Qu’est-ce qu’un audit RGPD des cookies ? (Et comment le réussir en 2026)

Le RGPD a huit ans, et la défaillance la plus fréquente sur les sites PME reste la bannière de cookies. Toutes les autorités européennes en ont publié la doctrine ; la plupart ont déjà sanctionné. Le seuil n’est pas haut, il est juste précis.

Un audit RGPD des cookies est la vérification structurée qui dit si votre site survivrait à un contrôle CNIL, ICO, Garante, AEPD ou DPC. Cet article décrit ce que fait l’audit, les règles qu’il applique, et les défaillances que nous voyons le plus.

La base légale, en clair

Deux textes s’appliquent. La directive ePrivacy (article 5(3)) impose un consentement avant que toute information non strictement nécessaire ne soit stockée ou lue sur le terminal. Le RGPD définit ce qu’est un consentement valide (article 4(11), article 7) : libre, spécifique, éclairé, univoque, et révocable aussi facilement qu’il a été donné.

Ce que l’audit vérifie, étape par étape

1. Capture réseau au premier chargement

L’audit visite votre site en visiteur frais et enregistre chaque cookie posé, chaque écriture localStorage et chaque requête réseau déclenchée avant que l’utilisateur n’interagisse avec la bannière. Tout ce qui n’est pas strictement nécessaire ici est une infraction.

2. Inventaire des cookies et du stockage

L’audit liste chaque cookie posé et chaque clé de stockage écrite, avec le domaine qui l’a posée. Rien de plus : nous relevons le nom et le domaine, jamais la valeur, et la durée de vie comme la finalité d’un cookie ne sont pas lisibles sur le réseau, donc nous ne les rapportons pas. Nous ne confrontons pas non plus automatiquement cet inventaire à votre politique cookies, parce qu’un comparatif déclaré/observé est un travail de lecture, pas un contrôle machine. Faites-le vous-même, notre inventaire d’un côté, votre politique de l’autre. La plupart des politiques cookies de PME sont des modèles périmés, et la CNIL lit ces pages.

3. Conception de la bannière

Les autorités ont désigné cinq motifs. Deux se jugent sur le balisage de la bannière, et ce sont ceux que Veracly contrôle automatiquement :

• Boutons Accepter et Refuser de poids égal sur la première couche. Une bannière qui cache « Refuser » dans un lien réglages est non conforme. Le 31 décembre 2021, la CNIL a infligé 150 M€ à Google et 60 M€ à Facebook Ireland pour exactement cela. Nous comparons les deux contrôles tels qu’ils figurent dans le DOM : nature, visibilité, poids visuel. C’est une inspection de la conception, pas un test de ce qui se produit après un clic.
• Aucune case pré-cochée. Chaque catégorie, analytics, marketing, fonctionnel, doit être désactivée par défaut.

Les trois autres pèsent autant et ne se tranchent pas sur un instantané de la page. Parcourez-les vous-même :

• Catégories granulaires. Un seul bouton « tout accepter » ne suffit plus.
• Retrait aussi simple que le consentement, un lien « Cookies » persistant en pied de page.
• Pas de dark patterns. Pas de compte à rebours, pas de « la poursuite vaut consentement », pas d’« intérêt légitime » pour la publicité.

4. Preuve du consentement

Le RGPD exige que vous puissiez prouver, pour chaque visiteur, le consentement et son périmètre. Une CMP moderne le fait ; les bannières maison presque jamais.

5. Comportement des scripts tiers

Veracly capture chaque script tiers, chaque cookie et chaque écriture de stockage déclenchés avant tout geste de consentement, l’état pré-consentement qui intéresse le plus les autorités. Nous ne cliquons jamais sur votre bannière, et c’est délibéré : un clic serait lui-même un geste de consentement et fausserait la mesure que nous sommes venus prendre. Il n’y a donc aucune passe post-consentement. Pour vérifier que les scripts respectent un choix une fois posé, parcourez chaque chemin vous-même, « Tout accepter », « Tout refuser » et tout consentement partiel, dans une fenêtre privée neuve avec l’onglet Réseau ouvert. Erreur fréquente : un script qui charge quand même après « Refuser », souvent à cause d’un tag manager mal configuré.

Les défaillances les plus fréquentes sur les PME

Meta Pixel qui se déclenche au pageload. Le snippet par défaut tombe dans <head> et part immédiatement. En UE, c’est une infraction à chaque visite.

Google Analytics sans consent gate. Consent Mode v2 n’est pas configuré chez la plupart des PME.

Hotjar/Microsoft Clarity/Hubspot enregistrent avant le consentement. Les session-recorders capturent les saisies, sans consentement, infraction ePrivacy claire.

« En poursuivant la navigation vous acceptez ». Refusé par toutes les autorités. À remplacer aujourd’hui.

Comment passer l’audit

1. Installer une vraie CMP qui consigne le consentement (Cookiebot, Axeptio, Didomi, OneTrust, Iubenda).
2. Mettre tout analytics, publicité, recording derrière le consent gate.
3. Bannière à boutons équilibrés, sans cases pré-cochées, avec toggles granulaires.
4. Lien « Cookies » persistant en pied de page.
5. Régénérer la politique cookies pour qu’elle reflète la réalité.
6. Relancer le scan pré-consentement, puis parcourir vous-même les chemins Accepter et Refuser en fenêtre privée.

La conformité cookies se casse en silence. Marketing ajoute un tag, un dev branche un chat, un tiers met à jour son script. Le seul schéma qui marche pour PME : audit de base, corrections, puis scans programmés qui reconstruisent l’inventaire à chaque fois, de sorte que toute nouveauté apparaisse dans le rapport suivant.

C’est ce que fait Veracly, scan de base gratuit sur une page, puis scans programmés sur les offres payantes. Soyons précis sur les alertes : vous recevez un e-mail quand un rapport est prêt, et une alerte quand votre score moyen chute au-delà du seuil que vous avez fixé. Nous ne comparons pas encore les listes de constats ou de traceurs d’un scan à l’autre : un nouveau traceur vous parvient donc sous forme de baisse de score et de ligne dans le rapport suivant, pas sous forme de notification « nouveau traceur ». Lancer un scan.