Étape 1 — Auditer les cookies déposés sur votre site (Jour 1)
Avant de corriger quoi que ce soit, vous devez savoir précisément quels cookies votre site dépose. Ouvrez votre site en navigation privée et utilisez l’un de ces outils gratuits :
- Shake by Axeptio (shake.axept.io) : scanne votre URL et liste tous les cookies détectés avec leur catégorie et leur déclenchement avant/après consentement.
- Chrome DevTools : F12 → onglet « Application » → « Cookies » : liste tous les cookies présents à l’instant T sur la page.
- Cookiebot Scanner (cookiebot.com/fr/cookie-checker) : analyse gratuite d’une URL avec rapport détaillé.
Notez chaque cookie : son nom, son éditeur (Google, Facebook, YouTube…), sa finalité (analytics, publicité, fonctionnel) et s’il est déposé avant ou après le consentement. C’est la base de tout ce qui suit.
Étape 2 — Installer et configurer un gestionnaire de cookies (Jour 2-3)
Un gestionnaire de cookies (ou CMP — Consent Management Platform) est l’outil qui affiche le bandeau, recueille le consentement et bloque les scripts non essentiels tant que l’utilisateur n’a pas accepté. Trois options selon votre situation :
- Tarteaucitron (tarteaucitron.io) : open source, gratuit, hébergé chez vous. Idéal si vous avez un développeur ou que vous êtes à l’aise techniquement. Compatible 100+ services. Support du Google Consent Mode v2 depuis 2024.
- Axeptio (axept.io) : version gratuite disponible, interface UX très soignée, solution française conforme aux recommandations CNIL. Recommandé pour les non-techniques.
- Complianz (complianz.io) : plugin WordPress dédié, configuration guidée, version gratuite fonctionnelle pour les sites simples.
⚠️ La configuration est aussi importante que l’outil. Un bandeau installé mais mal configuré (scripts qui se chargent avant le clic, bouton « Refuser » caché) est aussi sanctionnable qu’une absence de bandeau.
Étape 3 — Rédiger ou mettre à jour votre politique de confidentialité (Jour 3-5)
Votre politique de confidentialité doit couvrir tous vos traitements de données : formulaires, newsletter, analytics, prise de RDV, cookies… Pour chaque traitement, précisez la finalité, la base légale (consentement, intérêt légitime, obligation légale), la durée de conservation et les droits des personnes.
Outils pour vous aider : le générateur de politique de confidentialité de la CNIL (disponible sur cnil.fr) produit une base structurée et conforme que vous personnalisez avec vos traitements spécifiques. Ne copiez pas la politique d’un autre site : elle doit refléter vos traitements réels.
Étape 4 — Corriger vos formulaires (Jour 5-7)
Pour chaque formulaire sur votre site, ajoutez une mention d’information courte sous le bouton d’envoi, sur le modèle : « Les données collectées via ce formulaire sont traitées par [Société], à des fins de [finalité], pendant [durée]. Conformément au RGPD, vous disposez d’un droit d’accès, de rectification et de suppression. Pour exercer vos droits : [email]. » Vérifiez également que les cases de consentement marketing ne sont pas pré-cochées.
Étape 5 — Tenir un registre des traitements (Semaine 2)
Le registre des traitements est le document qui recense toutes vos activités de traitement de données personnelles. C’est obligatoire pour la quasi-totalité des organisations. La CNIL propose un modèle Excel téléchargeable gratuitement sur son site. Pour un site vitrine simple, une heure suffit à renseigner les entrées principales : gestion des contacts, analytics, newsletter, formulaires.
Une fois ces 5 étapes réalisées, publiez sur votre site une déclaration de conformité simple dans vos mentions légales : cela documente votre démarche et montre votre bonne foi en cas de contrôle.
