La plupart des bannières de consentement sont créées une seule fois, par la personne qui disposait des identifiants CMP cette semaine-là, et ne font jamais l'objet d'un audit ultérieur. Elles présentent alors un double préjudice : elles vous exposent à un organisme de réglementation qui a déjà publié le modèle de bannière conforme, et elles privent vos outils d'analyse. Google impose une condition minimale : une propriété GA4 n'est éligible à la modélisation comportementale que si elle collecte des données. au moins 1 000 événements par jour avec analytics_storage='denied' pendant au moins 7 jours, plus 1 000 utilisateurs quotidiens ayant donné leur consentement pendant 7 des 28 derniers jours. En dessous de ce seuil, le trafic refusé disparaît tout simplement.
Ce guide de reconstruction s'adresse à tous les responsables de la bannière : responsable de la croissance, responsable analytique ou développeur qui l'a héritée. Il se compose de six étapes séquentielles, chacune comportant un point de décision, aboutissant à une grille d'évaluation en 14 points permettant d'évaluer votre bannière actuelle. Il concerne les sites vendant en UE, au Royaume-Uni et en Turquie.
Quel rôle doit jouer la bannière, dans les deux juridictions
Deux organismes de surveillance ont établi les règles de conception, il ne s'agit donc pas d'une question de goût. Celles du CEPD Rapport du groupe de travail sur les bannières de cookies (17 janvier 2023) et Lignes directrices 03/2022 sur les modèles de conception trompeurs La version 2.0 (14 février 2023) a établi le référentiel de l'UE. L'autorité turque de contrôle des cookies (KVKK) a publié son guide en 2022 et une version mise à jour mi-2025.
| Exigence | UE / Royaume-Uni (ePrivacy + RGPD) | Turquie (KVKK) |
|---|---|---|
| Refus dès la première couche | L'absence d'une option de rejet sur une couche quelconque constitue une infraction. | « Tout rejeter » doit avoir la même valeur visuelle que « tout accepter ». |
| Catégories pré-cochées | Le silence et les cases pré-cochées ne constituent pas un consentement. | Les catégories non essentielles sont désactivées par défaut. |
| Analyses sans consentement | Non exempté selon la plupart des lectures des États membres | En dehors des exemptions, l'analyse et la mesure constituent leur propre catégorie. |
| Murs de biscuits | Au cas par cas, exigences élevées | Il n'est pas possible de conditionner l'accès au contenu à l'acceptation de tous les cookies. |
| Retrait | Cela doit être aussi simple que de donner son consentement | Paramètres accessibles depuis chaque page |
Le signal d'application est bien réel. Le 1er septembre 2025, la CNIL Google condamné à une amende de 325 millions d'eurosL’étude a révélé que le consentement « n’avait pas été donné librement, car il était plus difficile de refuser les cookies liés à la publicité personnalisée que de les accepter ». L’asymétrie des boutons n’est pas un problème purement esthétique.
Étape 1 — Inventorier chaque étiquette et justifier chacune des étiquettes essentielles
Ouvrez le site dans un navigateur vierge, refusez tout et notez les éléments qui enregistrent encore des données. Acceptez ensuite les cookies et notez la différence. Une ligne par cookie ou clé d'enregistrement : nom, auteur, finalité, catégorie et la phrase que vous diriez à un organisme de réglementation.
Le critère déterminant est l'essentialité, et la charge de la preuve vous incombe : le groupe de travail du CEPD a reconnu la difficulté pratique de l'évaluer, mais a clairement indiqué que les responsables du traitement doivent démontrer l'essentialité des éléments qu'ils considèrent comme essentiels. L'authentification de session, le contenu du panier et les jetons antifraude sont maintenus. Un outil de cartographie thermique, une bibliothèque de tests et un pixel marketing ne le sont pas.
Exemple concret : le processus de paiement d’un site e-commerce turc classique. Les cookies de session, le jeton de panier et le jeton anti-bot sont indispensables. Google Analytics 4, le pixel Meta, le remarketing publicitaire, la relecture de session et le widget de chat nécessitent tous un consentement. Six sur huit : un ratio que la plupart des équipes n’ont jamais formalisé.
Étape 2 — Corriger la première couche, y compris son accessibilité
La première couche doit clairement indiquer qui traite quoi et pourquoi, proposer des options « Tout accepter » et « Tout refuser » avec la même syntaxe, permettre d’accéder à des paramètres plus précis et ne rien présélectionner. L’égalité de traitement est plus facile à justifier lorsqu’elle est mesurable.
- Les deux boutons principaux sont de même taille, poids et traitement. Si l'un est rempli, l'autre l'est aussi.
- Contraste du texte d'au moins 4.5:1 et de 3:1 pour les bordures des boutons et les autres éléments d'interface utilisateur non textuels, conformément aux normes en vigueur. WCAG 2.2 critères 1.4.3 et 1.4.11. Le groupe de travail a signalé les bannières où « le contraste entre le texte et l'arrière-plan du bouton est si minimal que le texte est illisible ».
- Le bouton « Refuser » doit être un bouton physique. Le groupe de travail a rejeté les options de refus consistant en un lien derrière un texte comme « refuser » sans support visuel suffisant.
- Clavier accessible dans un ordre logique, sans piège à focus (WCAG 2.1.2). Notre Outil d'audit WCAG capte les défauts de contraste et d'ordre de mise au point.
Vérifiez ensuite votre texte en le comparant aux six familles de modèles du CEPD : surcharge, omission, incitation, obstruction, inconstance et manque de clarté. Le modèle « Influence » désigne une conception qui « affecte le choix des utilisateurs en faisant appel à leurs émotions ou en utilisant des incitations visuelles » — ce que fait le modèle « Accepter pour une expérience optimale ».
Étape 3 — Construire la deuxième couche et le chemin de retrait
La deuxième couche consiste en des commutateurs par catégorie, tous désactivés par défaut, chacun avec une description de son objectif et une période de conservation, chacun pouvant être enregistré indépendamment.
Le retrait du consentement est le point faible des implémentations. Il doit être aussi simple que de donner son consentement, et le guide KVKK préconise des paramètres accessibles depuis chaque page. Un lien permanent en bas de page ou un petit bouton flottant conviennent ; une simple ligne dans la politique de confidentialité, non. Testez-le en retirant votre consentement en deux clics depuis la page produit.
Étape 4 — Consentement par voie électronique afin qu'un refus reste mesurable
Cette étape détermine si la conformité a un impact négatif sur vos analyses. Google mode consentement a deux formes :
- Base: Les balises ne se chargent que lorsque l'utilisateur interagit. Rien n'est envoyé au préalable, « pas même le statut de consentement par défaut ». C'est la solution la plus simple à défendre, et vous perdez tout signal des personnes qui refusent.
- Avancée: Les balises sont chargées avec un consentement refusé par défaut et envoient des requêtes sans cookies. Vous conservez ainsi une trace du trafic refusé et devenez éligible à la modélisation.
Avancé est la seule voie vers modélisation comportementaleCela exige que les balises soient chargées avant l'affichage de la boîte de dialogue de consentement, et les balises Google sont chargées dans tous les cas, et pas seulement si l'utilisateur y consent. Il est important de noter que l'éligibilité ne relève pas de la modélisation : Google précise que le respect des seuils publiés « ne garantit pas l'éligibilité ». Les chiffres modélisés doivent être considérés comme indicatifs et non comme le critère déterminant d'une expérience.
Point de décision : si le trafic combiné de l’EEE, du Royaume-Uni et de la Turquie ne peut vraisemblablement pas traiter 1 000 événements refusés par jour, il est inutile de baser le plan de mesure sur une modélisation. Utilisez les données de conversion côté serveur et votre propre table de commandes comme source de référence.
Passe 5 — Instrumenter la bannière elle-même
La bannière est une étape du parcours client et presque personne ne la mesure. On enregistre quatre événements, sans aucune donnée personnelle, via un mécanisme qui ne requiert pas de consentement : affichage de la bannière (dénominateur) ; choix effectué, et lequel ; ouverture de la deuxième couche ; et aucune interaction.
Segmentez les quatre catégories par pays et appareil. Le taux de non-interaction sur mobile est souvent la surprise, et c'est celui que vous pouvez améliorer sans toucher à l'architecture de l'expérience utilisateur : hauteur de la bannière, couverture ou non du bouton d'appel à l'action principal, ou encore sa réapparition à chaque changement de navigation.
Étape 6 — Testez uniquement ce que vous êtes autorisé à tester
Éléments pertinents : hauteur et position de la bannière, clarté du texte, nommage des catégories, mise en page du calque 2, masquage du contenu par la bannière. Éléments non pertinents : asymétrie des boutons, cases pré-cochées, chemins de rejet masqués, étapes supplémentaires dans le processus de rejet. Il ne s’agit pas de variantes non pertinentes, mais de constats.
Soyez également sceptique face à la citation standard. L'affirmation souvent citée selon laquelle la suppression de l'option de désabonnement en première page « augmente le consentement de 22 à 23 points de pourcentage » provient de Nouwens et al., CHI 2020, dont le grattage couvrait des milliers de sites mais dont l'expérience causale s'est déroulée avec participants 40La tendance est crédible ; l’ampleur de cette tendance ne doit pas servir de référence, et le chiffre de 8 à 20 points mentionné dans le même article concernant les contrôles de première couche granulaires comporte la même réserve. Les chiffres relatifs au « taux de consentement moyen » des fournisseurs sont encore moins fiables : ils reposent sur des bases de clients auto-sélectionnées et ne sont pas vérifiables de manière indépendante.
Score de votre bannière actuelle : 14 coches
Un point chacun. En dessous de 12, corrigez le tir avant de dépenser de l'argent pour des tests.
| # | Vérifiez | Seuil de passage |
|---|---|---|
| 1 | Option de rejet sur la première couche | Présent, sous forme de bouton |
| 2 | Accepter/rejeter la parité visuelle | Même taille, même poids, même remplissage |
| 3 | contraste du texte du bouton | ≥4.5: 1 |
| 4 | Contraste d'interface utilisateur non textuel | ≥3: 1 |
| 5 | Catégories non essentielles pré-cochées | Aucun |
| 6 | Inventaire des cookies documenté | Chaque touche a une fonction précise. |
| 7 | Justification de l'essentialité écrite | Une phrase par cookie essentiel |
| 8 | Aucun déclenchement d'étiquettes avant un choix | Vérifié dans un profil propre |
| 9 | Retrait de n'importe quelle page | ≤2 clics |
| 10 | Utilisable au clavier, sans piège à focus | Conformité aux WCAG 2.1.2 |
| 11 | Pas de commentaire à connotation émotionnelle | Pas de formulation en termes de « meilleure expérience » |
| 12 | Pas de mur de biscuits | Contenu accessible après refus |
| 13 | État du consentement enregistré | Enregistrement conservé par choix |
| 14 | Entonnoir à bannières instrumenté | Les quatre événements ont déclenché |
Là où cela dysfonctionne
Il s'agit d'un guide d'interface et de mesure, et non d'un avis juridique ; quatre éléments n'en font pas partie.
La directive ePrivacy étant une directive, l'exemption relative à l'analyse des données est interprétée différemment selon les États membres, et une conception conforme aux exigences d'une autorité peut ne pas l'être d'une autre. Le droit évolue également : la proposition Digital Omnibus de la Commission… COM(2025) 837 version finale du 19 novembre 2025Ce projet de loi intégrerait les règles relatives aux cookies au RGPD et exempterait les mesures d'audience agrégées de première partie. Cependant, les archives législatives du Parlement montrent qu'il n'en est qu'à ses débuts : un avis du CESE a été rendu le 18 mars 2026 et aucune publication n'a été faite en commission ni au Conseil. Les annonces concernant les trilogues et un calendrier précis sont plus rapides que le dossier lui-même. Concevez en tenant compte des règles actuelles et conservez votre inventaire dans un format facilement reclassable.
Il ignore également les applications mobiles, où ATT et les interfaces de consentement Android ont leurs propres mécanismes, et il suppose une seule CMP — plusieurs marques dans un même conteneur de balise nécessitent un état de consentement limité à chaque domaine. [DONNÉES INTERNES NÉCESSAIRES : taux de consentement anonymisé avant/après et taux de non-interaction mobile provenant d’une reconstruction de bannière Switas, idéalement une propriété de l’UE et une propriété turque, pour remplacer les points de référence du fournisseur que cet article refuse délibérément de citer.]
Foire aux questions
Un bouton « tout refuser » peut-il faire baisser mon taux de conversion ?
Cela diminue votre taux de consentement, ce qui est différent. La conversion sur site reste inchangée, que l'utilisateur ait accepté ou non les cookies publicitaires ; ce qui change, c'est votre capacité à l'attribuer sur les plateformes publicitaires. Prévoyez un budget pour une attribution moins précise, pas pour des revenus moindres.
Puis-je considérer Google Analytics comme strictement nécessaire ?
En Turquie, la réglementation est différente : le guide actualisé de la KVKK classe l’analyse et la mesure des données dans une catégorie distincte, hors des exemptions relatives à la transmission technique et aux services expressément demandés. Au sein de l’UE, la situation varie selon les États membres, mais le principe de base est qu’un consentement est requis.
Mode de consentement de base ou avancé ?
L'option Avancée est recommandée, sauf si votre service juridique s'y est expressément opposé avant le choix. L'option Basique est plus facile à défendre et vous offre une visibilité complète sur le trafic refusé, y compris sur l'éligibilité à la modélisation.
Combien de temps dois-je attendre avant de pouvoir redemander après un refus ?
La réglementation européenne et turque actuelle ne prévoit pas de durée minimale ; l’exigence est que les relances répétées ne constituent pas une obstruction. La proposition Digital Omnibus instaurerait une durée minimale de six mois par motif, mais elle n’a pas encore été adoptée. Conserver le refus pendant six mois et ne pas relancer l’utilisateur est actuellement une pratique justifiée.
Ai-je besoin d'une bannière séparée pour la Turquie ?
En général, il n'est pas nécessaire d'utiliser une bannière distincte, mais il faut une logique de catégorisation adaptée à chaque pays et un texte turc avec des boutons identiques. Les règles de la KVKK sont suffisamment proches des recommandations du CEPD pour qu'une seule bannière bien conçue puisse convenir lorsque le texte et les catégories sont localisés.
Un mur de biscuits est-il jamais acceptable ?
Considérez ce contenu comme indisponible. Le guide KVKK n'autorise pas de conditionner l'accès au contenu à l'acceptation de tous les cookies, et les exigences de l'UE sont élevées. La question du « consentement ou paiement » sur les sites d'actualités est un sujet distinct et controversé, et ne saurait constituer un modèle pour le commerce électronique.
À quelle fréquence faut-il procéder à un nouvel audit ?
Évaluez les 14 points de contrôle trimestriellement et immédiatement après toute modification du gestionnaire de balises ou l'intégration d'un nouveau fournisseur. La plupart des régressions se manifestent par un nouveau pixel, et non par une refonte de la bannière.
Marquez votre propre bannière, ou remettez-la-nous.
Effectuez les 14 vérifications sur votre bannière en ligne cette semaine ; cela prend moins d’une heure avec un profil de navigation vierge et un outil de vérification des contrastes. Si vous préférez que l’interface, la couche de balises et les enregistrements de consentement soient audités ensemble, avec une liste de corrections prioritaires plutôt qu’une note, Parlez-nous d'un audit d'accessibilité et de conformité.
Références
- EDPB, Rapport du groupe de travail sur les bannières de cookies, adopté le 17 janvier 2023
- CEPD, Lignes directrices 03/2022 sur les modèles de conception trompeurs, v2.0 adoptée le 14 février 2023
- KVKK, Çerez Uygulamaları Hakkında Rehber (édition mise à jour, 2025)
- La CNIL et Google condamnés à une amende de 325 millions d'euros, 1 septembre 2025
- Google, aperçu du mode de consentement
- Google, GA4 modélisation comportementale pour le mode de consentement
- Politique de consentement des utilisateurs de Google dans l'UE
- W3C, WCAG 2.2
- Nouwens, Liccardi, Veale, Karger, Kagal, Dark Patterns après le RGPD, CHI 2020
- Train législatif du Parlement européen, proposition de règlement omnibus numérique, COM(2025) 837 final
