Une CMP, ou plateforme de gestion du consentement, sert à présenter les choix des utilisateurs et à les transmettre aux composants d’un site ou d’une application. Pour la choisir, il faut examiner ce qui se passe après le clic : les traceurs concernés restent-ils bloqués avant l’accord, le refus est-il respecté et le retrait produit-il les effets attendus ? Un bandeau correctement dessiné ne démontre pas, à lui seul, le bon fonctionnement de toute la chaîne.
Ce comparatif porte sur les modes de déploiement et les critères de sélection, sans attribuer de classement ou de tarif à des fournisseurs dont l’offre n’a pas été évaluée ici. Il permet de préparer un cahier des charges, une démonstration et une décision documentée. Le périmètre juridique présenté est celui des sites et applications soumis aux règles françaises, avec les recommandations de la CNIL vérifiées au 27 septembre 2026.
Vérifier si le service a besoin de recueillir un consentement
L’article 82 de la loi Informatique et Libertés encadre les opérations de lecture et d’écriture dans le terminal. Certaines opérations sont dispensées de consentement, notamment lorsqu’elles ont pour finalité exclusive de permettre ou faciliter une communication électronique, ou sont strictement nécessaires au service expressément demandé. La CNIL présente les règles applicables aux cookies et traceurs. L’étiquette commerciale « essentiel » ne suffit pas à établir une exemption.
Un site qui n’utilise que des opérations exemptées n’a pas à ajouter un recueil de consentement inutile pour ces seules opérations. En revanche, une extension publicitaire, une vidéo embarquée ou un outil de mesure peut modifier le périmètre. Commencez par un inventaire des fonctions réellement actives, y compris sur les pages secondaires, les espaces connectés et les versions mobiles. Le nom des cookies ne révèle pas toujours leur finalité effective.
La FAQ actuelle de la CNIL précise les conditions de l’exemption pour la mesure d’audience : finalité limitée à la mesure sur le site pour le compte exclusif de l’éditeur, statistiques anonymes et absence de suivi global entre sites, de recoupement avec d’autres traitements ou de transmission à des tiers. Le fournisseur peut utiliser l’outil d’auto-évaluation désormais proposé par la CNIL ; cette démarche ne constitue pas une certification de votre installation. Il faut examiner la configuration, les finalités, les possibilités de recoupement et les usages du fournisseur ; le simple nom d’un produit ne suffit pas. Le guide consacré aux cookies et traceurs sous le RGPD aide à distinguer les opérations. Demandez au prestataire les paramètres et les engagements qui soutiennent la qualification, puis vérifiez qu’ils correspondent à votre installation.
Décrire le périmètre avant de comparer les offres
Inventoriez les domaines, les applications, les langues, les outils publicitaires et les équipes autorisées à publier de nouveaux composants. Un site vitrine administré par une seule personne ne présente pas les mêmes besoins qu’un média avec plusieurs régies ou qu’un groupe disposant de dizaines de sites. La complexité vient aussi du rythme des changements, des interfaces et de l’autonomie des équipes locales.
Reliez chaque finalité à ses composants et à ses responsables. Une catégorie générique « partenaires » ne permet pas de savoir qui reçoit le choix ni pourquoi les données sont utilisées. Préparez une information compréhensible, puis vérifiez sa cohérence avec les scripts et services réellement présents. Le travail sur la politique cookies doit partir de cet inventaire et des textes officiels actuels ; un modèle ne prouve pas l’exactitude de votre configuration.
Dans une boutique, distinguez la CMP des autres fonctions de conformité. Le consentement aux traceurs ne vaut pas consentement à une newsletter et ne remplace pas l’information sur la gestion des commandes. Les critères d’un logiciel RGPD pour le commerce en ligne complètent cette analyse. Définir ces frontières évite de demander à une CMP de traiter des tâches qui nécessitent d’autres outils et d’autres responsabilités.
Comparer les modes de déploiement
Une solution intégrée au système de gestion du site peut simplifier l’administration d’un périmètre limité. Une CMP hébergée et indépendante peut faciliter la gestion de plusieurs environnements. Un composant libre ou développé en interne donne davantage de maîtrise technique, à condition de disposer des ressources pour le maintenir. Aucun de ces modèles ne dispense d’examiner les comportements réels et de suivre leurs évolutions.
| Mode de déploiement | Intérêt possible | Question décisive |
|---|---|---|
| Extension du site | Administration proche des contenus | Couvre-t-elle les composants ajoutés hors de l’extension ? |
| Service hébergé indépendant | Gestion commune de plusieurs sites | Comment les règles locales et les preuves sont-elles séparées ? |
| Composant libre administré en interne | Maîtrise du déploiement et du code | Qui maintient les règles et corrige les incompatibilités ? |
| Solution intégrée à une chaîne publicitaire | Transmission structurée des choix | Quels destinataires et quelles opérations respectent effectivement ces choix ? |
L’offre doit être évaluée dans votre environnement. Une démonstration sur le site du fournisseur ne révèle pas forcément un conflit avec votre gestionnaire de balises, votre cache ou votre application. Demandez une installation de démonstration utilisant des données fictives et des composants représentatifs. Comparez les mêmes cas sur chaque solution présélectionnée, en conservant les limites observées plutôt qu’une note globale difficile à expliquer.
La nationalité du fournisseur n’établit pas une conformité par défaut. De même, un standard publicitaire ou une compatibilité annoncée avec un outil de mesure ne constitue pas une validation juridique de votre installation. Vérifiez les fonctions disponibles, la documentation, le contrat et les engagements de support. Une fonction figurant sur une feuille de route doit rester distincte de celle qui peut être démontrée au moment de la décision.
Examiner le choix offert à l’utilisateur
Le refus doit être aussi simple que l’acceptation. La recommandation consolidée de la CNIL, publiée en janvier 2026, décrit notamment la présentation des finalités, les modalités du choix et le retrait. Si votre premier écran propose une acceptation globale, une possibilité de refus présentée avec une simplicité comparable constitue un point essentiel de l’évaluation. L’utilisateur doit comprendre les conséquences de chaque action.
Observez le bandeau sur un petit écran, au clavier et avec les réglages d’accessibilité usuels. Un bouton peut être présent tout en étant difficile à atteindre ou à comprendre. Une formulation ambiguë peut aussi inverser le sens attendu du choix. Le guide du bandeau cookies et des exigences CNIL aide à préparer cette revue. Vérifiez la version réellement affichée dans chaque langue, pas seulement le texte stocké dans l’interface d’administration.
L’absence d’action ne vaut pas consentement. Si l’utilisateur ferme l’interface ou poursuit sa navigation sans accepter, les opérations soumises à consentement ne doivent pas être déclenchées pour cette raison. Examinez ce comportement sur les pages qui comportent des contenus tiers. Une vidéo ou un bouton social ne doit pas servir de prétexte pour activer silencieusement toutes les autres finalités du site.
Le retrait doit également être accessible et aussi simple que le consentement. Préparez un parcours dans lequel une personne accepte, consulte plusieurs pages, puis revient sur son choix. Vérifiez le résultat après une navigation supplémentaire et après une reconnexion. Les conditions du consentement de l’article 7 fournissent le cadre général ; la CMP doit permettre de le traduire dans les opérations effectives.
Vérifier l’intégration technique au-delà du bandeau
L’objectif de la recette est d’observer les opérations, pas seulement de constater que l’interface disparaît. Relevez les lectures et écritures dans le terminal, les requêtes réseau pertinentes et les changements d’état. Distinguez les composants exemptés de ceux qui nécessitent un accord. Une requête peut demander une analyse de son contenu et de son rôle ; son nom ou son domaine ne permet pas toujours de conclure seul.
Prévoyez plusieurs situations : première visite, refus, choix partiel, acceptation, retrait et arrivée sur une page profonde. Recommencez après l’ajout d’un composant ou la modification d’un gestionnaire de balises. Un scanner automatise une partie de l’observation, mais peut manquer les espaces authentifiés, les contenus différés ou les interactions nécessaires pour déclencher une fonction. Ses résultats doivent être complétés par une lecture du parcours et de l’architecture.
Le déplacement d’une collecte côté serveur ne résout pas automatiquement la question du consentement. Il faut comprendre comment les informations sont obtenues, ce qui est lu ou écrit dans le terminal et quels traitements suivent. De même, un mode de consentement proposé par un fournisseur technique n’est pas une garantie générale de conformité. Demandez ce qui est encore transmis en l’absence d’accord et examinez ces opérations séparément.
Pour une application mobile, identifiez les bibliothèques intégrées et leurs mécanismes propres. Une CMP web n’interrompt pas nécessairement les opérations d’un composant mobile. Le contrat et la démonstration doivent couvrir les environnements dont vous avez réellement besoin. Le guide des méthodes d’audit RGPD peut aider à structurer les observations, leurs preuves et les corrections, sans confondre un contrôle ponctuel avec une garantie permanente.
Gérer les choix entre appareils et entre sites
La CNIL a publié le 16 janvier 2026 ses recommandations finales sur le consentement multi-terminaux. Elles concernent les environnements où l’utilisateur est authentifié. Si les choix sont appliqués à plusieurs appareils connectés au compte, l’information et les possibilités de refus ou de retrait doivent refléter cette portée. Il faut également traiter les différences entre le choix local et celui déjà enregistré dans le compte.
Ce cas mérite une démonstration dédiée. Dans un exemple fictif, une personne refuse sur son téléphone avant de se connecter, alors que son compte contient un accord donné depuis un ordinateur. Demandez quel choix est appliqué, comment la personne en est informée et comment elle le modifie. La règle retenue doit être compréhensible et cohérente ; une synchronisation silencieuse peut produire un résultat inattendu.
Le consentement entre appareils ne se confond pas avec un consentement couvrant plusieurs sites ou marques. Ne présumez pas qu’un accord donné sur un domaine permet toutes les utilisations sur les autres domaines du groupe. Examinez la portée annoncée, les finalités et les responsables concernés. Une fonction technique de partage des préférences ne démontre pas, à elle seule, la validité du consentement que vous souhaitez invoquer.
Conserver une preuve proportionnée et exploitable
Une date et une valeur « accepté » ne suffisent pas toujours à reconstituer les conditions du consentement. Il faut pouvoir relier le choix à l’information présentée, aux finalités et à la version pertinente de l’interface. Demandez comment ces éléments sont conservés et exportés. La preuve doit permettre de comprendre ce que la personne a effectivement pu choisir, sans collecter davantage de données qu’il n’est nécessaire.
Distinguez la durée de mémorisation du choix dans l’interface, la durée de vie des traceurs et la conservation des éléments probatoires. Ce sont des questions différentes. La CNIL considère généralement six mois comme une bonne pratique pour mémoriser tant le consentement que le refus ; ce n’est pas un plafond légal universel applicable à toutes les données du dispositif. Les durées doivent être justifiées selon leur objet et leur contexte.
Ne créez pas un nouveau fichier excessif au nom de la preuve. Examinez si des identifiants, des adresses ou des données de navigation détaillées sont nécessaires à l’objectif retenu. Précisez qui peut consulter les journaux, quand ils sont supprimés et comment une demande individuelle sera traitée. Le registre des traitements doit refléter les opérations réellement effectuées par la CMP et les autres acteurs concernés.
Lors d’un changement de prestataire, prévoyez la récupération des versions et des éléments utiles avant la fermeture du compte. Une exportation limitée aux préférences actuelles peut perdre le contexte historique nécessaire pour expliquer une ancienne collecte. Vérifiez les formats et les limites contractuelles. Cette exigence doit être appréciée avec la minimisation et les durées retenues, sans transformer la migration en conservation indéfinie de toutes les traces.
Lire le contrat et calculer le coût de fonctionnement
Déterminez si le fournisseur agit comme sous-traitant pour certaines opérations et s’il poursuit éventuellement des finalités propres pour d’autres. Cette qualification dépend des faits. Pour les opérations effectuées pour votre compte, examinez l’encadrement de l’article 28, les mesures de sécurité, les sous-traitants ultérieurs et les transferts éventuels. Une localisation commerciale française ne répond pas à toutes les questions sur les accès et les partenaires techniques.
Demandez un devis reposant sur votre périmètre : domaines, environnements, applications, langues, trafic éventuel, utilisateurs et durée d’accès aux preuves. Faites préciser les conditions de dépassement, les prestations d’installation et le support. Les modèles de facturation varient et peuvent évoluer. Il est plus utile de comparer des propositions datées pour le même besoin que de publier une fourchette prétendument valable pour toutes les CMP.
Ajoutez le coût interne de l’exploitation. Une équipe doit examiner les nouveaux traceurs, revoir l’information et contrôler les changements. Un abonnement ne remplace pas cette responsabilité. Le guide sur les mécanismes d’acceptation et d’opposition aide à distinguer les circuits concernés, mais chaque équipe doit connaître le processus de publication et l’interlocuteur qui autorise une nouvelle finalité.
Transformer la comparaison en décision d’achat
La décision finale peut tenir dans un dossier court : périmètre retenu, exigences indispensables, résultats de démonstration, limites et actions préalables au déploiement. Identifiez les défauts bloquants, par exemple un refus qui n’est pas transmis à un composant concerné. Séparez-les des améliorations de confort. Une moyenne de scores élevée ne doit pas masquer une fonction essentielle qui échoue dans votre environnement.
Prévoyez aussi les conditions de maintien du choix. Une nouvelle régie, une évolution des finalités ou l’ajout d’une application peut nécessiter une autre configuration ou une nouvelle évaluation. Attribuez ces contrôles à des personnes identifiées. Le dossier reste utile s’il explique pourquoi l’option convient au périmètre actuel et ce qui déclenchera sa révision, au lieu d’annoncer qu’une marque est définitivement « la meilleure ».
Questions fréquentes
Une CMP rend-elle automatiquement le site conforme ?
Non. Elle peut aider à présenter et transmettre les choix, mais la conformité dépend aussi des finalités, de l’information, des destinataires et des opérations réellement exécutées. L’installation doit être contrôlée dans votre environnement. Les évolutions du site peuvent ensuite modifier ce résultat, même si le contrat avec la CMP et l’apparence du bandeau restent identiques.
Peut-on choisir une offre gratuite ?
Oui si son périmètre et ses conditions répondent au besoin. Vérifiez les limites, les exports, la maintenance et le comportement en cas de dépassement. Le prix n’établit pas la validité du consentement. Une offre gratuite bien adaptée peut convenir, tandis qu’une solution payante mal intégrée peut déclencher des opérations que l’utilisateur a refusées.
Faut-il demander le consentement pour toute mesure d’audience ?
Certaines opérations peuvent être exemptées si elles respectent les conditions applicables. Il faut vérifier les finalités, les paramètres et les usages, sans déduire l’exemption du seul nom du logiciel. Si les conditions ne sont pas réunies, le dispositif doit recueillir un consentement valable avant les opérations concernées et respecter le refus comme le retrait.