CMP RGPD : comment éviter les fausses conformités et les vrais ennuis ?

Votre CMP clignote, mais vos cookies bossent déjà ?

Cheffe de projet web | Prenez RDV

CMP, cookies et consentement : ce qu’on croit avoir fait… et ce qu’on a (vraiment) fait ?

🧠 Installer une CMP (Consent Management Platform) est devenu le geste automatique dès qu’on veut « faire les choses bien » côté RGPD.

Mais entre l’affichage d’un bandeau et la mise en conformité réelle, il y a parfois un gouffre… invisible pour les non-techniciens.

Et pour cause : dans ma carrière, j’ai audité plusieurs dizaines de sites web, et très peu affichaient une conformité réelle, malgré une CMP en place.

Un classique : « Oui, on a mis un bandeau cookie, c’est bon non ? »

Spoiler : pas vraiment.

Dans cet article, je vous propose un décryptage sans panique mais sans illusion :

Ce que fait une CMP (et ce qu’elle ne fait surtout pas),
Pourquoi juristes et développeurs peinent à se comprendre sur le sujet,
Qui peut vraiment vous aider à valider votre configuration,
Et quels risques vous prenez à faire semblant de croire que « ça va ».

Une CMP, c’est quoi exactement ? (et pourquoi ce n’est pas magique)

💡 Définition express :
Une CMP (Consent Management Platform) est un outil qui permet :

D’afficher un bandeau de consentement à vos utilisateurs,
De gérer leurs choix (accepter, refuser, personnaliser),
Et de bloquer certains traceurs en fonction de ces choix.

En théorie, c’est la brique technique qui vous permet de respecter l’obligation de consentement du RGPD.
En pratique ? C’est un outil de plus, qui doit être bien paramétré, intégré et audité pour être réellement utile.

Ce que votre CMP ne fait pas (et que personne ne vous dit)

La plupart des gens pensent qu’une CMP est comme un antivirus : on l’installe, et hop, on est protégé.
Mais en réalité, une CMP ne vérifie pas à votre place ce que votre site fait vraiment.

Voici ce qu’elle ne fait pas, sauf si elle est activement configurée pour le faire :

❌ Elle n’empêche pas automatiquement les scripts de se charger avant consentement.

Une CMP affiche un bandeau, mais ne bloque pas les traceurs à elle seule. C’est au développeur de configurer les scripts pour qu’ils n’interviennent qu’après accord.

➡️ Un site peut très bien afficher une CMP… et continuer à faire tourner Google Analytics ou Facebook Pixel en arrière-plan dès le chargement.

❌ Elle ne bloque pas tous les cookies tiers par défaut.

Certains outils peuvent continuer à poser des cookies dès la première visite, surtout s’ils sont intégrés via des plugins ou des CMS mal maîtrisés.

❌ Elle n’analyse pas ce qui se passe côté serveur (API, appels backend, logs).

Elle fonctionne dans le navigateur. Point. Elle ne surveille ni vos bases de données, ni vos logs, ni vos appels serveurs. 💡

Exemples de traitements côté serveur souvent oubliés :

Une page déclenche une API externe (chatbot, CRM, recommandation) qui enregistre des données.
Vos logs serveurs stockent des adresses IP sans consentement clair.
Un formulaire transmet des données à un prestataire via un webhook, sans finalité documentée.

📚 À lire aussi : Pourquoi l’IP est-elle une donnée personnelle selon le RGPD ?

❌ Elle ne prouve pas que vous êtes en règle.

Une CMP est une interface. Ce n’est ni une garantie juridique, ni une preuve technique si elle n’est pas bien configurée, documentée et auditable.

Perspectives Digitales

Rejoignez le média qui parle tech aux gens qui décident.

🧠 Une veille qui fait gagner du temps
📦 Des outils, des méthodes, des cas concrets
🎁 Un e-book utile, pas un PDF qui dort dans vos téléchargements

Je m’inscris !

Le grand malentendu entre juristes et techniciens

Dans la majorité des audits que j’ai menés, le même schéma revient :

Le juriste dit : « Il faut bloquer les cookies tiers et recueillir le consentement. »
Le développeur répond : « J’ai installé une CMP, c’est bon. »
Tout le monde respire. Et c’est là que le problème commence.

Pourquoi ? Parce que :

Le juriste ne voit pas les appels d’API, les cookies qui se chargent dans les iframes, ou les scripts embarqués via GTM (Goolge Tag Manager).
Le technicien ne comprend pas toujours ce qu’implique un vrai consentement libre, éclairé, spécifique et documenté.

Résultat : un outil qui tourne, un bandeau visible… et un site qui reste non conforme.

📚 À lire aussi : Diagnostic technique RGPD : guide complet pour votre site web

Qui peut vraiment valider votre configuration CMP ?

🎯 C’est LA vraie question que personne n’ose poser.

✅ Ce qu’il vous faut :

Un développeur qui connaît les bases du RGPD,
Ou un consultant qui comprend à la fois les exigences légales et les implications techniques,
Et idéalement : un chef de projet qui coordonne tout ça avec méthode.

❌ Ce qu’il ne suffit pas d’avoir :

Une CMP installée via un plugin « magique »,
Un document juridique sans audit du code,
Une solution vendue comme « 100 % conforme » sans preuve d’audit réel.

📚 À lire aussi : Mise en place d’une stratégie pour mettre en conformité au RGPD votre site web

Et si je ne fais rien… est-ce que je risque quelque chose ?

Soyons honnêtes : il y a peu d’amendes spectaculaires aujourd’hui uniquement pour une CMP mal configurée.
Mais ce n’est pas une raison pour fermer les yeux.

Les risques sont réels :

⚠️ Vous collectez potentiellement des données sans consentement valide,
⚠️ Vous êtes en contradiction avec votre propre politique de confidentialité,
⚠️ Vous êtes vulnérable en cas de plainte, contrôle ou rupture contractuelle.

Et surtout : vous vous reposez sur un outil que vous ne comprenez pas.

☕ Conclusion

Recommandation Wexample : sobriété et bon sens

🧠 Mon conseil est simple :
Si vous avez les moyens, faites auditer votre CMP. Mais pas par n’importe qui. Par quelqu’un qui comprend à la fois le juridique et le technique.

Sinon ?
Adoptez une posture frugale :

Réduisez le nombre d’outils tiers,
Ne collectez que l’essentiel,
Documentez ce que vous faites.

Moins de données, mieux traitées : c’est à la fois plus conforme, plus clair pour l’utilisateur… et souvent meilleur pour votre image.

👩‍💻 Je suis Carole Lavocat, cheffe de projet web spécialisée en stratégie digitale, contenus et conformité RGPD.
Tous les contenus publiés ici sont issus de projets réels — pour aider les pros à piloter avec clarté.

📬 Vous voulez aller plus loin ?
💌 Abonnez-vous à ma newsletter « Perspectives digitales », Web : conseils, outils et tendances pour les pros.

📬 Besoin de faire le point ?

Vous avez un doute sur votre CMP ?
Vous ne savez plus qui croire : le juriste, le dev, le plugin magique, le commercial de la CMP ?

👉 Réservez un atelier « Audit express » avec moi (15 min)
On passe en revue votre configuration et vos marges de manœuvre, sans panique, sans bullshit.
Juste de la clarté.