Un rapport de scan se lit ligne par ligne : chaque traceur trouvé doit avoir une origine que vous connaissez, une finalité que vous pouvez expliquer et une catégorie que vous pouvez défendre. Tant qu'une ligne ne répond pas à ces trois questions, l'audit n'est pas terminé.

Ce guide prend la suite de notre article sur le fonctionnement d'un scanner de cookies. Vous y avez vu comment le rapport est produit. Ici, nous voyons comment le lire, quoi faire des traceurs que l'outil ne reconnaît pas, comment corriger la catégorie et publier, puis comment répercuter le résultat dans votre politique de cookies.

Un audit de cookies n'est pas un exercice juridique abstrait. C'est un travail de relecture d'un tableau, avec des décisions à prendre et à tracer. Si vous avez déjà lancé un scan, gardez le rapport sous les yeux en lisant ce qui suit.

Pour chaque traceur du rapport, posez toujours les mêmes questions dans le même ordre.

1. D'où vient-il ? Le domaine et le nom du cookie indiquent le plus souvent le fournisseur, mais un script tiers exécuté dans votre page peut créer un cookie sur votre propre domaine : confirmez avec la requête ou le script d'origine. Un domaine différent de celui de votre site signale un traceur tiers.
2. À quoi sert-il ? La finalité détermine si le consentement est nécessaire. Un traceur qui sert à plusieurs choses doit être jugé sur sa finalité la plus intrusive.
3. Dans quelle catégorie le placer ? La catégorie est ce que l'utilisateur lit dans votre bannière, et ce sur quoi il fait son choix.

Les outils présentent les informations différemment, mais on retrouve presque toujours les mêmes colonnes. Savoir ce que chacune signifie évite de mal interpréter un résultat.

Le nom est l'identifiant technique du cookie, par exemple _ga ou PHPSESSID. Le domaine indique en général qui l'a déposé : votre propre domaine, ou celui d'un tiers (un script tiers peut aussi écrire sur votre domaine). Un cookie dont le domaine n'est pas le vôtre est un cookie tiers, et c'est presque toujours lui qui pose des questions de consentement.

Le chemin précise la portée : un cookie déposé sur l'ensemble du site ou seulement sur une section. Ce détail sert surtout à retrouver l'origine d'un cookie inconnu. Un chemin limité à /panier oriente vers une fonction de commande, par exemple.

La colonne « expiration » vous dit combien de temps le cookie reste stocké. Un cookie de session disparaît à la fermeture du navigateur, un cookie persistant peut durer des mois. Pour les traceurs de mesure d'audience exemptés de consentement, la CNIL recommande une durée de vie qui permette une comparaison pertinente des audiences dans le temps, comme treize mois, sans prolongation automatique à chaque visite, et une conservation des informations collectées de vingt-cinq mois maximum.

Cette recommandation est formulée au point 50 de la délibération n° 2020-092 du 17 septembre 2020. Elle vise les traceurs de mesure d'audience exemptés, non l'ensemble des cookies : ne l'appliquez pas mécaniquement à un cookie publicitaire, dont le sort dépend du choix recueilli par votre bandeau cookies.

Enfin vient la catégorie attribuée par l'outil. C'est la colonne qui demande votre attention, car c'est la seule qui résulte d'un jugement, celui d'une base de connaissances, et pas d'une observation. Une observation ne se discute pas, un jugement se vérifie.

Vérifier une catégorie, c'est se demander : si un utilisateur lisait cette ligne, comprendrait-il ce que fait ce traceur ? Si la réponse est non, la classification est à revoir, même si elle est techniquement défendable.

Démarrer gratuitement avec AdOpt

AdOpt classe les tags en cinq catégories : nécessaires, marketing, statistiques, performance et fonctionnelles. Une sixième catégorie, « Inconnus », reçoit les tags que le scanner ne reconnaît pas ; ils n'apparaissent pas dans la bannière tant qu'ils ne sont pas classés. Voici comment aborder chacune lors de l'audit.

Cette catégorie est la plus sensible, parce qu'elle échappe au choix de l'utilisateur. La loi prévoit que l'exigence de consentement ne s'applique pas aux traceurs dont l'unique finalité est de permettre la communication électronique, ou qui sont strictement nécessaires à la fourniture d'un service demandé expressément par l'utilisateur.

La CNIL donne des exemples de traceurs qui peuvent être regardés comme exemptés, aux points 46 à 49 de ses lignes directrices. On y trouve les traceurs qui conservent le choix exprimé par l'utilisateur, ceux destinés à l'authentification, ceux qui gardent en mémoire le contenu d'un panier d'achat, ceux de personnalisation de l'interface comme la langue, ou ceux d'équilibrage de charge.

Un cookie de panier est donc défendable en « Nécessaires ». Un cookie publicitaire ne l'est pas, quel que soit son nom. Et un même traceur utilisé pour plusieurs finalités, dont certaines ne sont pas exemptées, exige un consentement préalable (point 48).

On classe ici les outils de mesure d'audience. Attention à un raccourci fréquent : tous les outils de statistiques ne sont pas exemptés de consentement. Selon la CNIL, la finalité doit se limiter à la mesure de l'audience du site pour le compte exclusif de l'éditeur, sans suivi global de la navigation sur différents sites, et les données doivent servir à produire des statistiques anonymes (point 51).

Si votre outil ne remplit pas ces conditions, il doit rester derrière le consentement. La catégorie « Statistiques » n'est donc pas une exemption : elle décrit une finalité, et c'est la configuration de l'outil qui détermine s'il peut s'en passer. Comme le rappelle le point 52, ces traitements restent soumis à l'ensemble du RGPD.

Les traceurs publicitaires, de reciblage ou de suivi des conversions relèvent de cette catégorie. Ils ne figurent pas dans les exemptions citées plus haut. Ils doivent donc être bloqués tant que l'utilisateur n'a pas donné son accord, et la case qui les concerne ne doit pas être cochée par défaut.

C'est aussi la catégorie qui porte le plus de tiers. Chaque ligne « Marketing » du rapport correspond à un fournisseur que vous devez pouvoir nommer, et dont vous devez pouvoir justifier la présence.

« Performance » regroupe les traceurs qui servent à mesurer ou améliorer le fonctionnement technique, tandis que « Fonctionnelles » couvre ceux qui offrent une fonction supplémentaire à l'utilisateur, comme un chat ou la mémorisation d'une préférence. Ces deux catégories deviennent des fourre-tout quand on est pressé.

Un test simple : si le traceur peut être utilisé pour suivre un utilisateur d'un site à l'autre, ou pour autre chose que sa fonction affichée, il n'a rien à faire ici. Renseignez ces catégories avec la même rigueur que les autres, puisque l'utilisateur peut les choisir une par une.

Démarrer gratuitement avec AdOpt

Prenons un extrait fictif de cinq lignes, volontairement simple, tel qu'un scan pourrait le produire sur un petit site marchand. Les noms sont inventés : l'objectif est de s'entraîner à la lecture, pas de décrire un fournisseur réel.

Les deux premières lignes se défendent : un panier et une préférence de langue correspondent à des exemples que la CNIL cite parmi les traceurs pouvant être regardés comme exemptés. La troisième demande une vérification de configuration, puisque l'exemption des outils de mesure d'audience dépend de conditions strictes.

La quatrième ne pose pas de question de classement, mais une question de blocage : elle doit rester inactive avant l'accord de l'utilisateur. Et sa durée de vingt-quatre mois mérite d'être connue de celui qui rédige la politique.

La dernière ligne est le vrai travail d'audit. Personne ne sait ce que fait x_tmp_7f3a, ni qui l'a posé. La démarche décrite ci-dessous s'applique : identifier, décider, recatégoriser, publier, puis vérifier. Cet exemple montre aussi que sur cinq lignes, une seule demande une vraie enquête. Le scan ne supprime pas le travail humain : il le concentre là où il est utile.

Un traceur « Inconnu » n'est pas une anomalie du scan. C'est un signal : l'outil a trouvé une trace qu'il ne sait pas rattacher à un fournisseur ou à une finalité. Cela arrive avec des services peu répandus, des scripts développés en interne ou des traceurs renommés par un prestataire.

Le point important est ce que vous faites de cette ligne. Laissée en l'état, elle prive l'utilisateur d'une information et vous prive d'une décision. Voici une méthode qui fonctionne dans presque tous les cas.

Notez les trois éléments exactement comme le rapport les affiche. Une fois le cookie identifié, une recherche du nom seul dans un moteur donne souvent le fournisseur. Attention toutefois aux noms génériques comme session ou id, qui existent chez des dizaines d'éditeurs.

Le domaine est plus discriminant que le nom. Un domaine tiers identifiable désigne un fournisseur ; un sous-domaine de votre propre site désigne plutôt une fonction interne, ou un service hébergé chez vous. Dans les deux cas, vérifiez avec la requête ou le script qui précède le cookie.

Ouvrez Google Tag Manager (ou votre outil de tags) et cherchez le fournisseur ou l'identifiant. Si vous ne trouvez rien, ouvrez les outils de développement de votre navigateur, et cherchez dans l'onglet réseau la requête qui précède l'apparition du cookie. Le script qui en est à l'origine y figure en général.

Cette étape est la plus longue, mais c'est la plus instructive. Elle vous montre qui a installé quoi, et elle révèle souvent des tags oubliés ou déployés par une autre équipe. Nous détaillons pourquoi ces surprises sont normales dans notre article sur la nécessité de scanner régulièrement.

Lisez la documentation du fournisseur, ou interrogez l'équipe qui a demandé l'installation. La finalité déclarée par le fournisseur est un point de départ, pas un aboutissement : un même outil peut être configuré pour mesurer l'audience, ou pour alimenter des campagnes.

C'est cette finalité, dans votre configuration, qui compte pour choisir la catégorie. Un outil de mesure configuré pour croiser les données avec d'autres services n'est plus un simple outil de mesure au sens des conditions rappelées plus haut.

Si le traceur n'a aucune utilité, retirez-le. C'est la meilleure décision : un traceur qui n'existe pas n'a pas à être expliqué. Si l'équipe le juge utile, il reste à le classer et à s'assurer qu'il est bloqué avant le choix quand il relève du consentement.

Documentez cette décision, même en une ligne : qui l'a prise, à quelle date, pour quelle raison. Cette trace vous servira à la prochaine relecture, quand quelqu'un demandera pourquoi ce fournisseur est là.

Dans AdOpt, un tag « Inconnu » doit être recatégorisé manuellement par le gestionnaire. Dans l'étape « Scanner de tags » de votre bannière, vous choisissez l'une des cinq catégories pour le tag concerné, puis vous enregistrez et publiez la modification. Ce n'est qu'après publication que la bannière affichée aux utilisateurs reflète la nouvelle classification.

Pensez à cette dernière étape : une catégorie corrigée mais non publiée ne change rien pour vos utilisateurs. Vérifiez ensuite l'affichage en ouvrant votre site en navigation privée et en consultant la liste des tags dans la bannière.

Démarrer gratuitement avec AdOpt

Quelques erreurs se répètent d'un audit à l'autre. Les connaître permet de relire un rapport avec un œil plus critique.

• Classer par habitude plutôt que par finalité. Mettre un traceur en « Nécessaires » parce qu'il est sur toutes les pages ne le rend pas nécessaire.
• Ignorer les traceurs tiers cachés derrière un outil connu. Un widget de partage peut embarquer plusieurs fournisseurs, chacun avec sa finalité.
• Confondre l'état par défaut et le blocage. Le réglage « Tags inactifs par défaut » indique seulement si les tags non nécessaires sont cochés à la première visite. Il ne remplace pas le blocage manuel ou automatique, qui reste à configurer séparément.
• Corriger la catégorie sans publier. La classification reste invisible pour les utilisateurs tant qu'elle n'est pas publiée.
• Ne rien changer dans la politique de cookies. La classification et le texte doivent raconter la même histoire.

Une fois les catégories corrigées et publiées, reprenez la méthode de contrôle manuel. Ouvrez une fenêtre de navigation privée, comparez les cookies présents avant tout choix, après un refus et après une acceptation. La liste doit correspondre à ce que la bannière annonce.

Si un traceur classé « Marketing » se dépose avant votre choix, c'est que le blocage ne fait pas son travail : la classification seule ne suffit pas. C'est le type d'écart que le scan révèle et que la vérification manuelle confirme, et il justifie l'exercice répété.

Le scan alimente un deuxième document : votre politique de cookies. Chaque traceur du rapport doit y figurer avec sa finalité, son fournisseur et sa durée. Quand la classification change, le texte doit suivre, sans quoi votre politique décrit un site qui n'existe plus.

Notre exemple détaillé de politique de cookies conforme montre les éléments à faire figurer. Pour les traceurs exemptés de consentement, la CNIL recommande aussi d'informer les utilisateurs de leur existence, par exemple dans la politique de confidentialité (points 49 et 50 de la recommandation). Vous pouvez consulter notre modèle de politique de confidentialité pour y prévoir cette mention.

Une façon simple de garder l'ensemble cohérent est de tenir un tableau unique, avec une ligne par traceur.

Ce tableau est la mémoire de votre audit. Il vous permet aussi de répondre vite à une demande d'explication, de la part d'un client, d'un auditeur ou de l'autorité. Pour situer ces obligations dans l'ensemble de la réglementation française, voyez notre guide du RGPD en France.

Voici la liste à parcourir à chaque scan, en moins d'une heure pour un site de taille moyenne.

1. Comparez le nouveau rapport avec le précédent, et repérez les traceurs apparus ou disparus.
2. Identifiez l'origine de chaque nouveau traceur, et la personne qui l'a ajouté.
3. Traitez chaque traceur « Inconnu » : identifier, décider, recatégoriser.
4. Vérifiez qu'aucun traceur soumis à consentement ne figure en « Nécessaires ».
5. Enregistrez et publiez les changements de catégorie.
6. Contrôlez la bannière en navigation privée, avant et après choix.
7. Mettez à jour la politique de cookies et le tableau de correspondance.

Cette liste ne dépend pas d'un outil en particulier. Pour les paramètres propres à votre scanner, comme la fréquence, la profondeur d'exploration ou la prise en charge des zones connectées, reportez-vous à la documentation de votre produit, y compris celle d'AdOpt.

Demander une démo AdOpt

C'est un traceur que l'outil a détecté mais qu'il n'a pas su rattacher à un fournisseur ou à une finalité connus. Il n'est pas forcément suspect : il peut s'agir d'un service peu répandu ou d'un script maison. Il doit toutefois être identifié, puis rangé par vos soins dans une catégorie, sans quoi l'utilisateur ne peut pas comprendre ce qu'il accepte.

Dans l'étape « Scanner de tags » de votre bannière, vous choisissez l'une des cinq catégories pour le tag concerné, puis vous enregistrez et publiez. La publication est indispensable : sans elle, la bannière affichée aux utilisateurs garde l'ancienne classification. Contrôlez ensuite le résultat en navigation privée pour vérifier que la liste affichée correspond à votre décision.

Non. La CNIL admet une exemption pour certains traceurs de mesure d'audience, à des conditions strictes : finalité limitée à la mesure sur votre site, pour votre compte exclusif, sans suivi global de la navigation et avec des statistiques anonymes. Si votre outil ne remplit pas ces conditions dans sa configuration, le consentement reste nécessaire.

Uniquement si le scan révèle un changement : nouveau traceur, traceur retiré, finalité ou durée modifiée. Dans ce cas, mettez le texte à jour sans attendre, pour qu'il continue de décrire ce qui se passe réellement. Un rapport sans changement n'exige aucune modification, mais mérite d'être conservé avec sa date comme trace de vos contrôles.

Non. Le scan indique quels traceurs existent et leur classification, pas le moment où ils se déclenchent par rapport au choix de l'utilisateur. Pour cela, comparez manuellement les cookies dans un navigateur propre avant tout choix, après un refus et après une acceptation. Le blocage se configure séparément de la classification.

• Scanner de cookies : comment ça marche, ce qu'il voit et ce qu'il rate
• Pourquoi scanner les cookies de son site (et le refaire régulièrement)