Un bandeau cookies qui bloque vraiment : Consent Mode v2 et preuve du consentement

Presque toutes les boutiques ont un bandeau cookies. Beaucoup moins ont un bandeau qui fonctionne. Il est courant d'ouvrir une boutique dans une fenêtre de navigation privée, de ne toucher à rien et de voir déjà dans le navigateur les cookies d'analyse, du pixel publicitaire et du chat. Le bandeau est là, avec ses boutons, mais il n'empêche rien : c'est de la décoration.

Cet article ne passe pas en revue le RGPD dans son ensemble. Il porte sur trois points concrets : comment savoir si votre bandeau bloque vraiment, quel rôle joue Google Consent Mode v2 dans tout cela et quelle preuve vous devez conserver de chaque décision du visiteur.

Ce qu'exige la réglementation, en bref

L'article 22.2 de la LSSI (la loi espagnole sur les services de la société de l'information) dispose que les cookies qui ne sont pas strictement nécessaires ne peuvent être déposés qu'avec le consentement éclairé de l'utilisateur. Ce consentement doit remplir les conditions du RGPD : libre, spécifique, éclairé et univoque. Et l'article 7, paragraphe 1, du RGPD ajoute un point souvent oublié : le responsable du traitement doit être en mesure de démontrer que la personne concernée a donné son consentement.

Le guide sur les cookies de l'AEPD (l'autorité espagnole de protection des données) précise comment procéder en pratique. Les deux points les plus souvent enfreints :

• Refuser doit être aussi simple qu'accepter. Si « Accepter » est un grand bouton vert et « Refuser » un lien gris caché dans un second niveau, le consentement n'est pas libre.
• Rien de non nécessaire n'est déposé avant la décision. Ni analyse, ni publicité, ni vidéos intégrées qui déposent leurs propres cookies.

Pourquoi tant de bandeaux ne bloquent rien

Dans PrestaShop, chaque module place ses scripts où bon lui semble : dans le <head>, en bas de page ou chargés plus tard par JavaScript. Un bandeau qui se contente « d'afficher » la fenêtre et d'enregistrer un cookie avec la réponse n'a aucun moyen d'arrêter ce que d'autres modules ont déjà injecté. Les défaillances typiques :

1. Le bandeau se charge après les balises. Quand le visiteur voit la fenêtre, Google Analytics ou le pixel se sont déjà déclenchés.
2. Blocage de modules entiers. Certains modules de cookies désactivent des modules complets tant qu'il n'y a pas de consentement. Cela fonctionne pour un pixel, mais si le module bloqué est une passerelle de paiement ou une solution de financement, le tunnel de commande se casse pour ceux qui refusent.
3. Ce qui est ajouté par JavaScript passe entre les mailles. Un chat ou un widget qui crée ses scripts et ses iframes dans le navigateur, après le chargement de la page, ne passe par aucun filtre côté serveur.
4. Les iframes ne sont pas traités. Une vidéo YouTube ou une carte intégrée dépose des cookies tiers dès son chargement.
5. L'inventaire des cookies est obsolète. La politique de cookies recense ce qui existait le jour de sa rédaction, et trois nouveaux modules ont été installés depuis.

Comment vérifier le vôtre en cinq minutes

1. Ouvrez la boutique dans une fenêtre de navigation privée, sans vous connecter.
2. Ouvrez les outils de développement du navigateur, l'onglet de stockage (cookies et localStorage) et l'onglet réseau.
3. Ne touchez pas au bandeau. Parcourez la page d'accueil, une catégorie et une fiche produit.
4. Regardez quels cookies sont présents et quels domaines ont été appelés. Tout ce qui n'est pas technique (session, panier, langue, le cookie de consentement lui-même) ne devrait pas s'y trouver.
5. Cliquez sur « Tout refuser », supprimez les cookies, rechargez et recommencez. Le résultat doit être tout aussi propre.
6. Passez une commande de test après avoir refusé : le paiement doit fonctionner.

Si, à l'étape 4, vous voyez des cookies d'analyse ou de publicité, votre bandeau n'est pas conforme, aussi joli soit-il.

Google Consent Mode v2 : ce que c'est et ce que ce n'est pas

Consent Mode est la façon dont les balises Google (gtag, Google Tag Manager, Google Ads, GA4) reçoivent la décision du visiteur. Ce n'est pas un bandeau et cela ne remplace pas le consentement : c'est le canal par lequel votre bandeau indique à Google ce qu'il a le droit de faire.

La version 2 utilise quatre signaux principaux :

Google exige ces signaux pour continuer à utiliser les fonctions publicitaires et d'audiences avec les visiteurs de l'Espace économique européen. S'ils n'arrivent pas, la mesure des conversions et les listes de remarketing en pâtissent.

Mode de base ou avancé

• Mode de base : les balises Google ne se chargent pas tant que le visiteur n'a pas accepté. C'est le plus prudent.
• Mode avancé : les balises se chargent dès le départ avec tout refusé, envoient des pings sans cookies et se mettent à jour quand le visiteur décide. Cela permet à Google de modéliser les conversions, mais il est préférable de l'évaluer avec la personne qui vous conseille en protection des données.

Le détail technique qui échoue le plus souvent : la valeur par défaut du consentement doit être déclarée avant toute balise Google, tout en haut du <head>. Si GTM se charge avant, ses balises démarrent sans rien savoir du consentement.

La preuve du consentement

Si un jour on vous demande de prouver qu'un visiteur a accepté la publicité, « nous avons un bandeau » n'est pas une réponse. Le plus raisonnable est de conserver, pour chaque décision :

• Un identifiant du consentement, le même que celui enregistré dans le cookie du visiteur.
• La date et l'heure.
• Les catégories acceptées et refusées, et les signaux envoyés à Consent Mode.
• La version de la politique en vigueur et ce qui était affiché : textes, catégories, fournisseurs.
• L'adresse IP tronquée ou hachée, pas complète, pour ne pas conserver plus de données que nécessaire.

Et une règle de maintenance : si vous modifiez les catégories ou si un nouveau fournisseur apparaît, redemandez le consentement. Ce que le visiteur a accepté il y a six mois ne couvre pas un pixel installé hier.

Une boutique à jour, c'est aussi cela

Beaucoup de modules de cookies de boutiques restées des années en 1.6 ou 1.7 en sont à la première version de Consent Mode, voire à aucune. Lorsque vous mettez à jour PrestaShop ou changez de version, contrôlez le bandeau avec le même test en navigation privée : c'est l'une des premières choses qui cessent de fonctionner sans prévenir, car personne ne regarde les cookies après une migration.

Checklist

• « Tout refuser » au même niveau que « Tout accepter », dès le premier niveau.
• Navigation privée sans décider : uniquement des cookies techniques.
• Commande de test après refus : le paiement fonctionne.
• Consent Mode v2 déclaré avant GTM ou gtag, avec les quatre signaux.
• Vidéos et cartes intégrées retenues jusqu'à l'acceptation.
• Registre de chaque décision, exportable.
• Politique de cookies avec l'inventaire réel, et nouvelle version à chaque changement.
• Un lien ou bouton permanent pour que le visiteur puisse changer d'avis.

Comment le résoudre dans PrestaShop

RKR Cookies affiche « Tout refuser » et « Tout accepter » sous forme de boutons identiques, impossibles à différencier depuis le back-office, et déclare Consent Mode v2 tout en haut du <head>, en mode de base ou avancé. Le blocage est réel : il réécrit le HTML pour neutraliser les scripts des catégories non acceptées, remplace les iframes par un avis proposant « Charger ce contenu » et arrête dans le navigateur ce qui est ajouté par JavaScript, sans jamais bloquer les modules de paiement. Il enregistre chaque décision avec son instantané et l'exporte en CSV, tient un inventaire des cookies qui se remplit tout seul et un tableau pour votre politique. Il importe la configuration de hicookielaw, Cookies Plus et EU Cookie Law, et dispose d'un mode test pour le voir avant vos clients.

Cet article est informatif et ne remplace pas un conseil juridique. Pour un cas précis, consultez la personne qui vous conseille en protection des données.