Cookies et CNIL : rendre un site de revente conforme

Par Jules Bege · Mis à jour le 2026-09-23

Un site de revente n’a pas automatiquement besoin d’un bandeau. Il en a besoin lorsqu’il utilise des cookies ou autres traceurs qui ne sont pas strictement nécessaires au service demandé, par exemple pour la publicité personnalisée ou certains usages de mesure d’audience. La première étape n’est donc pas de choisir une CMP : c’est d’identifier ce qui est réellement déposé.

1. Faire l’inventaire des traceurs

Testez le site dans une nouvelle session, avant toute interaction avec le bandeau, puis après refus et après acceptation. Vérifiez le domaine, la finalité, la durée, l’émetteur et le moment du dépôt. Auditez aussi les éléments chargés par les applications : vidéo intégrée, chat, carte, paiement, réseaux sociaux et balises publicitaires.

2. Bloquer avant consentement

Un bandeau conforme ne répare pas un script qui s’exécute dès le chargement. Les traceurs soumis au consentement doivent rester bloqués tant que l’utilisateur n’a pas exprimé un choix positif. Le silence, la fermeture du bandeau ou la poursuite de la navigation ne valent pas consentement.

3. Donner un vrai choix

Le refus doit être aussi simple que l’acceptation. Sur le premier niveau, utilisez des actions compréhensibles comme « Tout accepter », « Tout refuser » et « Personnaliser », sans contraste ou parcours destiné à décourager le refus. La personnalisation doit se faire par finalité avec des choix désactivés par défaut.

L’utilisateur doit pouvoir retirer son consentement aussi facilement qu’il l’a donné. Ajoutez un lien permanent « Gérer mes cookies » dans le pied de page ou un mécanisme d’accès équivalent.

4. Donner l’information utile

Le premier niveau explique les grandes finalités. Le second identifie les responsables, les traceurs, leur durée et les moyens de modifier le choix. Reliez-le à la politique de confidentialité sans noyer l’information cookies dans une page générale.

5. Conserver une preuve exploitable

Documentez la version du bandeau, les finalités proposées, la date du choix et le mécanisme technique appliqué. La preuve ne doit pas conduire à créer un identifiant plus intrusif que nécessaire. Définissez une durée de conservation cohérente et reconsidérez le choix lorsqu’une finalité change.

Configurer Shopify, WooCommerce ou un site statique

• listez chaque application et chaque script tiers ;
• désactivez les intégrations inutilisées au lieu de seulement les masquer ;
• chargez les catégories non essentielles après le signal de consentement ;
• transmettez correctement le retrait du consentement aux outils concernés ;
• refaites le test après chaque ajout d’application, de pixel ou de vidéo.

Le mode de consentement d’un fournisseur peut adapter le comportement de ses balises, mais son activation ne garantit pas à elle seule la conformité de l’ensemble du site. Vérifiez les requêtes réseau et le stockage effectif.

Cas particulier de la mesure d’audience

La CNIL admet une exemption pour certains traceurs de mesure d’audience configurés selon des conditions strictes : finalité limitée à la mesure pour le compte exclusif de l’éditeur, absence de suivi global entre sites, données limitées et garanties adaptées. Utilisez l’outil d’auto-évaluation et la documentation de la solution ; ne déduisez pas l’exemption du seul nom du produit.

Recette technique en six tests

1. Avant choix : aucun traceur soumis au consentement n’est déposé.
2. Après refus : la navigation et l’achat restent possibles hors fonctionnalité non essentielle clairement liée.
3. Après acceptation partielle : seules les finalités choisies s’activent.
4. Après retrait : les futurs dépôts cessent et les mécanismes prévus sont appliqués.
5. Sur mobile : les boutons restent visibles et de poids équivalent.
6. Après mise à jour : le registre et la politique correspondent au comportement réel.

Sources officielles

• CNIL — cookies et traceurs : que dit la loi ?
• CNIL — mesure d’audience et exemption
• Politique de confidentialité du revendeur