Guide pratique gratuit
Gouvernance des témoins et des scripts, vérifiée à l'exécution
Un guide pratique pour les responsables de la protection des renseignements personnels, les développeurs et les propriétaires de site qui doivent savoir ce que leur site charge vraiment, qui est responsable de chaque élément et ce qui a été approuvé, avant qu'un organisme de réglementation ou une personne visiteuse le demande. Il est gratuit et sans inscription. Chaque outil et chaque modèle cité ici s'exécute dans le navigateur.
Pourquoi les vérifications à l'exécution comptent : un balayage de 1 775 sites a constaté que 30 % des sites déclenchaient un vrai traceur avant le consentement. Ce constat vient du balayage lui-même, cité ici comme la raison pour laquelle ce guide part du comportement observé, pas des listes déclarées.
Les praticiens disent la même chose sur le terrain. Dans des fils de 2025-2026 sur Reddit, dans r/privacy, r/GoogleTagManager, r/GoogleAnalytics, r/pcicompliance et r/dataprotection, des praticiens racontent tester les bannières à la main dans les outils de développement, parce que les balayages des plateformes de consentement manquent les balises codées en dur, les scripts de consentement réordonnés par la mise en cache et les appels sans témoin envoyés après un refus. Ce guide transforme cette pratique manuelle en protocole répétable.
Méthode
Les trois couches
La gouvernance tient quand trois couches concordent : ce qui s'est exécuté, ce qui est consigné et ce qui a le droit de s'exécuter ensuite. Gardez-les séparées, puis comparez-les.
Couche 1 : Vérité d'exécution
Ce que le navigateur a vraiment fait. Quels scripts se sont chargés, quels témoins et quelles clés de stockage ont été déposés, quels appels réseau ont quitté la page, et dans quel état de consentement.
Les listes déclarées dérivent. La preuve d'exécution est la seule version qu'une personne visiteuse, un organisme de réglementation ou un tribunal peut tester.
Couche 2 : Registre de classification et de responsabilité
Chaque élément observé, classé par finalité, partie technique, partie juridique, conservation et classe de contrôle, avec un responsable d'affaires nommé pour chaque ligne.
Un élément sans responsable et sans classification n'est pas gouverné. Il est seulement présent.
Couche 3 : Barrières et surveillance de la dérive
Des barrières de consentement appliquées dans le gestionnaire de balises et les gabarits, plus un nouveau balayage à chaque changement et selon un calendrier fixe, pour repérer vite les éléments nouveaux ou modifiés.
La gouvernance échoue entre les audits. La surveillance de la dérive garde un bon audit vrai le mois suivant.
La comparaison porte un nom dans ce guide : l'écart en trois volets. Le Déclaré est ce que la plateforme de consentement et la politique disent présent. L'Observé est ce que l'audit à l'exécution a trouvé. L'Approuvé est ce que le registre couvre par une approbation en cours. Toute ligne qui figure dans une liste et pas dans les autres demande une décision.
L'audit de bannière de témoins et sa page d'audit sont l'outil qui fait la partie Déclaré contre Observé de cet écart pour une page. Lancez-le d'abord, puis apportez son résultat au protocole ci-dessous.
Les décisions se prennent en petit comité, par rôle. Le ou la responsable de la protection des renseignements personnels préside. Un développeur, un responsable marketing ou des opérations publicitaires et un responsable de la sécurité siègent comme membres permanents. Les responsables d'affaires sont convoqués par élément, pour les éléments dont ils répondent. L'appartenance est par rôle seulement. Le comité approuve, bloque ou retire. Il n'approuve pas par silence.
Protocole
Protocole d'audit à l'exécution : quatre passages
Travaillez dans un profil de navigateur propre, cache vidé, sur une vraie page. Consignez l'URL, la date et l'heure, l'état de consentement et la preuve réseau pour chaque passage. Faites les passages dans l'ordre.
Passage 1 : Aucune interaction
Chargez la page et ne touchez à rien. Laissez-la se stabiliser, puis faites défiler une fois.
- Filtrez le panneau réseau sur
g/collectet notez tout résultat avant le moindre clic. Un résultat ici est un appel d'analytique avant consentement. - Consignez la valeur du témoin
_ga, s'il existe, avant le consentement. Notez quand il a été déposé et par quelle requête. - Comparez le moment de chargement de la bannière avec le premier traceur. Notez l'heure où la bannière est devenue utilisable et l'heure où le premier traceur s'est déclenché. Un traceur qui part en premier est un échec de barrière, même si la bannière apparaît ensuite.
- Listez chaque témoin, chaque clé de stockage et chaque script apparus sans interaction.
- Filtrez le panneau réseau sur
Passage 2 : Tout refuser
Rechargez dans un état propre, puis choisissez Tout refuser lorsque la bannière l'offre.
- Filtrez de nouveau le panneau réseau sur
g/collect. Notez tout résultat après le refus, y compris les appels sans témoin qui n'envoient aucun témoin mais envoient quand même un événement. - Comparez la valeur de
_gaavant et après le consentement. Si la valeur persiste ou si un nouvel identifiant apparaît après le refus, consignez-le. - Vérifiez si le moment de la bannière a changé, et si un traceur s'est déclenché avant le traitement du clic Tout refuser.
- Confirmez que le stockage déposé au passage 1 est effacé, bloqué ou expliqué.
- Filtrez de nouveau le panneau réseau sur
Passage 3 : Tout accepter
Rechargez dans un état propre, puis choisissez Tout accepter.
- Filtrez sur
g/collectet confirmez que l'appel correspond maintenant à la finalité déclarée et à l'état de consentement. - Comparez la valeur de
_gaavant et après le consentement. La valeur ne devrait être déposée ou liée qu'après le consentement, pas avant. - Consignez la liste complète des éléments que le consentement a débloqués. Tout élément nouveau ici doit déjà figurer au registre, sinon il part en recherche de responsable.
- Filtrez sur
Passage 4 : Parcours d'événements
Restez dans l'état accepté, puis parcourez les flux clés : recherche, envoi de formulaire, étape de commande, lecture vidéo, ouverture de clavardage et téléchargement de fichier, selon le site.
- Surveillez les nouveaux scripts, le nouveau stockage et les nouveaux paramètres
g/collectdéclenchés par un événement, pas par le chargement de la page. - Vérifiez les modules de clavardage et les contenus intégrés en entier. Un module qui charge la relecture de session met la relecture dans la portée de la décision sur l'ensemble du module.
- Répétez le passage 2 pour un parcours d'événement après un refus, pour confirmer que les événements ne relancent pas le suivi.
- Surveillez les nouveaux scripts, le nouveau stockage et les nouveaux paramètres
Conservez la preuve de chaque passage sur la fiche de preuve d'audit à l'exécution, listée dans la section des modèles. Un audit sans preuve conservée ne peut pas appuyer une approbation.
Classification
Règles de classification : qui, quoi, et consentement requis ou non
Classez selon deux parties, pas une. La partie technique est celle qui dépose l'élément ou reçoit l'appel en termes techniques : le domaine, la balise, le code du fournisseur. La partie juridique est l'organisme destinataire qui reçoit les renseignements et en répond. Quand les deux diffèrent, la partie juridique gouverne la divulgation, le contrat et l'approbation.
Deux règles règlent la plupart des désaccords. D'abord, l'analytique n'est jamais strictement nécessaire. Ensuite, si un élément est inconnu, il reste bloqué par défaut tant qu'il n'est pas classé et approuvé. Inconnu n'est pas un état neutre. C'est une barrière fermée.
| Cas | Partie technique | Partie juridique | Règle de décision |
|---|---|---|---|
Le témoin _ga est déposé sur votre propre domaine | Votre domaine, déposé par la balise d'analytique | Google, comme destinataire des données d'analytique | Classez-le et divulguez-le comme analytique Google. Votre domaine sur le témoin n'en fait pas un élément de première partie au sens juridique. |
| Un sous-domaine qui ressemble au vôtre pointe par CNAME vers un fournisseur | Votre sous-domaine, résolu vers l'infrastructure du fournisseur | Le fournisseur derrière le CNAME | Traitez le sous-domaine masqué par CNAME comme le fournisseur pour la classification, la divulgation et les vérifications contractuelles. |
| Un module de clavardage qui charge aussi la relecture de session | Le fournisseur du module de clavardage | Le fournisseur du module, pour le clavardage et pour la relecture | Décidez pour l'ensemble du module. Vous ne pouvez pas approuver le clavardage et ignorer la relecture quand un seul chargement apporte les deux. |
Les classes de contrôle découlent de la classification. Les éléments strictement nécessaires peuvent s'exécuter sans consentement, avec une justification écrite. Les éléments d'analytique, de marketing et de personnalisation restent bloqués jusqu'au consentement. Les éléments inconnus restent bloqués jusqu'à leur classification. Inscrivez la classe au registre, dans la colonne Classe de contrôle.
Approbation
Liste d'approbation : les 9 vérifications
Approuver un témoin ou un script dans une plateforme de consentement fait trois choses à la fois. Cela pose une affirmation publique, parce que la divulgation et la bannière disent maintenant aux personnes visiteuses que cet élément s'exécute pour une finalité déclarée. Cela donne une permission opérationnelle, parce que la barrière s'ouvre et la balise peut se déclencher en production. Et cela crée un dossier de responsabilité, parce qu'un approbateur nommé et une date appuient maintenant cette affirmation et cette permission. Si l'un des trois serait difficile à défendre, l'élément n'est pas prêt pour l'approbation.
L'ordre compte donc : la barrière d'abord, l'approbation ensuite. Gardez l'élément bloqué pendant les vérifications. Ouvrez la barrière seulement quand le dossier est complet, la divulgation est en ligne et la date d'expiration est fixée. Dans cette méthode, une approbation sans expiration est traitée comme expirée.
- Preuve d'exécution avec horodatage et URL. Une capture datée, tirée de l'audit à l'exécution, liée à la page ou au parcours exact où l'élément se déclenche.
- Partie juridique nommée. L'organisme destinataire est nommé, pas seulement le domaine ou l'outil qui a déposé l'élément.
- Finalité avec justification écrite de stricte nécessité. Une seule finalité, écrite en mots simples. Si la stricte nécessité est invoquée, la justification dit pourquoi le service échoue sans l'élément.
- Responsable d'affaires nommé et confirmé. Une personne, pas une boîte de réception d'équipe, a confirmé qu'elle est responsable de l'élément et de son résultat.
- Entente de traitement localisée et conservation conforme à l'expiration réelle. L'entente relative au traitement des renseignements est au dossier, et la conservation déclarée correspond à l'expiration du témoin ou du stockage observée à l'exécution.
- Barrière de consentement testée dans trois états. Aucune interaction, Tout refuser et Tout accepter ont tous été testés. L'élément ne se déclenche que dans les états permis par sa finalité.
- Divulgation dans les deux langues lorsque requis. La divulgation sur les témoins ou la politique de confidentialité nomme l'élément et sa finalité en français et en anglais lorsque cette divulgation est requise.
- Approbateur, date et date de révision fixés, maximum 12 mois. Le dossier nomme qui a approuvé, quand, et quand l'approbation expire. Aucune approbation ne dépasse 12 mois.
- Plateforme de consentement, politique et registre mis à jour dans le même changement. La plateforme de gestion du consentement, la politique publique et le registre interne changent ensemble. Aucune mise à jour partielle.
Calendrier
Calendrier de révision
| Déclencheur ou intervalle | Action |
|---|---|
| Publication du gestionnaire de balises, changement de plateforme de consentement, déploiement de gabarit, nouveau fournisseur ou lancement de campagne | Balayage le jour même des pages et parcours touchés, puis mise à jour de l'écart. |
| Chaque mois | Audit complet à l'exécution sur les gabarits clés et les parcours d'événements. Publication du rapport mensuel d'écarts. |
| Chaque trimestre | Révision du registre. Confirmation des responsables, retrait des scripts morts et fermeture des éléments sans finalité actuelle. |
| Avis de changement d'un fournisseur | Réévaluation des éléments touchés. Un changement de finalité, de conservation ou de sous-traitants rouvre l'approbation. |
| Chaque année | Réapprobation de chaque élément actif. Les approbations expirent. Un élément expiré reste bloqué jusqu'à sa réapprobation. |
Modèles
Modèles : les 9 documents de travail
Chaque modèle est un document simple. Copiez sa structure dans les outils que votre équipe utilise déjà. Le registre et la liste d'approbation sont aussi offerts en téléchargement CSV ci-dessous.
| Modèle | Ce que c'est | Quand l'utiliser |
|---|---|---|
| Mandat en une page | Une page qui fixe la portée, les rôles, les droits de décision et la règle d'expiration des approbations. | Au départ du programme, et quand la portée change. |
| Fiche de preuve d'audit à l'exécution | Un compte rendu daté des quatre passages, des pages testées, de l'état de consentement et de la preuve réseau conservée. | À chaque audit à l'exécution. |
| Feuille de travail de l'écart en trois volets | Une vue côte à côte du Déclaré, de l'Observé et de l'Approuvé, avec une ligne pour chaque écart. | Après chaque audit, avant toute décision d'approbation. |
| Script de recherche de responsable | Un court script pour trouver un responsable. Trois questions : qu'est-ce que c'est, pourquoi est-ce utilisé, qui l'utilise. Le délai est de 10 jours ouvrables. | Quand un élément observé n'a aucun responsable au registre. |
| Formulaire de liste d'approbation | Les 9 vérifications de ce guide sous forme de formulaire de signature, avec champs de preuve et date d'expiration. | Pour chaque nouvel élément et chaque renouvellement. |
| Fiche de preuve de retrait | La preuve qu'un élément retiré ne se charge plus, ne dépose plus de stockage et n'envoie plus d'appels réseau, vérifiée après le retrait. | Après tout retrait ou toute sortie de fournisseur. |
| Registre de décision sur le mode de consentement | Un registre de la façon dont les signaux de consentement se traduisent en comportement des balises, y compris en cas de refus et en cas d'absence d'interaction. | Quand le mode de consentement ou la logique de barrière est fixé ou modifié. |
| Rapport mensuel d'écarts | Un court rapport sur ce qui est apparu, a changé ou a disparu depuis le dernier audit, avec responsables et actions. | Chaque mois, après l'audit complet. |
| Feuille de travail des niveaux de fournisseur | Une feuille qui classe les fournisseurs selon la sensibilité des renseignements, le volume et la position contractuelle, pour que la profondeur de révision suive le risque. | À l'accueil d'un fournisseur et à la révision trimestrielle. |
Modèle de registre : en-tête en 19 colonnes
Copiez cette ligne d'en-tête comme première ligne du registre. Une ligne par témoin, clé de stockage ou script.
ID,Témoin / clé de stockage / script,Type,Première observation,Partie technique,Partie juridique / organisme destinataire,Catégorie de finalité,Justification de stricte nécessité,Classe de contrôle,Déclencheur / balise parente,Fournisseur + lien contrat/entente de traitement,Responsable d'affaires,Conservation / expiration,Barrière de consentement,Décision,Approbateur + date,Date de révision / expiration,Emplacement de la divulgation,Notes / éléments enfants de la chaîneLe script de recherche de responsable demande un détail dit clairement. Il pose trois questions : qu'est-ce que c'est, pourquoi est-ce utilisé, qui l'utilise. Si aucun responsable n'est confirmé dans les 10 jours ouvrables, l'élément reste bloqué et passe au comité pour une décision de retrait.
Limites
Limites de cette méthode
Les balayages côté client ont des limites claires. Nommez-les dans chaque rapport, pour qu'un balayage propre ne soit jamais lu comme un site propre.
- Un balayage dans le navigateur ne voit pas les transferts côté serveur. Une balise qui semble de première partie dans le navigateur peut transférer des renseignements sur le serveur, hors du balayage.
- Un balayage depuis un seul endroit ne voit pas les bannières conditionnelles selon le territoire ou l'État. Une bannière montrée seulement au Québec, en Californie ou dans l'Union européenne demande un test depuis ce contexte.
- La détection de robots change le comportement. Un site peut servir une autre bannière, ou aucun traceur, à un outil de balayage ou à une adresse de centre de données.
- La classification est un jugement de gouvernance, pas une mesure. Deux réviseurs peuvent lire la même preuve et différer sur la finalité ou la nécessité.
- Les cas limites vont au conseiller juridique. Ce guide organise la preuve pour cette conversation. Il ne la tranche pas.
Prochaine étape
Lancez l'audit, puis travaillez l'écart
FAQ
Questions fréquentes
Pourquoi un balayage de plateforme de consentement ne suffit-il pas ?
Un balayage de plateforme de gestion du consentement lit ce qui est déclaré et configuré. Il manque souvent les balises codées en dur dans les gabarits, les scripts de consentement réordonnés par la mise en cache et les appels sans témoin envoyés après un refus. Un audit à l'exécution, dans le navigateur, montre ce qui s'est vraiment déclenché, dans quel état de consentement et dans quel ordre.
L'analytique est-elle parfois strictement nécessaire ?
Non. Un site peut offrir son service de base sans analytique. L'analytique aide l'exploitant à comprendre et à améliorer, ce qui est une finalité légitime, mais elle n'est pas requise pour le service demandé par la personne visiteuse. Elle demande donc un consentement et reste bloquée tant que le consentement n'est pas donné.
Quelle est la différence entre partie technique et partie juridique ?
La partie technique est celle qui dépose l'élément ou reçoit l'appel dans le navigateur, par exemple le domaine ou le fournisseur derrière un script. La partie juridique est l'organisme qui reçoit les renseignements et en répond. Un témoin déposé sur votre propre domaine peut transmettre des renseignements à un fournisseur : la partie juridique suit le destinataire, pas le domaine inscrit sur le témoin.
À quelle fréquence le registre doit-il être révisé ?
Faites un balayage le jour même d'un changement au gestionnaire de balises, à la plateforme de consentement, à un gabarit, à un fournisseur ou à une campagne. Faites un audit complet chaque mois. Révisez le registre chaque trimestre et retirez les scripts morts. Réapprouvez chaque élément au moins une fois par an. Les approbations expirent, et une approbation expirée signifie que l'élément reste bloqué jusqu'à son renouvellement.
Ce guide est-il un avis juridique ?
Non. Ce guide est une méthode de gouvernance pour organiser les preuves, les responsables et les décisions. La classification d'un cas limite est un jugement de gouvernance, et les cas limites doivent être soumis à un conseiller juridique. Le guide ne remplace pas un avis adapté à vos faits, à votre secteur et à vos territoires.