Test A/B : quand faut-il un consentement ?

Un test A/B utilisant des traceurs pour optimiser une conversion commerciale doit être conçu avec un consentement préalable lorsque ces traceurs ne relèvent pas d’une exemption démontrée. Le mot « expérimentation », une durée de quelques jours ou un cookie déposé sur votre propre domaine ne créent pas cette exemption. À l’inverse, modifier une page sans suivi n’est pas automatiquement une opération soumise au consentement aux traceurs.

Pour décider, décrivez trois choses séparément : comment la variante est attribuée, comment elle reste identique au fil du parcours et comment le résultat est mesuré. Ajoutez les réutilisations éventuelles. Vous pourrez alors conserver un fonctionnement utile en cas de refus et savoir ce que votre résultat permet réellement de conclure.

Partir de la finalité, puis des opérations

Un test A/B compare deux versions : titre, disposition, parcours ou contenu. Cette description ne dit rien, à elle seule, des données traitées. Le serveur peut alterner des pages sans reconnaître un visiteur, tandis qu’une autre solution peut suivre une personne pendant plusieurs semaines et relier ses actions à son compte client.

L’Art. 82 de la loi Informatique et Libertés concerne l’inscription d’informations dans le terminal et l’accès aux informations qui y sont stockées. Ses exceptions portent sur la communication électronique et sur ce qui est strictement nécessaire au service en ligne expressément demandé. Le confort statistique de l’éditeur n’est pas, en lui-même, ce service demandé.

La lecture d’un identifiant déjà présent compte aussi. Ne regardez donc pas seulement les nouveaux cookies : stockage local du navigateur, identifiant de session réutilisé pour l’expérience et requêtes déclenchées par le script doivent entrer dans la description. L’absence de nom civil ne neutralise pas ce cadre.

Définissez l’objectif sans formule vague. « Comparer le taux de souscription de deux arguments commerciaux » décrit autre chose que « repérer une erreur technique empêchant l’envoi du formulaire ». Cette différence oriente l’analyse ; elle ne dispense pas de documenter les moyens réellement employés dans les deux cas.

L’exemption de mesure d’audience n’est pas une étiquette produit

La définition CNIL de la mesure d’audience mentionne des outils très divers, dont les tests A/B. Cette catégorie descriptive n’accorde pas une exemption à toutes leurs fonctions.

Les conditions exposées par la CNIL limitent notamment la finalité à la mesure d’audience pour le compte exclusif de l’éditeur, avec des statistiques anonymes et sans les recoupements ou le suivi multisite exclus de ce cadre. Une fonction commerciale supplémentaire peut dépasser ce périmètre, même si une autre fonction du même logiciel est correctement configurée.

Pour une expérience poursuivant un objectif strictement nécessaire au service demandé, constituez une justification précise : service concerné, problème à résoudre, opérations indispensables, données et absence d’autre finalité. Si ces éléments manquent, ne classez pas le traceur en « nécessaire » par commodité. Retenez une configuration avec consentement ou une autre méthode qui évite les opérations concernées.

Le guide général sur la conformité des cookies aide à construire ce choix. Le fournisseur doit pouvoir expliquer la configuration, mais la mention « conforme CNIL » dans une présentation commerciale ne remplace pas l’analyse du projet.

Lire correctement une décision qui évoque les tests A/B

La délibération SAN-2022-027 du 29 décembre 2022, points 54–60, illustre le risque de tirer une conclusion trop large. Des sociétés invoquaient plusieurs finalités pour trois cookies, notamment la sécurité, la prévention du spam et les tests A/B. Les explications ont évolué au cours de la procédure et des précisions techniques ont été demandées.

Au point 60, la formation restreinte indique que les éléments du dossier ne lui permettent pas de caractériser le manquement examiné concernant ces trois cookies. Elle ne délivre pas une autorisation générale de réaliser tous les tests A/B sans consentement. La décision retient par ailleurs des manquements concernant la simplicité du refus et l’information sur les finalités.

Pour votre dossier, la leçon est documentaire : identifiez les opérations et leur finalité réelle. Une absence de manquement retenu dans une affaire donnée ne fournit ni une certification de votre outil ni une réponse universelle sur votre expérience.

Trois architectures, trois analyses

Le tableau suivant présente des configurations hypothétiques. Il ne décrit aucun produit ni aucun essai réalisé.

« Côté serveur » ne veut pas dire « sans traceur » : le serveur peut lire un cookie envoyé avec la requête ou utiliser un identifiant provenant d’une opération soumise au consentement. La première ligne suppose expressément l’absence de ces moyens pour l’expérience.

Elle n’affirme pas non plus que toutes les données techniques sont anonymes. Si des données personnelles sont traitées, les exigences du RGPD restent applicables : finalité, base légale, information, minimisation et durée. L’Art. 6(1) doit être examiné distinctement de l’Art. 82.

Une spécification de lancement remplie

Voici le protocole AB07, fictif, d’un site vendant une prestation de conseil. Il compare deux présentations d’un même formulaire de demande de devis. L’objectif est commercial ; le projet retient le consentement pour le suivi de l’expérience. Aucun profil CRM ni partage publicitaire n’est prévu.

Question étudiée. Parmi les sessions incluses après un consentement valable à cette finalité, la présentation B obtient-elle davantage de demandes de devis que A ? Cette question ne prétend pas mesurer l’effet sur tous les visiteurs.

Unité retenue. Le protocole compte des sessions répondant à une définition écrite, pas des personnes uniques. L’attribution doit rester stable pendant la session incluse. Le responsable technique décrit le traceur utilisé et sa durée ; le simple mot « session » dans une interface ne prouve pas son expiration effective.

Données de mesure. Référence de l’expérience, variante, session incluse et résultat limité à l’envoi réussi du formulaire. Le contenu du devis, le nom, l’email et les commentaires ne sont pas envoyés dans le dispositif d’expérimentation. Le traitement de la demande commerciale suit son propre circuit.

Population sans accord. Version de référence A, sans le traceur expérimental ni l’envoi des événements soumis au consentement. Ces visites ne sont pas incorporées après coup dans le groupe A mesuré. Sinon, les deux groupes ne seraient plus construits selon la même règle.

Période et clôture. Le protocole propose du 5 au 18 octobre 2026. Ces dates sont un choix du scénario, pas une limite juridique générale. La responsable marketing décide de la suite ; le responsable technique retire les opérations devenues inutiles et le référent RGPD examine les usages nouveaux.

Cette spécification peut être remise au prestataire pour réponse. Toute modification d’un champ doit être expliquée avant le lancement : un identifiant publicitaire ajouté « pour fiabiliser les résultats » transforme le dossier, même si l’apparence des pages reste identique.

Informer et permettre un vrai choix

Une information adaptée doit expliquer la comparaison des présentations et la mesure des actions, les acteurs concernés et les droits applicables. « Nous améliorons votre expérience » ne décrit pas suffisamment, à elle seule, un suivi de conversion. La notice complète doit couvrir les exigences de l’Art. 13(1)–(2).

Le consentement doit être libre, spécifique, éclairé et univoque ; l’Art. 7 encadre notamment sa preuve et son retrait. Refuser doit être aussi simple qu’accepter. La FAQ CNIL sur les cookies rappelle aussi que le retrait doit arrêter effectivement les opérations concernées.

AB07 ne conditionne pas l’envoi d’un devis à cette mesure facultative. La personne peut utiliser le formulaire de référence. Si elle retire son accord, les futurs événements de l’expérience cessent ; le maintien des données antérieures s’examine selon leur régime et les droits applicables, sans présumer une conservation indéfinie.

Vérifier le comportement, puis interpréter les résultats

La réception technique doit examiner une arrivée sans choix, un refus, un accord et un retrait après accord. Pour chaque parcours, vérifiez le stockage, les lectures et les requêtes sortantes. L’absence d’un événement dans le tableau de bord ne démontre pas l’absence de transmission au fournisseur.

Conservez les résultats de ces contrôles avec la version de configuration. Si l’expérience démarre avant le choix requis, ne la lancez pas en production : gardez la page de référence, corrigez le déclenchement et reprenez la vérification. Ce protocole décrit des contrôles à réaliser, pas des résultats obtenus sur un outil réel.

Pour illustrer la lecture statistique, supposons ensuite un résultat fictif : 120 demandes pour 2 000 sessions incluses en A, 140 pour 2 000 en B. Les taux sont 6 % et 7 %, soit un point de pourcentage d’écart et environ 16,7 % d’augmentation relative. Ce calcul descriptif ne démontre pas, à lui seul, un résultat suffisamment robuste pour désigner B gagnante.

Il faut examiner la méthode d’affectation, la stabilité de la mesure, les variations et le plan d’analyse retenu. Ne prolongez pas arbitrairement le suivi personnel jusqu’à obtenir le résultat attendu. Le guide du tableau de bord après refus explique pourquoi les visiteurs mesurés ne doivent pas être confondus avec l’ensemble du trafic.

Terminer le test sans conserver un profil inutile

À la clôture, décidez si une version est appliquée à tous ou si l’analyse reste non concluante. Déployer une page identique pour tous ne nécessite pas de conserver l’appartenance de chacun à A ou B.

Retirez les balises, tâches et identifiants devenus inutiles ; examinez aussi les exports et les copies du prestataire. L’Art. 5(1)(e) exige une conservation adaptée au besoin. Un résultat agrégé et sa méthode peuvent être utiles sans maintenir l’historique individuel complet.

Si le projet devient une personnalisation du site selon les profils, ouvrez une nouvelle analyse avant de réutiliser ces données. La réussite supposée d’une expérience n’autorise pas automatiquement un suivi permanent ni de nouveaux destinataires.

Ce qu’il faut retenir

Qualifiez séparément attribution, maintien de la variante et mesure. Documentez toute exemption revendiquée sur les opérations réelles. Préservez un parcours sans suivi facultatif, une information précise et un retrait effectif. Enfin, distinguez résultat descriptif, conclusion statistique et autorisation de poursuivre le traitement.

FAQ

Un test de deux jours est-il exempté par sa durée ?

Non. Une durée courte peut limiter les données, mais elle ne démontre pas la stricte nécessité du traceur pour le service demandé.

Le cookie de session existant peut-il servir au test ?

Pas automatiquement. Son usage initial ne couvre pas toutes les nouvelles finalités. Décrivez la réutilisation, puis examinez ses conditions avant de l’activer.

Faut-il recueillir un nouvel accord pour chaque variante ?

Pas du seul fait d’un changement de couleur ou de texte. La portée de l’information et du consentement doit couvrir la finalité réelle ; un nouvel usage non couvert demande une analyse et, lorsqu’il est requis, un nouvel accord.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.