Parce que vous ne pouvez pas informer, bloquer ni prouver ce que vous ne connaissez pas. Le scanner de cookies est ce qui vous donne la liste réelle des traceurs présents sur votre site, au lieu de la liste que vous croyez avoir.

Et il faut le refaire, car un site n'est jamais figé. Un plugin mis à jour, un nouveau pixel installé par l'équipe marketing, un script tiers qui en charge un autre : chacun de ces événements peut ajouter des traceurs sans que personne ne l'ait décidé. Un scan fait une seule fois décrit un site qui n'existe plus.

Cet article explique pourquoi cette vigilance a une base réelle dans les textes français, ce que le scan apporte comme preuve, à quel rythme le répéter, et ce que cela change concrètement si vous gérez votre consentement avec AdOpt. Pour le fonctionnement technique d'un scan et une méthode d'audit manuelle, reportez-vous à notre guide pilier.

Le droit français impose d'informer l'utilisateur de manière claire et complète avant de lire ou d'écrire des informations sur son appareil, puis d'obtenir son consentement, sauf exception. L'éditeur du site est responsable des traceurs qu'il dépose, même quand un tiers les gère, et doit s'assurer que ses partenaires n'en déposent pas de non conformes depuis son site. Le scan est le moyen le plus simple de savoir, à un instant donné, de quoi vous êtes responsable.

L'idée reçue la plus coûteuse est de croire qu'un site conforme le reste tout seul. Il ne reste conforme que tant que rien ne change, et ce qui change le plus souvent n'est pas la bannière : c'est ce que le site charge en coulisses.

Sur un site construit avec un système de gestion de contenu, une mise à jour de plugin peut embarquer un nouveau service : une police hébergée chez un tiers, un module de statistiques, un widget de partage. Personne n'a cliqué sur « installer un traceur », et pourtant il est là.

Le même phénomène touche les sites plus sur mesure. Une nouvelle version d'une bibliothèque JavaScript ou d'un composant de paiement peut appeler un domaine que l'ancienne version ne contactait pas. Sans re-scan, vous l'apprenez le jour où quelqu'un ouvre les outils de développement, et ce quelqu'un n'est pas forcément un allié.

Dans beaucoup d'organisations, le marketing, le produit et le développement modifient le site chacun de leur côté. Google Tag Manager, ou un outil équivalent, permet d'ajouter un tag en quelques minutes, sans passer par une mise en production. C'est sa force, et c'est aussi le risque : la décision d'ajouter un traceur n'est plus visible du côté de celui qui gère la conformité.

Un exemple simple. Une campagne publicitaire démarre un lundi, avec un pixel de mesure des conversions installé le vendredi précédent. Le jeudi suivant, la campagne est terminée, mais le pixel est toujours en place. Il continue de se déclencher sur chaque visite, et il n'a jamais figuré dans votre politique de cookies.

Certains scripts tiers déclenchent eux-mêmes le chargement d'autres scripts, appartenant à d'autres fournisseurs. Vous avez installé un seul outil, mais votre page contacte trois ou quatre domaines. Chacun peut déposer ses propres traceurs, avec ses propres finalités.

Le scan est le moyen le plus direct de voir cette chaîne complète, parce qu'il observe ce que le navigateur charge réellement, pas ce que vous avez configuré. Ce point compte juridiquement, comme nous le verrons dans la section suivante.

Prenons un site vitrine dont la bannière a été configurée avec soin en janvier. En mars, le prestataire web met à jour le thème et active au passage un module de chat en ligne, proposé par défaut dans la nouvelle version. Personne ne le remarque : la page s'affiche comme avant, avec une petite bulle en bas à droite.

Dès le chargement, ce module contacte le serveur de son fournisseur et peut y déposer un identifiant. Ce fournisseur n'apparaît ni dans la liste affichée par la bannière, ni dans la politique de cookies. L'utilisateur qui a refusé tous les traceurs en janvier n'a donc plus le contrôle qu'il croit avoir.

Un scan mensuel aurait fait apparaître ce nouveau domaine dès avril, avec une catégorie à décider : fonctionnelle si le module ne sert qu'à la conversation, marketing s'il sert aussi à suivre les utilisateurs d'une page à l'autre. Sans scan, l'écart dure jusqu'au jour où quelqu'un le remarque, ou jusqu'au jour où quelqu'un le signale. Ce scénario est illustratif, mais il décrit une situation ordinaire, pas un cas d'école.

Démarrer gratuitement avec AdOpt

Le point de départ est l'article 82 de la loi Informatique et Libertés, qui transpose la directive ePrivacy. Il impose d'informer l'utilisateur « de manière claire et complète » de la finalité de toute action de lecture ou d'écriture dans son terminal, et des moyens dont il dispose pour s'y opposer. Ces accès ne peuvent avoir lieu qu'après consentement, sauf pour les traceurs strictement nécessaires ou ceux dont l'unique finalité est la communication électronique.

Vous pouvez lire le texte en vigueur sur Légifrance. La CNIL l'interprète dans ses lignes directrices du 17 septembre 2020, publiées sous le numéro de délibération 2020-091, dont nous citons ci-dessous les points utiles à un scan.

Les lignes directrices posent un minimum d'informations à fournir avant le recueil du consentement : l'identité des responsables de traitement, la finalité des opérations de lecture ou d'écriture, la manière d'accepter ou de refuser, les conséquences d'un choix et l'existence du droit de retirer son consentement (point 24).

Elles ajoutent que l'utilisateur doit pouvoir identifier les responsables et les responsables conjoints avant de choisir, et que la liste exhaustive et à jour de ces entités doit lui être accessible de façon simple (point 25). Or l'information ne peut être exhaustive et à jour que si quelqu'un sait quels traceurs sont là. C'est exactement ce que produit un scan.

La CNIL rappelle que l'éditeur d'un site qui dépose des traceurs est considéré comme responsable de traitement, y compris lorsqu'il sous-traite à des tiers la gestion de ces traceurs (point 34). Pour les tiers qui déposent des traceurs à l'occasion de la visite de son site, elle s'appuie sur une décision du Conseil d'État du 6 juin 2018.

Selon cette décision telle que la reprennent les lignes directrices, l'éditeur doit s'assurer auprès de ses partenaires qu'ils n'émettent pas, par l'intermédiaire de son site, des traceurs qui ne respectent pas la réglementation applicable en France, et faire toute démarche utile auprès d'eux pour mettre fin aux manquements (point 35). Difficile de s'assurer de quoi que ce soit sans savoir ce que ces partenaires déposent.

Le champ de l'article 82 ne se limite pas aux cookies. Les lignes directrices citent le stockage local, le calcul d'empreinte du terminal et les identifiants générés par les systèmes d'exploitation (points 9 à 14). Un inventaire limité aux seuls cookies peut donc laisser passer des traceurs pourtant soumis aux mêmes règles.

Ce n'est pas un argument contre le scan. C'est un argument pour connaître le périmètre de l'outil que vous utilisez, et pour compléter sa vue par une vérification manuelle. Nous décrivons cette vérification pas à pas dans le guide sur le fonctionnement d'un scanner.

La preuve est le troisième usage du scan, et le moins évident. Le point 29 des lignes directrices rappelle que les organismes exploitant des traceurs doivent être en mesure de fournir, à tout moment, la preuve du recueil valable du consentement. Cette preuve, c'est le choix enregistré de chaque utilisateur.

Le scan ne remplace pas cette preuve, mais il en constitue le complément. Il documente ce qui existait sur le site à une date donnée : quels traceurs, dans quelles catégories, avec quelles durées. Face à une plainte ou à un contrôle, pouvoir montrer que votre inventaire était à jour vaut mieux que de le reconstituer de mémoire.

Gardez chaque rapport de scan avec sa date, sans l'écraser. Une série de rapports mensuels raconte l'histoire du site : ce qui est apparu, ce qui a disparu, quand la classification a été corrigée. Cette chronologie est utile en interne comme en cas de demande d'explications.

Pensez aussi à noter la décision associée à chaque changement : qui a ajouté un tag, pourquoi, avec quelle catégorie. Le rapport dit ce qui s'est passé, la note dit qui l'a décidé. Les deux ensemble forment un dossier lisible par quelqu'un qui n'était pas présent.

La CNIL ne se contente pas d'attendre les plaintes. Dans une publication du 4 février 2021, elle indique que son observatoire analyse périodiquement les pratiques de dépôt de cookies des 1 000 sites à plus forte audience en France, et elle invite les organismes à auditer leurs sites web et leurs applications mobiles. Vous pouvez lire ce communiqué de la CNIL.

Le même texte cite deux défauts fréquents : des bannières qui se contentent d'une information générale du type « Ce site utilise des cookies », et l'absence de vrai choix. Pour la manière dont les contrôles se déroulent et les sanctions déjà prononcées, consultez notre article sur les missions et les contrôles de la CNIL.

Les textes cités dans cet article n'imposent pas de fréquence de scan. Le bon rythme est donc une décision de gouvernance, à fixer selon la vitesse à laquelle votre site évolue. Voici une règle pratique qui fonctionne pour la plupart des équipes.

Un re-scan s'impose quand quelque chose change dans le code ou dans les services connectés. Les déclencheurs les plus courants :

• l'ajout ou le retrait d'un tag dans Google Tag Manager ou votre outil de tags ;
• la mise à jour d'un plugin, d'un thème ou d'une bibliothèque ;
• le lancement d'une campagne publicitaire avec un nouveau pixel ;
• l'intégration d'un outil de chat, d'un formulaire externe ou d'une vidéo hébergée ailleurs ;
• une refonte, une migration d'hébergement ou un changement de prestataire.

Si vous utilisez Google Consent Mode, la question du signal de consentement se traite à part, dans notre article sur Google Consent Mode v2 en France. Le scan répond à une autre question : quels traceurs sont là, et qui les a décidés.

Même sans événement identifié, prévoyez un contrôle à intervalle fixe, par exemple chaque mois ou chaque trimestre selon la taille de l'équipe. Ce contrôle a une fonction précise : trouver ce que personne n'a signalé. C'est lui qui repère le pixel oublié, la mise à jour silencieuse d'un fournisseur ou le script installé par un prestataire.

Un scan qui ne trouve rien de nouveau n'est pas du temps perdu. C'est un rapport daté qui confirme que l'inventaire correspond toujours à la réalité, et c'est une pièce de plus dans votre dossier.

Voici un rituel léger, réalisable en moins d'une heure par mois. Il n'a rien d'imposé par un texte : c'est une manière d'organiser la vigilance.

1. Lancez un nouveau scan et comparez avec le rapport du mois précédent.
2. Repérez les traceurs nouveaux ou disparus, et identifiez pour chacun qui l'a ajouté.
3. Classez les traceurs non reconnus dans la bonne catégorie.
4. Ouvrez le site en navigation privée et comparez les cookies avant et après le choix avec la liste affichée dans la bannière.
5. Mettez à jour la politique de cookies si un traceur a changé de finalité ou de durée.

Démarrer gratuitement avec AdOpt

Si votre site utilise AdOpt, le Scanner de tags propose automatiquement une classification pour les tags trouvés dans les URL rattachées à votre bannière, chaque tag correspondant à un ou plusieurs cookies. La disponibilité de la fonction et la fréquence du scan varient selon le plan.

Les tags sont rangés dans cinq catégories : nécessaires, marketing, statistiques, performance et fonctionnelles. Ce que le scanner ne reconnaît pas va dans une sixième catégorie, « Inconnus », et n'apparaît pas dans la bannière tant que vous n'avez pas choisi la catégorie adaptée, puis enregistré et publié.

La bannière affichée par AdOpt reprend la liste des tags et cookies de tiers avec les classifications que vous avez définies, et l'utilisateur peut personnaliser son choix par catégorie. Autrement dit, votre travail de classification est visible. Une catégorie erronée engage votre information, et un tag « Inconnu » laissé en l'état reste absent de la bannière : ni l'un ni l'autre n'est un simple détail de tableau de bord.

C'est le point de jonction entre le scan et l'obligation d'information : ce que le scanner trouve, vous le classez, et l'utilisateur le lit. Chaque étape que vous sautez se retrouve, sous une forme ou une autre, devant lui.

Deux précisions évitent les fausses assurances. Le réglage « Tags inactifs par défaut » détermine seulement l'état par défaut des cases à la première visite. Il ne dispense pas de configurer le blocage des tags, manuel ou automatique, qui est une autre fonction.

Le scanner ne remplace pas non plus le registre du choix : AdOpt enregistre la décision de chaque utilisateur avec un identifiant unique stocké dans le navigateur, le CookieID. Le scan dit ce qu'il y a sur le site, le registre dit ce que la personne a choisi.

AdOpt propose aussi un Scanner planifié (fréquence manuelle, hebdomadaire, mensuelle, tous les 45 ou 60 jours) et un Scanner authentifié pour les zones connectées ; leur disponibilité dépend du plan, à vérifier dans la documentation.

C'est le principe qui nous importe le plus : une CMP doit se vérifier. Ne vous contentez pas d'un rapport. Ouvrez votre site en navigation privée, regardez les cookies avant et après votre choix, puis comparez avec la liste que la bannière affiche.

Si un cookie apparaît dans votre navigateur sans figurer dans la liste, ou si un traceur refusé se dépose quand même, vous avez trouvé un écart à traiter. Retrouvez la méthode détaillée dans notre guide sur la lecture des résultats du scan.

Un scan est un instrument de visibilité, pas une garantie. Trois limites méritent d'être gardées en tête pour ne pas lui demander plus qu'il ne peut donner.

• Il ne juge pas la validité du consentement. L'égalité entre accepter et refuser, la clarté du texte et l'absence de choix pré-cochés relèvent de la bannière, que nous traitons dans notre article sur le bandeau cookies conforme.
• Il ne voit que ce qu'il visite. Pages non explorées, zones connectées et traceurs conditionnels échappent à un scan qui ne les reproduit pas.
• Il ne bloque rien par lui-même. Savoir qu'un traceur existe ne l'empêche pas de se déclencher avant le choix.

Ces limites ne remettent pas en cause l'intérêt de l'exercice. Elles rappellent qu'il faut le combiner avec le blocage, avec une bannière correcte et avec un contrôle manuel régulier. Pour situer l'ensemble dans la loi française, voyez notre guide du RGPD en France.

Demander une démo AdOpt

Aucun des textes cités ici ne prévoit l'obligation de faire un scan en tant que tel. En revanche, la loi impose d'informer l'utilisateur de manière claire et complète et de recueillir son consentement avant d'écrire ou de lire des informations sur son appareil. Pour respecter ces obligations et pouvoir les démontrer, il faut connaître ses traceurs, et le scan est l'outil le plus direct pour y arriver.

Les lignes directrices de la CNIL considèrent que l'éditeur d'un site qui autorise des traceurs, y compris par des tiers, doit s'assurer de la présence d'un mécanisme de recueil du consentement. Elles rappellent aussi que, selon le Conseil d'État, l'éditeur doit vérifier auprès de ses partenaires qu'ils n'émettent pas de traceurs non conformes. Ne pas connaître ces traceurs n'est donc pas une position confortable.

Il constitue un élément de dossier, pas une preuve de consentement. Le scan documente l'état de votre site à une date donnée, ce qui aide à démontrer votre vigilance. La preuve du consentement, elle, est l'enregistrement du choix de chaque utilisateur. Conservez les deux : les rapports de scan datés d'un côté, le registre des consentements de l'autre.

Commencez par identifier son origine : nom, domaine et tag qui le déclenche. Demandez ensuite à l'équipe concernée pourquoi il est là. S'il n'a pas de finalité utile, retirez-le. S'il est utile et soumis à consentement, classez-le dans la bonne catégorie : il doit être bloqué avant le choix de l'utilisateur et apparaître dans l'information affichée.

• Scanner de cookies : comment ça marche, ce qu'il voit et ce qu'il rate
• Audit de cookies : lire les résultats du scan