Le consentement n’est pas éternel

Dès qu’un visiteur a fait un choix, vous devriez le mémoriser pour ne pas l’importuner à chaque page. Mais un choix enregistré ne dure pas indéfiniment. Les circonstances changent, des outils s’ajoutent, et une décision prise il y a longtemps ne reflète peut-être plus ce que le visiteur choisirait aujourd’hui. Cette checklist vous aide à définir des règles d’expiration et de nouvelle sollicitation raisonnables.

Ce que disent les règles (et ce qu’elles ne disent pas)

Le RGPD ne fixe pas de date d’expiration précise pour le consentement. En pratique, les recommandations des autorités comblent ce vide. La CNIL française, par exemple, recommande de conserver le choix du visiteur pendant environ six mois avant de redemander, et indique que la durée de vie des cookies de suivi eux-mêmes ne devrait pas dépasser 13 mois. D’autres autorités n’ont pas fixé de chiffres exacts. Consultez l’autorité compétente pour votre audience et documentez la durée que vous choisissez.

Checklist 1 : définir la durée par défaut

• Choisissez une durée de consentement et notez-la. Six à douze mois est une fourchette courante ; choisissez l’extrémité la plus courte lorsque votre autorité le suggère.
• Enregistrez la date à laquelle le choix a été fait, pas seulement le choix.
• Appliquez la même logique de durée au cookie ou à l’élément de stockage qui contient l’enregistrement du consentement.
• Assurez-vous que le choix enregistré expire côté serveur ou dans votre logique, pas seulement dans le navigateur.

Checklist 2 : définir les déclencheurs de nouvelle sollicitation

Redemandez au visiteur, quel que soit l’âge du choix enregistré, lorsque :

• Vous ajoutez une nouvelle finalité. Un nouvel usage des données n’a jamais été couvert par le choix précédent.
• Vous ajoutez un nouveau fournisseur ou partenaire qui traite des données d’une manière non divulguée auparavant.
• Votre politique de confidentialité ou de cookies change de façon substantielle.
• La version de la bannière change de manière à modifier les choix proposés.
• Le choix enregistré est absent, corrompu ou illisible.

Reliez cela à un numéro de version du consentement que vous incrémentez dès que l’un des éléments ci-dessus se produit. Un choix enregistré avec une version plus ancienne déclenche la bannière.

Checklist 3 : protéger l’expérience du visiteur

• Ne resollicitez pas sur minuterie au sein d’une même session.
• Ne redemandez pas à un visiteur qui a refusé simplement pour le lasser ; respectez un refus pendant toute la période, sauf si un véritable déclencheur survient.
• Gardez un lien permanent dans le pied de page pour que les visiteurs puissent changer d’avis à tout moment, sans attendre l’expiration.
• Rendez le retrait du consentement aussi simple que son octroi.

Checklist 4 : traiter les cas limites

• Cookies effacés. La bannière réapparaîtra. C’est normal ; n’essayez pas de contourner cela par l’empreinte numérique.
• Plusieurs domaines ou sous-domaines. Décidez si un choix est partagé entre eux et rendez le comportement cohérent.
• Applications. Enregistrez le choix et sa date dans le stockage de l’application, et redemandez après les mises à jour de SDK qui ajoutent des usages de données.
• Changements de région. Si un visiteur passe dans une autre juridiction, vérifiez si vos règles doivent s’appliquer différemment.

Checklist 5 : conserver des preuves

• Enregistrez l’horodatage, la version de la bannière et le choix pour chaque consentement.
• Tenez un journal des modifications indiquant quand et pourquoi vous avez changé la durée ou le numéro de version.
• Révisez les paramètres chaque trimestre en même temps que votre inventaire de cookies.

Où se situe FlexyConsent

FlexyConsent est certifiée par IAB Europe et IAB Canada, prend en charge IAB TCF 2.4 et Google Consent Mode v2, et couvre des régions dont l’UE, l’EEE, le Royaume-Uni, les États américains, le Canada et le Québec. Quelle que soit la plateforme utilisée, vérifiez comment elle enregistre le choix et ce qui déclenche une nouvelle sollicitation, puis confrontez cela aux règles que vous avez rédigées plus haut.

Points clés à retenir

• Le consentement doit expirer ; il n’existe pas de durée légale unique, donc choisissez une période, notez-la et consultez les recommandations de votre autorité.
• Resollicitez lorsque les finalités, fournisseurs, politiques ou choix de la bannière changent, à l’aide d’un numéro de version du consentement.
• N’importunez pas les visiteurs qui ont refusé sans véritable déclencheur.
• Gardez un moyen toujours disponible de modifier ou retirer son consentement.
• Enregistrez l’horodatage, la version et le choix, et révisez les règles chaque trimestre.