Comment savoir si votre site dépose des traceurs avant le consentement

Ce que dit la règle

L'article 82 de la loi Informatique et Libertés impose, sauf exception, de recueillir le consentement de l'internaute avant toute lecture ou écriture d'informations sur son appareil. Cela vise les cookies, mais aussi les pixels, identifiants et autres traceurs. La CNIL a précisé ces règles dans ses lignes directrices et sa recommandation du 17 septembre 2020.

Les points essentiels :

• Pas de traceur non exempté sans accord préalable. Tant que le visiteur n'a pas accepté, ces traceurs ne doivent ni être déposés ni être lus.
• Un acte positif clair. Continuer à naviguer ou faire défiler la page ne vaut pas consentement.
• Refuser doit être aussi simple qu'accepter. La CNIL recommande un bouton « Tout refuser » au même niveau que « Tout accepter ».
• Le retrait doit rester possible à tout moment, aussi facilement que le consentement a été donné.
• La preuve incombe au site. L'organisme doit pouvoir démontrer que le consentement a été valablement recueilli.
• Le refus se conserve aussi. La CNIL recommande de mémoriser le choix, refus compris, pour ne pas redemander à chaque visite.

Les traceurs qui n'ont pas besoin de consentement

Certains traceurs sont exemptés parce qu'ils sont strictement nécessaires au service demandé, par exemple :

• la conservation du panier d'achat ;
• l'authentification à un espace client ;
• la mémorisation du choix exprimé dans le bandeau ;
• certains outils de mesure d'audience, à des conditions strictes.

Pour la mesure d'audience, l'exemption suppose notamment que les données servent uniquement aux statistiques du site, pour son propre compte, sans croisement avec d'autres traitements ni suivi sur d'autres sites. La CNIL publie les solutions qui peuvent être configurées pour en bénéficier. Un outil n'est exempté que s'il est réellement configuré ainsi : son nom ne suffit pas.

La CNIL contrôle-t-elle vraiment les petits sites ?

Oui. Le 6 juillet 2026, la CNIL a annoncé 23 nouvelles sanctions prononcées depuis janvier 2026 en procédure simplifiée, pour 133 750 € d'amendes au total. Les cookies font partie des thèmes principaux, et 19 de ces 23 sanctions ont pour origine une plainte. Une sanction simplifiée peut atteindre 20 000 €.

Autrement dit, il n'est pas nécessaire d'être une grande entreprise pour être contrôlé : il suffit qu'un visiteur, un client mécontent ou un concurrent signale le site.

Vérifier votre site vous-même, étape par étape

Il vous faut un ordinateur et un navigateur récent (Chrome, Edge ou Firefox).

1. Ouvrez une fenêtre de navigation privée. Vous arrivez ainsi sans cookie ni choix enregistré, comme un nouveau visiteur.
2. Ouvrez les outils de développement avec la touche F12, puis l'onglet Réseau (Network).
3. Chargez votre page d'accueil sans toucher au bandeau. Ne cliquez sur rien, ne faites pas défiler.
4. Cherchez les domaines de traceurs dans le champ de filtre de l'onglet Réseau (liste ci-dessous). Toute requête vers l'un d'eux, à ce stade, est partie avant le consentement.
5. Regardez les cookies déposés dans l'onglet Application (Chrome, Edge) ou Stockage (Firefox). Des noms comme _ga, _gid, _fbp, _gcl_au ou _ttp signalent Google Analytics, Meta ou TikTok.
6. Cliquez sur « Tout refuser », rechargez la page et recommencez les étapes 4 et 5. Après un refus, aucun de ces traceurs ne devrait apparaître.
7. Vérifiez le bandeau lui-même : le bouton de refus est-il visible dès le premier écran, avec la même importance que le bouton d'acceptation ?

Les domaines à rechercher en priorité

• googletagmanager.com : Google Tag Manager, qui charge souvent tout le reste
• google-analytics.com : Google Analytics
• doubleclick.net, googleadservices.com : Google Ads
• connect.facebook.net : Meta Pixel (Facebook, Instagram)
• analytics.tiktok.com : TikTok Pixel
• snap.licdn.com : LinkedIn Insight
• clarity.ms, hotjar.com : enregistrement de sessions (Microsoft Clarity, Hotjar)
• criteo.com, criteo.net : reciblage publicitaire Criteo

Les causes les plus fréquentes

• Google Tag Manager collé en dur dans le thème, au-dessus de la solution de consentement : il se charge avant que le bandeau existe.
• Un pixel ajouté par une extension (boutique, formulaire, réseau social) sans passer par l'outil de consentement.
• Des contenus intégrés : vidéo YouTube, carte, widget d'avis, qui déposent leurs propres traceurs dès l'affichage.
• Un bandeau configuré mais pas relié aux balises : le visiteur refuse, et les scripts se chargent quand même.
• Une modification récente du site : nouveau thème, nouvelle campagne publicitaire, nouvelle extension. Un site conforme hier peut ne plus l'être aujourd'hui.

Et ensuite ?

Si vous trouvez des requêtes avant consentement, transmettez la liste à votre prestataire : la correction consiste en général à faire passer chaque balise par la solution de consentement, et à ne la déclencher qu'après acceptation. Pensez aussi à vérifier que votre politique de confidentialité et vos mentions légales décrivent bien les traceurs utilisés.

Vigie automatise exactement cette vérification : il ouvre votre site comme un nouveau visiteur, sans rien accepter, relève les appels vers plus de vingt services de suivi connus et les cookies déposés, et contrôle la présence d'un bouton de refus. C'est un diagnostic technique, pas un avis juridique.