Conformité & RGPD
Comment auditer la conformité RGPD de son site internet en 2026
Avoir posé un bandeau cookies ne prouve rien. La conformité RGPD d'un site se constate dans le navigateur : ce qui se déclenche avant le moindre clic, et ce qui se passe vraiment quand on refuse. Voici comment auditer votre site — à la main, en une dizaine de minutes.
La plupart des sites que l'on audite affichent un bandeau et se croient en règle. Pourtant, dans une majorité de cas, des traceurs — Google Analytics, Meta Pixel, retargeting — se déclenchent avant que le visiteur ait cliqué quoi que ce soit, ou continuent de tourner après un refus. Le bandeau rassure, mais ne bloque rien. Un audit RGPD sert exactement à mesurer cet écart entre ce que vous croyez et ce que votre site fait réellement.
Ce qu'un audit RGPD vérifie vraiment
Un audit utile ne lit pas vos mentions légales : il observe le comportement technique de la page. Les points à contrôler :
- Traceurs avant consentement — quels cookies et scripts se déclenchent au chargement, avant toute action du visiteur.
- Effectivité du refus — après un clic « Refuser », les traceurs marketing s'arrêtent-ils vraiment, ou seul le bandeau disparaît ?
- Transferts hors UE — vers quels serveurs et CDN les données partent (souvent les États-Unis, sans garantie).
- Bandeau de consentement — présence, et surtout symétrie « Accepter » / « Refuser ».
- Google Consent Mode v2 — correctement configuré, ou en mode « accordé par défaut » ?
- Traceurs masqués (CNAME cloaking) — des mouchards déguisés en sous-domaine first-party.
La méthode manuelle : 10 minutes avec les DevTools
Vous pouvez faire un premier constat vous-même, sans outil. Ouvrez votre site en navigation privée, puis les outils de développement du navigateur (touche F12) :
- Onglet « Application » → Cookies : rechargez la page sans toucher au bandeau. Tout cookie autre que ceux strictement nécessaires (panier, session, sécurité, le cookie de consentement lui-même) ne devrait pas être là.
- Onglet « Network » : repérez les domaines tiers. Voyez-vous des appels vers
google-analytics.com,facebook.netoudoubleclick.netavant votre clic ? C'est un écart. - Cliquez « Refuser », puis rechargez : les mêmes appels reviennent-ils ? Si oui, votre refus n'est pas effectif.
Cette méthode est fiable mais fastidieuse, et elle rate les traceurs masqués par CNAME cloaking ou ceux déclenchés en différé. Pour les attraper, attendez quelques secondes avant de lire l'onglet « Network », et vérifiez par une requête DNS si un sous-domaine first-party (comme mesure.votresite.fr) pointe en CNAME vers un tiers.
La conformité ne se lit pas dans une politique de confidentialité : elle se constate dans le navigateur, avant le clic et après un refus. Si un traceur marketing s'exécute dans l'une de ces deux phases, vous avez un écart à corriger.
Lire le résultat : les écarts les plus fréquents
Quatre constats reviennent presque toujours :
- Analytics avant consentement — Google Analytics chargé au premier rendu. C'est l'écart n°1 ; voir aussi notre article sur le coût SEO du bandeau cookie.
- Refus inopérant — le bandeau se ferme mais les pixels continuent. Sur Shopify, c'est quasi systématique : comment le prouver en cinq minutes.
- Pixels publicitaires — Meta, TikTok, Google Ads, souvent posés par un tag manager.
- Dépendances hors UE — CDN et polices hébergés aux États-Unis, qui exposent l'IP de vos visiteurs.
Corriger : par où commencer
La logique n'est pas de « mieux demander le consentement », mais de réduire ce qui le rend nécessaire. Trois principes :
- Séparez les usages : la mesure d'audience d'un côté, le marketing de l'autre. Un outil de mesure qui ne lit ni n'écrit rien sur le terminal ne déclenche pas l'obligation de consentement (article 5(3) de la directive ePrivacy, article 82 de la loi Informatique et Libertés).
- Bloquez avant le clic : aucun traceur non essentiel ne doit s'exécuter tant que le visiteur n'a pas accepté, et un refus doit réellement les couper.
- Choisissez des outils qui n'ouvrent pas le débat : un analytics sans cookie ni identifiant persistant retire la mesure d'audience de l'équation du consentement. C'est l'approche de Snorklee — sans bandeau, sans cookie.
Un audit est un constat technique indicatif, pas un avis juridique : il peut comporter des faux positifs. Pour une décision, faites valider par un DPO ou un juriste.
Au-delà du RGPD : la souveraineté
Être « conforme » ne dit rien de l'endroit où partent vos données. Un site peut respecter le RGPD tout en dépendant entièrement de services américains. Pour cartographier ces dépendances, listez les domaines tiers dans l'onglet « Network » et vérifiez, pour chacun, la juridiction de l'entreprise qui le détient : la méthode est détaillée dans « Hébergé en Europe » ne veut pas dire souverain.
En clair
Auditer son site, ce n'est pas relire ses CGU : c'est ouvrir le navigateur et regarder ce qui se déclenche avant le clic et après un refus. Faites-le une fois pour comprendre, puis à nouveau après chaque changement de balise, d'extension ou de bandeau.
Faut-il encore un bandeau cookie en 2026 ? →
Comment auditer la conformité RGPD de son site ?
Ouvrez votre site en navigation privée et inspectez, dans les DevTools, les cookies et requêtes réseau déclenchés avant tout clic et après un refus : seuls les éléments strictement nécessaires doivent apparaître. Refaites ce constat sur trois phases : avant consentement, après acceptation, après refus.
Un bandeau cookies suffit-il à être conforme ?
Non. Un bandeau qui n'empêche pas les traceurs de se déclencher avant le clic — ou qui ne les coupe pas après un refus — ne rend pas conforme. La conformité se constate dans le comportement technique de la page, pas dans la présence d'un bandeau.
Que vérifie un audit RGPD de site internet ?
Les traceurs déposés avant consentement, l'effectivité du refus, les transferts de données hors UE, la présence et la symétrie du bandeau, la configuration de Google Consent Mode v2 et les traceurs masqués par CNAME cloaking.
Publié en juin 2026. Cadre juridique : article 5(3) de la directive 2002/58/CE (ePrivacy) et article 82 de la loi Informatique et Libertés — information générale, pas un conseil juridique individualisé. Un audit est indicatif et peut comporter des faux positifs ou des faux négatifs.