Capuche & Co : bandeau cookies, GA4 et prospection multicanal en dix jours

Le consentement se teste sur cinq critères cumulatifs (art. 4-11 et 7 RGPD ; art. 82 de la loi Informatique et Libertés).

1. Action positive claire. Les cases pré-cochées ne valent pas consentement : CJUE, Planet49 (C-673/17) et Orange România (C-61/19). Trois cases cochées d'avance = zéro consentement valide pour trois finalités.
2. Granularité. Le consentement doit être spécifique, donc recueilli finalité par finalité. Un « tout accepter » global qui agrège personnalisation, partenaires et mesure d'audience ne permet pas un choix distinct.
3. Refus aussi facile que l'acceptation. La CNIL exige un même niveau d'interface : bouton contre bouton, même ergonomie, même visibilité. Un lien gris de 11 pixels face à un bouton coloré ne satisfait pas cette exigence ; le refus doit être aussi simple que l'acceptation, et le retrait aussi simple que le consentement.
4. Information. Identité des responsables, finalités, destinataires, durées, droit de retirer son consentement, conséquences du refus - en couches mais accessibles.
5. Liberté. Conditionner l'accès au site à l'acceptation globale prive en principe le consentement de liberté. La CNIL admet des formules alternatives réelles et équitables (accès payant, version sans traceurs), à condition qu'elles ne rendent pas l'accès déraisonnablement difficile et que le choix soit documenté. Réponse à la direction : ce n'est pas un automatisme, c'est une décision à motiver et à tracer.

Conséquence pratique. Chaque traceur déposé sans base valable est un manquement aux art. 5, 6 et 7, sanctionnable au niveau le plus élevé (art. 83-5). Le bandeau doit être refait avant toute nouvelle collecte, et les traceurs déposés en infraction doivent être purgés ou régularisés.

L'exemption de consentement pour la mesure d'audience est une exception strictement conditionnée (art. 82 de la loi Informatique et Libertés ; lignes directrices et recommandation CNIL de 2020). Elle suppose notamment : finalité limitée à la mesure d'audience du site ; statistiques anonymes ; absence de suivi inter-sites, inter-applications ou inter-appareils ; pas de partage avec des tiers ; pas de recoupement avec d'autres traitements ; pas d'identifiant persistant permettant de suivre l'internaute ; durée de vie limitée ; IP non conservée en clair.

Application au cas.

• Google Analytics 4 dépose par défaut des identifiants de type client_id, permet un User-ID inter-appareils, propose des fonctionnalités publicitaires et un partage avec Google : le suivi n'est ni anonyme ni cloisonné au site.
• Le conteneur côté serveur ne change pas la nature des identifiants ni la finalité : ce n'est pas une mesure d'anonymisation. Il déplace le point de collecte, il ne supprime pas le traceur.
• L'adresse IP transmise est une donnée personnelle ; sa troncature doit être vérifiée techniquement, et elle ne suffit pas si un identifiant persistant subsiste.
• Les identifiants publicitaires transmis révèlent une finalité publicitaire, incompatible avec l'exemption.

Conclusion. L'exemption ne s'applique pas : consentement préalable requis, ou migration vers un outil réellement conforme (auto-hébergé, sans cookie, IP tronquée avant stockage, absence de partage et de recoupement), avec un test documenté des paramètres.

Erreur fréquente à éviter. Même exemptée de consentement, une mesure d'audience reste un traitement : il lui faut une base légale (intérêt légitime, avec mise en balance), une information, un contrat de sous-traitance et, si les données partent aux États-Unis, une analyse de transfert.

Deux régimes distincts, à ne pas confondre.

1. Courriel B2B - régime d'opposition, sous conditions cumulatives. La CNIL admet, en milieu professionnel, que la prospection par courriel ne nécessite pas de consentement préalable lorsque le message est adressé à une adresse professionnelle et porte sur l'activité professionnelle du destinataire, avec possibilité d'opposition dans chaque message. Si le message porte sur des produits destinés à la vie privée, l'opt-in redevient la règle.

Dans ce dossier, deux failles :

• Fichier acheté : Capuche & Co doit pouvoir démontrer l'origine des adresses, leur caractère professionnel et la réalité du régime d'opposition. Un acheteur ne peut pas se prévaloir du consentement recueilli par un tiers pour ses propres prospections.
• Information des personnes : les données n'étant pas collectées auprès d'elles, l'art. 14 impose une information, sauf effort disproportionné à démontrer. L'absence d'information est un manquement autonome.

2. SMS aux clients existants - « soft opt-in » (art. L.34-5 CPCE). Le consentement n'est pas requis si quatre conditions sont réunies : coordonnées recueillies directement auprès de la personne à l'occasion d'une vente ; prospection portant sur des produits ou services analogues fournis par la même personne morale ; information dès la collecte sur la possibilité de s'opposer ; opposition simple et gratuite dans chaque message. Le dossier est bien parti sur les trois premières, à vérifier sur la quatrième (mention STOP, numéro dédié) et sur l'identité de l'émetteur : si le SMS est envoyé par une filiale ou une marque sœur, le « même responsable » fait défaut et l'opt-in redevient obligatoire.

Points de contrôle à dix jours. Traçabilité des listes, preuve de l'information, registre des oppositions, séparation des bases B2B/B2C, et vérification que les SMS ne relèvent pas d'un programme de fidélité distinct nécessitant son propre consentement.