies.

Faut-il recharger la page après chaque retrait ?

Aucune solution universelle n’est imposée par ce guide. Un rechargement peut participer à une solution effective, mais il faut vérifier le refus conservé, les autres pages et les flux serveur.

Peut-on clôturer le contrôle sans accès au serveur ?

Vous pouvez documenter ce qui est observé dans le navigateur. Pour un parcours comprenant une retransmission serveur, la partie non vérifiée doit rester explicitement ouverte et être examinée avec son responsable.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.