Comprendre l'indice technique et ses limites
Dernière mise à jour : 29 septembre 2026
Un indice technique, pas une note de conformité
L'indice v2 part de 100. Les signatures de cookies ou de stockage local associées au traçage retirent 40 points au total ; une page visitée en HTTP retire 20 points. Ces pondérations sont des choix éditoriaux, pas un barème de la CNIL. Plusieurs signatures du même type n'accumulent pas de pénalités.
Un script seul, un cookie inconnu, une longue expiration, une CMP non reconnue ou un fournisseur international ne retirent pas de points. Ils peuvent appeler une vérification. Même 100/100 peut coexister avec des traitements non observés ou des obligations non respectées. Si la page principale est exploitable, des ressources manquantes n'annulent pas l'indice : il devient provisoire, car des éléments non observés peuvent rendre la note trop favorable. Une capture d'écran indisponible ne change pas l'indice. Les limites sont détaillées et ne valent pas infraction. Une page inaccessible, vide ou bloquée par un écran anti-robot ne produit pas de note ; les rapports antérieurs à la méthode v2 doivent être relancés.
Ce que le navigateur observe
Le scanner ouvre un contexte vierge en français, sans interaction, visite au plus trois pages et attend une fenêtre bornée après leur affichage. Il collecte les réponses de services connus, les cookies et les clés de stockage connues dans les frames accessibles. Il ne contourne pas les protections anti-robot.
La détection n'est pas exhaustive : IndexedDB, écritures éphémères, traceurs inconnus ou masqués derrière le domaine du site, fingerprinting sans signature, suivi côté serveur, pages non visitées et comportements après connexion ou interaction peuvent échapper au scan. Un réglage de langue ne change pas le pays de l'adresse IP du serveur.
Lire les contrôles
Observé, sans alerte signifie seulement qu'aucun indice couvert n'a déclenché cette règle. Alerte technique indique un signal à examiner. À vérifier et Non testé ne constituent jamais une validation de conformité.
| Contrôle | Portée |
|---|---|
| Cookies avant consentement | Repérage par signatures ; la finalité réelle et les exemptions restent à confirmer. |
| Stockage local avant consentement | Identifiants connus dans localStorage et sessionStorage, y compris les frames accessibles. |
| Services tiers contactés | Une réponse réseau ne prouve pas à elle seule un traçage soumis au consentement. |
| Indices de gestion du consentement | Une CMP connue peut être détectée ; un mécanisme personnalisé peut échapper au scan. |
| Chiffrement des pages visitées | Observation HTTP/HTTPS uniquement ; ce contrôle ne constitue pas un audit de sécurité. |
| Durées de conservation | À justifier par finalité ; 13 mois n'est pas une limite universelle pour les cookies. |
| Transferts internationaux | Destinations effectives, entités et garanties à vérifier auprès des prestataires. |
| Accès à l'information | Repérage d'un lien rendu vers la confidentialité, sans validation de son contenu. |
| Retrait du consentement | Le parcours après acceptation et l'arrêt effectif des traceurs ne sont pas testés. |
| Refus et liberté de choix | Facilité du refus, granularité, cases précochées, persistance du choix et cookie walls : examen manuel. |
| Contenu de l'information | Responsable, finalités, bases légales, destinataires, durées, droits et transferts : revue des notices requise. |
| Traitements et organisation | Minimisation, bases légales, droits, contrats, registre, sécurité, AIPD et DPO si applicables : hors du scan public. |
Compléter l'audit RGPD
Une appréciation globale nécessite les parcours utilisateurs, la documentation de l'exploitant et les preuves de mise en œuvre. Les obligations dépendent des traitements et du contexte.
- Inventorier les traitements, leurs finalités, leurs bases légales, les catégories de données et les personnes concernées ; vérifier nécessité, minimisation et durées effectives.
- Relire les notices et les formulaires : identité et contacts du responsable et du DPO si applicable, finalités, bases légales, intérêts légitimes, destinataires, transferts, durées ou critères, droits, retrait et réclamation. Vérifier aussi les mentions conditionnelles : origine des données, collecte obligatoire et conséquences, décisions automatisées.
- Tester le refus, le retrait, la granularité, la preuve et la mémorisation du consentement, ainsi que les demandes d'accès, rectification, effacement, opposition, limitation et portabilité lorsque ces droits s'appliquent.
- Vérifier les contrats de sous-traitance, responsabilités conjointes éventuelles, garanties de transferts, registre selon les obligations applicables, sécurité technique et organisationnelle et procédures de violation de données.
- Examiner le besoin d'une AIPD, d'un DPO ou d'un représentant, ainsi que les règles propres aux mineurs, aux données sensibles et à la prospection, selon les traitements.
Accès au rapport
La méthode, les contrôles et les limites sont toujours visibles. En l'absence d'alerte technique, les observations sont gratuites. Lorsqu'une alerte existe, le détail peut être débloqué ; il contient des indices et des pistes de correction, sans attestation juridique.