Quelles preuves nécessite un audit de consentement aux cookies ?

Le consentement est une séquence, et la preuve doit la suivre. Le premier état est la page avant toute interaction : quels cookies existent et quelles requêtes tierces se sont déjà déclenchées. C'est là qu'apparaissent la plupart des problèmes, car un gestionnaire de balises ou un pixel publicitaire peut se charger avant la bannière.

Le deuxième état est la bannière elle-même : si elle apparaît, et quelles options sont visibles sur sa première couche, en particulier si une option de refus y existe ou seulement un bouton d'acceptation et un lien vers les paramètres. Les troisième et quatrième états sont la page après acceptation et après refus. Les comparer montre si le choix change réellement ce que le site dépose.

Une preuve est utile lorsque quelqu'un d'autre peut s'y fier plus tard. Cela nécessite l'URL exacte, la date et l'heure, l'appareil et le navigateur utilisés, et le contexte réseau d'où provenait la visite. Cela nécessite aussi des captures d'écran liées aux listes de cookies qu'elles illustrent, afin qu'un relecteur n'ait pas à faire confiance à un résumé.

Deux détails techniques déterminent si une liste de cookies est fiable. Le profil du navigateur ne doit pas transporter de cookies provenant de comptes sans rapport, sinon ils seront comptés à tort comme propres au site. Et une bannière doit être détectée par ses boutons, et non par un lien mentionnant la confidentialité, sinon un lien de pied de page sera signalé comme une bannière de consentement.

De nombreuses plateformes de consentement affichent des bannières différentes, ou aucune, selon l'endroit où le visiteur semble se trouver. Une exécution depuis une vraie carte SIM hors UE montre ce que reçoit un visiteur hors UE. Elle ne montre pas ce que reçoit un visiteur situé dans l'UE, et ne doit pas être présentée comme un audit de visiteur de l'UE.

Cette limite reste utile. Les pixels qui se déclenchent avant le consentement pour une audience se déclenchent souvent pour toutes les audiences, et l'absence d'option de refus est une décision de conception qui a tendance à se propager. Mais le constat doit être rapporté avec son point d'observation, et une conclusion sur les visiteurs de l'UE nécessite un point d'observation dans l'UE.

Vous fournissez un domaine ou une URL et une fréquence d'exécution. À chaque exécution, un téléphone Android physique charge la page et enregistre la présence de la bannière, les options visibles, les cookies avant et après le consentement, les changements pertinents entre les exécutions et des captures d'écran. Une base de référence des cookies préexistants du profil est exclue afin de ne compter que les cookies propres au site.

Chaque exécution produit un enregistrement de preuve signé et un rapport client en JSON et PDF, construit uniquement à partir de données stockées. Les captures d'écran sont conservées 60 jours en Founder et 90 jours en Standard. Un constat documenté pendant les backtests : la boutique pilote ne proposait alors aucune option de refus et déposait des cookies Facebook avant le consentement.

Consent & Cookie Check n'affirme jamais qu'un site est juridiquement conforme. Il enregistre ce qui s'est passé sur un appareil réel afin que votre équipe juridique, votre auditeur ou votre responsable de la confidentialité puisse tirer cette conclusion avec un meilleur matériel.