Dans quelle catégorie de consentement ranger chaque script tiers ?

Tous les articles

Classez par finalité, pas par fournisseur. Strictement nécessaire si le site ne peut pas fournir sans lui ce que le visiteur a demandé, fonctionnel s'il mémorise une préférence choisie par le visiteur, mesure d'audience s'il mesure le comportement, marketing s'il cible ou attribue de la publicité. Quand un script sert deux finalités, prenez la plus stricte des deux, c'est-à-dire la dernière dans cet ordre.

Pourquoi la catégorie suit-elle la finalité, et non le produit ?

Chaque outil de consentement vous donne les mêmes quatre ou cinq cases et vous demande d'y trier vos balises. La documentation des fournisseurs vous dit ce que stocke chaque cookie et pendant combien de temps. Rien ne relie les deux, et c'est pourquoi tant de sites finissent par tout ranger en mesure d'audience et passer à autre chose.

Cette seule habitude produit les deux modes d'échec à la fois. On recueille le consentement pour des choses qui n'en ont jamais eu besoin, si bien que la bannière demande plus que nécessaire. Pendant ce temps, des outils publicitaires se retrouvent dans une catégorie à laquelle les gens ont dit oui pour une tout autre raison, et c'est cette affectation-là qui comporte un vrai risque.

La solution consiste à cesser de raisonner en produits. Un même fournisseur peut occuper plusieurs catégories à la fois. Une balise qui maintient une session, mesure un tunnel et construit une audience de remarketing fait trois métiers, et la catégorie suit le métier, pas le logo sur le script.

Deux points méritent d’être posés d’emblée. Les noms des catégories sont une convention : les libellés de votre outil de consentement ne correspondront donc exactement à ceux de personne d’autre. L’exigence qui se trouve dessous, elle, n’est pas une convention : dans l’UE et au Royaume-Uni, tout ce qui sort de l’exemption « strictement nécessaire » de l’article 5(3) de la directive ePrivacy exige un opt-in avant de s’exécuter, quelle que soit la case dans laquelle vous l’avez rangé. Les lignes directrices 2/2023 du CEPD confirment qu’elles couvrent aussi les pixels et le stockage local, pas seulement les cookies. L’ordre compte aussi, car nécessaire, fonctionnel, mesure d’audience et marketing vont du moins restrictif au plus restrictif.

Comment décider de la catégorie d'un script ?

1. Écrivez la finalité en une phrase

   Nommez ce que fait le script et à qui il profite. Si la phrase a besoin du mot « et », vous avez plus d'une finalité, et probablement plus d'une catégorie.

2. Testez d'abord l'argument « strictement nécessaire »

   Demandez-vous si le visiteur perdrait quelque chose qu'il a explicitement demandé si ce script ne s'exécutait pas, et non si l'entreprise perdrait quelque chose. Les sessions de connexion, les paniers, la sécurité du paiement et l'enregistrement du consentement lui-même passent le test. Presque rien d'autre.

3. Distinguez mémoriser et mesurer

   Fonctionnel couvre une préférence choisie par le visiteur, comme la langue, la devise ou le fait qu'il a fermé un message. Dès que ce même stockage est lu pour produire un rapport, il est devenu de la mesure d'audience.

4. Demandez-vous si les données atteignent un écosystème publicitaire

   Si le fournisseur peut rattacher le visiteur à un profil publicitaire ou attribuer une conversion à une campagne, il relève du marketing, quelle que soit la façon dont il se présente. L'attribution, c'est de la publicité : une balise de conversion Google Ads est une balise marketing, même si le chiffre qu'elle produit ressemble à une mesure.

5. Quand deux finalités s'appliquent, prenez la catégorie la plus stricte

   Une balise qui mesure un tunnel et construit une audience de remarketing est une balise marketing. La catégorie applicable la plus stricte est la seule affectation qui résiste à une question sans débat, et c'est là que vous finiriez de toute façon.

Quels scripts ne se rangent pas tout seuls ?

La prévention de la fraude et le blocage des bots sont le cas réellement discuté. Un contrôle de risque exécuté au sein d’un paiement que le visiteur est en train de valider a un vrai argument d’exemption, car le retirer casse ce qu’il est venu faire. Dans son avis sur l’exemption de consentement, le groupe de travail Article 29 considère comme exemptés les cookies de sécurité d’un service demandé par l’utilisateur, par exemple pour repérer des échecs de connexion répétés. Un outil qui note tout le trafic entrant pour protéger un budget publicitaire ne l’est pas, car le bénéficiaire est l’entreprise. Tant que la question reste ouverte, conditionnez-le au consentement et gardez votre raisonnement par écrit.

L'A/B testing et la personnalisation exigent presque toujours le consentement. Répartir le trafic suppose de stocker la variante qu'une personne a vue, et la finalité est d'optimiser l'activité, pas de fournir ce qui a été demandé. Si votre outil de consentement propose une catégorie personnalisation, utilisez-la ; sinon, rangez-les au minimum en mesure d'audience, en marketing quand les résultats alimentent la publicité, et jamais en fonctionnel.

Le suivi des erreurs et des performances présente le cas d'exemption non évident le plus solide, et il échoue pourtant le plus souvent. Remonter une stack trace pour que le site continue de fonctionner se défend. Y attacher un identifiant persistant pour suivre une même personne d'une session à l'autre, c'est de la mesure qui porte une étiquette de fiabilité, et c'est ce détail qui tranche.

L'enregistrement de sessions et les heatmaps ne sont pas ambigus en droit, seulement par habitude. Ils enregistrent ce qu'un visiteur a fait sur la page. C'est au mieux de la mesure d'audience, et vu ce qu'un enregistrement peut capturer, cela mérite d'être signalé aux visiteurs plus clairement que par une ligne dans un tableau.

Que coûte une mauvaise catégorie, dans un sens comme dans l'autre ?

Trop conditionner est l'erreur la moins chère. Rangez un outil réellement nécessaire en mesure d'audience et il s'arrête pour tous ceux qui refusent, ce qui vous coûte de la mesure et parfois une fonctionnalité. Le volet mesure d'une mauvaise affectation, y compris ce qu'elle fait aux signaux Consent Mode que reçoit Google, est traité dans ce qu'une mauvaise catégorie de consentement fait à GA4 et Google Ads. Un cas mérite d'être nommé : l'enregistrement du choix de consentement lui-même ne doit jamais être soumis au consentement, sinon la bannière ne peut pas se souvenir du choix et le redemande à chaque page.

Ne pas assez conditionner est l'erreur coûteuse. Rangez un outil marketing en nécessaire ou en fonctionnel et il s'exécute pour des personnes qui ont explicitement refusé. C'est le défaut que les autorités ont réellement poursuivi et, contrairement à la plupart des questions de conformité, il est visible depuis l'extérieur de votre organisation en un seul chargement de page, par quiconque prend la peine de regarder. Nous avons décrit sa version la plus courante dans pourquoi le pixel Facebook se charge encore quand vos balises sont bloquées.

Cette asymétrie est précisément la raison de prendre la catégorie la plus stricte tant qu'un cas n'est pas tranché. Trop conditionner est un coût que vous pouvez mesurer et corriger en un après-midi. Ne pas assez conditionner est une exposition, et elle remonte dans le temps sur chaque visiteur depuis l'ajout de la balise. Pour savoir d'où vient réellement cette exposition, ce que les autorités sanctionnent réellement est l'article qui complète celui-ci.

Comment vérifier que le classement tient vraiment ?

La liste de catégories de votre outil de consentement montre ce que vous avez déclaré. Pas ce que fait la page.

Vérifiez-le par le chemin court. Ouvrez le site dans un profil vierge, refusez tout, rechargez, puis lisez les cookies, le stockage local et les entrées de resource timing du navigateur. Tout ce qui provient d'une catégorie refusée et reste présent est soit dans la mauvaise case, soit pas conditionné du tout, et les rapports de l'outil de consentement ne peuvent pas vous dire lequel des deux. Recommencez après chaque mise en production qui ajoute une balise, car cela régresse sans bruit.

Bien ranger les catégories, c'est l'essentiel de ce à quoi sert une couche de consentement, et c'est pourquoi Velo livre le classement par catégorie et le blocage d'un seul tenant, au lieu de vous laisser réconcilier un panneau avec une page.